Cyberattaque au cabinet : les 72 heures qui comptent, et le plan de continuité
Rançongiciel, compte Meta perdu, messagerie piratée : les délais qui courent dès la découverte, ce qui s'applique vraiment à un cabinet, et le plan minimal.
Prescription biennale, responsabilité du courtier, LCB-FT, RGPD : quatre horloges. Le tableau des durées et ce qu'on extrait vraiment d'un fil WhatsApp.
Deux réflexes cohabitent dans les cabinets de courtage, et ils sont mauvais tous les deux. Le premier : tout garder, pour toujours, « au cas où » — avec des photos de cartes d'identité qui dorment dans la galerie du téléphone d'un collaborateur parti depuis deux ans. Le second : ne rien organiser du tout et laisser WhatsApp faire le tri, jusqu'au jour où un client conteste un conseil donné il y a trois ans et où le fil a disparu avec le changement de mobile. Entre les deux, il y a une politique de conservation. Elle tient sur une page, mais elle suppose de comprendre que plusieurs horloges tournent en même temps, et qu'elles n'ont pas la même durée.
La première est celle du contrat d'assurance. L'article L. 114-1 du Code des assurances soumet à une prescription de deux ans toutes les actions dérivant du contrat, entre l'assureur et l'assuré. C'est court, et c'est ce délai que l'on cite en général quand on parle de conservation en assurance.
La deuxième est celle du courtier, et elle est plus longue. L'action qu'un client engage contre son intermédiaire pour manquement au devoir d'information et de conseil ne dérive pas du contrat d'assurance : elle relève de la prescription de droit commun de cinq ans de l'article 2224 du Code civil, courant du jour où le client a connu ou aurait dû connaître les faits. Autrement dit : la pièce qui vous protège n'est pas le contrat, c'est la trace de votre conseil — et il faut la garder plus longtemps que le contrat lui-même.
La troisième est celle de la lutte contre le blanchiment. L'article L. 561-12 du Code monétaire et financier impose de conserver cinq ans les documents relatifs à l'identité des clients, à compter de la clôture de la relation d'affaires, et cinq ans les documents relatifs aux opérations, à compter de leur exécution.
La quatrième est celle du RGPD, qui ne fixe aucune durée chiffrée mais interdit de conserver sans motif. La CNIL publie des repères de durées propres au secteur de l'assurance : trois ans à compter du dernier contact pour un prospect qui n'a pas souscrit, une conservation à des fins probatoires alignée sur les délais de prescription applicables, et des règles particulières en assurance vie, où l'action des bénéficiaires se prescrit par trente ans à compter du décès.
Ces quatre horloges donnent une grille lisible. Les durées ci-dessous sont des repères de bonne pratique, fondés sur les délais de prescription et les recommandations de la CNIL ; le cas particulier de votre portefeuille (vie, emprunteur, risques d'entreprise) peut justifier plus long, et doit alors être documenté.
| Pièce | Repère de conservation | Pourquoi |
|---|---|---|
| Recueil des exigences et besoins, conseil motivé, devis remis | 5 ans après la fin de la relation | Action en responsabilité contre l'intermédiaire (art. 2224 C. civ.) |
| Dossier d'un prospect qui n'a pas souscrit | 3 ans après le dernier contact | Repères CNIL, prospection |
| Pièce d'identité, justificatif de domicile, éléments de vigilance | 5 ans après la clôture de la relation | LCB-FT (art. L. 561-12 CMF) |
| Quittances, avis d'échéance, preuves de paiement | Durée du contrat, puis 2 ans | Prescription biennale (art. L. 114-1 C. assur.) |
| Dossier de sinistre réglé | Au-delà du règlement, selon la nature du risque et les recours ouverts | Recours et responsabilités qui survivent au règlement |
| Contrat d'assurance vie et pièces bénéficiaires | Très longue durée, jusqu'à trente ans après le décès | Action des bénéficiaires |
C'est le point que les cabinets manquent le plus souvent. Un fil WhatsApp est un canal, pas un système de conservation : il vit sur des terminaux, se perd au changement de téléphone, se supprime des deux côtés et n'a pas d'horodatage opposable une fois exporté à la main. Compter dessus comme preuve du conseil, c'est confondre le tuyau et le classeur.
La bonne discipline est un tri à la source. Trois familles :
Quatre décisions, prises une fois, tiennent le sujet.
Le reste est une affaire de revue annuelle : une heure, une fois par an, pour passer le tableau en revue, purger ce qui a dépassé son terme et vérifier que les dossiers clos ne traînent plus dans les vues opérationnelles. C'est peu, et c'est ce qui distingue un cabinet qui subit ses archives d'un cabinet qui les pilote.
Non, et c'est même contre-productif : un export brut mélange l'essentiel et le bavardage, et alourdit inutilement vos obligations. Ce qu'il faut, c'est verser au dossier client les éléments qui portent une conséquence — conseil, accord, déclaration, envoi de document — au fil de l'eau.
Elle s'applique aux actions dérivant du contrat d'assurance, donc principalement entre l'assuré et l'assureur. L'action d'un client contre son courtier pour manquement au devoir de conseil relève du délai de droit commun de cinq ans : c'est ce délai plus long qui doit dimensionner la conservation de vos traces de conseil.
Vous devez conserver les éléments de vigilance LCB-FT cinq ans après la clôture de la relation, mais dans un espace maîtrisé et à accès restreint, pas dans la galerie d'un smartphone. Versez la pièce au dossier, puis supprimez-la du terminal et de la conversation.
La CNIL retient trois ans à compter du dernier contact émanant du prospect. Passé ce délai, les données doivent être supprimées ou anonymisées, sauf motif documenté de conservation plus longue — un contentieux en cours, par exemple.
Oui. Elle nourrit votre registre des traitements et vos mentions d'information, et c'est la première pièce demandée en cas de contrôle. Un tableau d'une page, daté, avec la durée et le point de départ pour chaque catégorie de données, suffit à un cabinet de taille moyenne.
Inbox WhatsApp partagée, fiches clients, relances et opportunités pour tout le cabinet. Démonstration en 15 minutes.
Rançongiciel, compte Meta perdu, messagerie piratée : les délais qui courent dès la découverte, ce qui s'applique vraiment à un cabinet, et le plan minimal.
Accusé de réception sous dix jours ouvrables, réponse sous deux mois : comment un cabinet de courtage traite une réclamation reçue par messagerie.
Un gestionnaire quitte le cabinet et l’historique de ses échanges part avec lui. Accès à couper, traces à garder, message aux assurés : la marche à suivre.