RGPD

Définition

Le RGPD est le règlement (UE) 2016/679 relatif à la protection des données à caractère personnel, applicable depuis le 25 mai 2018 dans toute l'Union européenne et l'Espace économique européen. Il impose à tout responsable de traitement, donc à tout cabinet de courtage, de traiter les données sur une base légale (article 6), d'informer les personnes (articles 13 et 14), de respecter leurs droits d'accès, de rectification, d'effacement et d'opposition (articles 15 à 21), de tenir un registre des traitements (article 30) et de notifier les violations de données. Les données de santé, fréquentes en prévoyance et en santé, sont des données sensibles soumises à l'article 9. En France, la CNIL est l'autorité de contrôle.

Ce qu'il faut savoir

Pour un cabinet qui échange avec ses clients sur WhatsApp, trois questions reviennent.

La base légale des messages. Les messages de gestion d'un contrat existant (échéance, pièce manquante, suivi de sinistre) reposent sur l'exécution du contrat ou l'intérêt légitime. La prospection commerciale par message électronique vers des particuliers relève en revanche du consentement préalable, selon la doctrine de la CNIL fondée sur l'article L34-5 du Code des postes et des communications électroniques, avec l'exception des clients existants pour des produits analogues. D'où la distinction entre opt-in marketing et messages de service dans un CRM de courtier.

Le droit d'opposition. L'article 21 permet à toute personne de s'opposer à la prospection à tout moment ; le cabinet doit enregistrer l'opt-out et l'appliquer à tous les envois ultérieurs, y compris ceux des conseillers individuels.

La conservation et la sécurité. Les conversations contiennent des pièces d'identité, des relevés et parfois des données de santé. Elles doivent être stockées dans un outil maîtrisé par le cabinet, avec des accès nominatifs et une durée de conservation définie, plutôt que sur les téléphones personnels. Le guide WhatsApp, DDA et RGPD propose une grille concrète, et le hub conformité réunit les autres textes. Meta agit comme sous-traitant pour l'acheminement des messages de l'API ; le cabinet reste responsable du contenu et de la conservation.

Exemple concret

Un cabinet lillois prépare une campagne WhatsApp pour proposer une assurance cyber à ses clients professionnels. Avant l'envoi, il filtre son portefeuille : seuls les clients ayant accepté la prospection, ou déjà assurés en multirisque professionnelle chez le cabinet, reçoivent le message, avec une mention « répondez STOP pour ne plus recevoir d'offres ». Deux clients répondent STOP ; leur fiche passe en opt-out marketing et ils continuent à recevoir leurs relances d'échéance.