A quelles règles CNIL doit répondre un courtier en rachat de crédits ?

Un courtier en rachat de crédits doit respecter les obligations du RGPD et de la loi Informatique et Libertés. Il doit limiter la collecte aux données strictement nécessaires, recueillir le consentement du client pour le traitement de ses informations personnelles et garantir leur sécurité et leur confidentialité tout au long de la procédure.

Les obligations de collecte et de consentement

Le courtier en rachat de crédits traite un volume important de données personnelles sensibles : revenus, charges, situation familiale, relevés bancaires, avis d'imposition, contrats de crédit en cours et parfois informations de santé lorsqu'une assurance emprunteur est souscrite. Le RGPD (règlement UE 2016/679, applicable depuis le 25 mai 2018) impose que la collecte de ces données repose sur une base juridique licite. Dans le cadre du courtage, la base la plus courante est l'exécution de mesures précontractuelles (article 6-1-b du RGPD) : le traitement est nécessaire à l'étude du dossier de rachat demandé par le client.

Le courtier doit informer le client de manière claire et accessible sur la finalité du traitement, les catégories de données collectées, les destinataires (banques partenaires, assureurs), la durée de conservation et les droits dont il dispose (accès, rectification, effacement, portabilité, opposition). Cette information est généralement délivrée via une politique de confidentialité ou une notice d'information remise avant la collecte. Le consentement explicite est requis pour le traitement des données de santé et pour toute communication commerciale par voie électronique.

La conservation et la sécurité des données

Le courtier ne peut conserver les données personnelles de ses clients que pendant la durée nécessaire à la finalité du traitement. La CNIL recommande une durée de conservation de trois ans à compter de la fin de la relation commerciale pour les données de prospection, et de cinq ans pour les pièces contractuelles (conformément aux obligations de conservation prévues par le Code monétaire et financier en matière de lutte contre le blanchiment). Les données de santé transmises dans le cadre de l'assurance emprunteur doivent être supprimées dès la conclusion du contrat ou le rejet définitif du dossier.

Le courtier est tenu de mettre en place des mesures techniques et organisationnelles pour garantir la sécurité des données :

• Le chiffrement des transmissions de données entre le courtier, les banques partenaires et les assureurs, afin d'empêcher toute interception.
• La restriction des accès aux dossiers clients aux seuls collaborateurs habilités, avec une journalisation des consultations permettant de tracer chaque accès.
• La formation régulière du personnel aux obligations de confidentialité et aux bonnes pratiques en matière de protection des données personnelles.

En cas de violation de données (fuite, accès non autorisé), le courtier doit notifier la CNIL dans un délai de 72 heures et informer les personnes concernées si la violation présente un risque élevé pour leurs droits et libertés.

Les droits du client et les sanctions

Le client dispose de droits étendus sur ses données personnelles :

• Le droit d'accès : obtenir une copie de l'ensemble des données détenues par le courtier.
• Le droit de rectification : faire corriger les données inexactes ou incomplètes.
• Le droit à l'effacement (droit à l'oubli) : demander la suppression des données, sous réserve des obligations légales de conservation.
• Le droit d'opposition : s'opposer au traitement à des fins de prospection commerciale, à tout moment et sans justification.

Le non-respect des règles RGPD expose le courtier à des sanctions administratives de la CNIL pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. En complément, le courtier est soumis au contrôle de l'ACPR en sa qualité d'intermédiaire en opérations de banque et en services de paiement (IOBSP), ce qui impose des obligations renforcées en matière de traçabilité et de conformité.

Questions fréquentes

Le courtier peut-il transmettre mon dossier à des banques sans mon accord ?

Non. La transmission du dossier aux établissements partenaires est nécessaire à l'exécution de la mission de courtage, mais le client doit en être informé au préalable. Le courtier doit préciser la liste des destinataires dans sa notice d'information. Si le client s'oppose à la transmission à un établissement donné, le courtier doit respecter cette volonté.

Peut-on demander la suppression de son dossier après un refus de rachat ?

Oui. Le client peut exercer son droit à l'effacement auprès du courtier. Celui-ci doit supprimer les données dans un délai d'un mois, sauf obligation légale de conservation (lutte contre le blanchiment, contentieux en cours). Les données de santé doivent être supprimées immédiatement après le rejet du dossier.

Le courtier peut-il utiliser mes données pour de la prospection commerciale ?

Uniquement avec le consentement préalable du client pour la prospection par voie électronique (courriel, SMS). La prospection téléphonique est soumise au respect de la liste d'opposition Bloctel. Le client peut retirer son consentement ou s'opposer à la prospection à tout moment, sans justification, et le courtier doit cesser toute sollicitation dans les meilleurs délais.

Un courtier en ligne est-il soumis aux mêmes règles qu'un courtier en agence ?

Oui. Les obligations RGPD s'appliquent à tous les responsables de traitement, quelle que soit leur forme d'exercice (agence physique, site internet, application mobile). Les courtiers en ligne doivent en outre respecter les obligations spécifiques au commerce électronique, notamment en matière de recueil du consentement via des formulaires en ligne et de gestion des cookies.