Que deviennent mes données personnelles quand je demande un devis ?

Demander un devis d’assurance construction, ce n’est pas remplir un formulaire anodin. Vous communiquez votre identité, celle de votre entreprise, votre chiffre d’affaires, votre expérience, parfois vos antécédents de sinistres. Ces informations sont sensibles sur le plan commercial et personnelles au sens de la réglementation. La question « où vont mes données ? » est donc parfaitement légitime, et elle se pose avec d’autant plus d’acuité que le métier de courtier implique, par construction, de transmettre votre dossier à plusieurs assureurs pour obtenir des propositions. Cette page explique ce qui se passe réellement, quelles sont les bases légales, combien de temps les informations sont conservées et quels droits vous pouvez exercer.

Le principe cardinal du Règlement général sur la protection des données est celui de la finalité déterminée : des données ne peuvent être collectées que pour un objectif précis, explicite et légitime, et ne peuvent ensuite être utilisées d’une manière incompatible avec cet objectif.

Dans le cadre d’une demande de devis en assurance construction, les finalités sont les suivantes :

• Étudier votre besoin et qualifier le risque : nature de vos activités, techniques employées, volume d’affaires, antécédents. Sans ces éléments, aucune tarification n’est possible.
• Établir une proposition d’assurance et vous remettre les documents précontractuels exigés par le Code des assurances, dont le formalisme du devoir de conseil prévu à l’article L521-4.
• Gérer le contrat s’il est conclu : émission des pièces, encaissement des cotisations, avenants, attestations, accompagnement en cas de sinistre.
• Respecter les obligations légales qui pèsent sur les intermédiaires d’assurance : lutte contre le blanchiment de capitaux et le financement du terrorisme, conservation des justificatifs du conseil délivré, réponse aux demandes des autorités de contrôle.

La base légale, au sens de l’article 6 du RGPD, est principalement l’exécution de mesures précontractuelles prises à votre demande — vous sollicitez un devis — puis l’exécution du contrat s’il est signé, ainsi que le respect d’obligations légales. La prospection commerciale, elle, relève d’un régime distinct : elle suppose votre consentement ou, dans certaines conditions, l’intérêt légitime, et vous pouvez vous y opposer à tout moment.

Un point mérite d’être dit clairement : une demande de devis n’est pas une autorisation générale d’usage. Le principe de minimisation impose que seules les données adéquates, pertinentes et limitées à ce qui est nécessaire soient collectées. Si une information vous paraît hors sujet au regard de l’assurance demandée, vous êtes fondé à demander pourquoi elle est réclamée.

C’est la spécificité du courtage, et elle doit être expliquée sans détour. Un courtier ne porte pas le risque : il le place. Pour obtenir des propositions, il doit donc présenter votre dossier aux assureurs susceptibles d’accepter votre profil. Cette transmission est inhérente au service que vous demandez.

Les destinataires possibles se répartissent en trois cercles :

• Les équipes internes habilitées : conseiller en charge de votre dossier, service souscription, service gestion, service conformité. L’accès est limité à ce qui est nécessaire à chaque fonction.
• Les entreprises d’assurance et, le cas échéant, les intermédiaires grossistes sollicités pour tarifer votre risque. Chacun devient responsable du traitement pour les données qu’il reçoit et applique sa propre politique de protection des données.
• Les sous-traitants techniques : hébergeur, éditeur de l’outil de gestion, prestataire de signature électronique, service d’envoi de courriels. Ils agissent sur instruction, dans le cadre d’un contrat de sous-traitance conforme à l’article 28 du RGPD, et n’ont pas le droit d’utiliser vos données pour leur compte.

Deux garde-fous méritent d’être connus. Le premier est le secret professionnel auquel sont tenus les intermédiaires et les entreprises d’assurance. Le second est l’interdiction de céder vos données à des tiers à des fins de prospection sans base juridique valable : recevoir un devis d’assurance construction ne doit pas se traduire par une avalanche de sollicitations sans rapport.

Enfin, la question de la localisation des données se pose. Les traitements sont en principe réalisés au sein de l’Union européenne. Lorsqu’un transfert hors de l’Union est nécessaire, il doit être encadré par l’un des mécanismes prévus au chapitre V du RGPD, par exemple une décision d’adéquation ou des clauses contractuelles types. Les mentions d’information qui vous sont remises doivent préciser ce point ; n’hésitez pas à le demander s’il n’y figure pas.

Le RGPD ne fixe pas de durée universelle : il impose que les données ne soient pas conservées au-delà de ce qui est nécessaire au regard de la finalité poursuivie. En pratique, plusieurs régimes coexistent selon l’issue de votre demande.

Trois textes structurent ces durées. La prescription biennale de l’article L114-1 du Code des assurances, qui enferme dans un délai de deux ans les actions dérivant du contrat d’assurance. Les obligations de vigilance issues du Code monétaire et financier, qui imposent aux intermédiaires de conserver pendant cinq ans après la fin de la relation d’affaires les documents relatifs à l’identité des clients. Enfin, en assurance construction, la durée décennale de la responsabilité rend nécessaire la conservation prolongée de certaines pièces du dossier de souscription.

Deux notions doivent être distinguées. La base active est celle dans laquelle vos données restent directement accessibles aux équipes. L’archivage intermédiaire est un accès restreint, réservé aux seules personnes qui en ont besoin pour un contentieux ou un contrôle. Une donnée archivée n’est plus utilisée pour vous solliciter commercialement.

Les mentions d’information qui vous sont remises au moment de la collecte doivent indiquer la durée applicable ou, à défaut, les critères permettant de la déterminer. Si cette information vous manque, demandez-la : c’est un droit, pas une faveur.

Le RGPD et la loi n° 78-17 du 6 janvier 1978 vous reconnaissent une série de droits que vous pouvez exercer directement auprès du responsable du traitement.

• Droit d’accès : obtenir la confirmation que des données vous concernant sont traitées, et en recevoir une copie ainsi que les informations sur les finalités, les destinataires et la durée de conservation.
• Droit de rectification : faire corriger une donnée inexacte ou compléter une donnée incomplète. En assurance, ce droit est très concret : une activité mal renseignée ou un chiffre d’affaires erroné peut fausser toute la tarification.
• Droit à l’effacement : demander la suppression de vos données. Il n’est pas absolu : il cède devant une obligation légale de conservation ou devant la nécessité de constater, exercer ou défendre un droit en justice.
• Droit à la limitation : geler l’utilisation de vos données, par exemple pendant que vous contestez leur exactitude.
• Droit d’opposition : vous opposer à un traitement fondé sur l’intérêt légitime, et, s’agissant de la prospection commerciale, vous y opposer à tout moment et sans motif.
• Droit à la portabilité : récupérer, dans un format structuré et lisible par machine, les données que vous avez fournies, lorsque le traitement repose sur le consentement ou sur un contrat.
• Directives post mortem : définir le sort de vos données après votre décès.

La demande peut être formulée par écrit, en justifiant de votre identité en cas de doute raisonnable. Le responsable du traitement doit répondre dans un délai d’un mois, prolongeable de deux mois en cas de complexité, en vous informant alors des raisons du délai supplémentaire.

Si la réponse ne vous satisfait pas ou si elle n’arrive pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés d’une réclamation, et former un recours juridictionnel. Ces voies sont cumulables et n’exigent pas d’avoir épuisé au préalable la discussion avec l’organisme concerné, même il est toujours plus rapide de commencer par là.

Vous n’êtes pas passif dans cette relation. Quelques réflexes simples réduisent nettement votre exposition, sans nuire à la qualité du devis obtenu.

• Distinguez l’étape devis de l’étape souscription. Pour tarifer une décennale, un assureur a besoin de vos activités, de votre chiffre d’affaires, de votre expérience et de vos antécédents. Il n’a pas besoin, à ce stade, de votre relevé d’identité bancaire ni d’un moyen de paiement. Ces éléments n’interviennent qu’au moment de la mise en place du contrat.
• Vérifiez à qui vous vous adressez. Tout intermédiaire d’assurance exerçant en France doit être immatriculé au registre unique des intermédiaires, consultable publiquement. Batirio y figure sous le numéro ORIAS 22001730. Un site qui ne mentionne ni identité juridique, ni numéro d’immatriculation, ni mentions d’information sur les données doit vous alerter.
• Lisez la mention d’information au moment de la collecte. Elle doit indiquer l’identité du responsable du traitement, les finalités, les bases légales, les destinataires, la durée de conservation et les modalités d’exercice de vos droits. Son absence est en soi un signal.
• Décochez ce qui ne vous intéresse pas. Les cases relatives à la prospection commerciale ou à la transmission à des partenaires doivent être distinctes de la demande elle-même. Refuser la prospection n’empêche pas d’obtenir un devis.
• Méfiez-vous des demandes anormales. Aucune étude de devis sérieuse ne réclame vos identifiants bancaires en ligne, un virement immédiat pour « réserver » un tarif, ou une copie de pièce d’identité par messagerie non sécurisée avant toute proposition écrite.
• Signalez tout changement. Une adresse obsolète ou un chiffre d’affaires non actualisé sont autant de données inexactes ; les faire corriger relève du droit de rectification et sert directement vos intérêts.

La transparence n’est pas un supplément d’âme : c’est la condition d’une relation de confiance entre vous et votre courtier.