Cybersécurité, protection des données clients (RGPD) et résilience opérationnelle DORA : audit, conseil, formation et réalisation pour le courtage

La protection des données personnelles d'un cabinet

Registre des traitements et analyse d'impact

Un cabinet de courtage est responsable de traitement au sens du règlement (UE) 2016/679, dit RGPD, et de la loi n° 78-17 du 6 janvier 1978. La Commission nationale de l'informatique et des libertés (CNIL) rappelle que le registre des activités de traitement doit être tenu par tous les organismes, quelle que soit leur taille. L'exemption pour les structures de moins de 250 salariés est limitée à des cas très particuliers : elle ne vaut pas pour les traitements non occasionnels, comme la gestion des clients, ni pour ceux qui portent sur des données sensibles, comme des données de santé. En pratique, un cabinet tient un registre.

Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, une analyse d'impact relative à la protection des données (AIPD) est obligatoire. La CNIL l'exige pour les traitements de sa liste ou lorsque deux critères sur neuf sont réunis, par exemple le profilage, la surveillance systématique, les données sensibles ou la collecte à grande échelle. Sa méthode comporte quatre étapes et elle propose un logiciel libre pour la conduire. La protection des données dès la conception relève de la même logique : se poser les questions avant de choisir un outil, non après.

Le registre n'est pas une fin en soi : il sert à décider des durées de conservation, à écrire l'information donnée aux personnes, à retrouver les destinataires des données et à préparer les réponses aux demandes d'accès. Le site internet d'un cabinet pose aussi ses propres questions, notamment le consentement aux traceurs, que des outils de gestion du consentement aident à organiser.

Violations de données

Une violation de données est un incident qui entraîne la perte, la divulgation ou l'altération de données personnelles : poste volé, messagerie piratée, envoi d'un dossier au mauvais destinataire. Selon la CNIL, lorsque l'incident présente un risque pour les droits et libertés des personnes, le responsable de traitement notifie la CNIL dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance ; en cas de retard, il explique les motifs. Si le risque est élevé, les personnes concernées sont informées. Dans tous les cas, même sans notification, l'incident est documenté en interne.

Un cabinet n'a pas besoin d'une procédure complexe : il lui faut savoir qui prévient qui, comment le risque est qualifié, quelles traces sont conservées et qui rédige la notification. Ces éléments se préparent avant l'incident ; on ne les invente pas un vendredi soir.

Sous-traitants, transferts et délégué à la protection des données

Les outils d'un cabinet reposent sur des prestataires : logiciel de gestion, messagerie, signature, hébergement. Lorsqu'un prestataire traite des données pour le compte du cabinet, un contrat doit encadrer cette sous-traitance. Les transferts hors de l'Union européenne obéissent au chapitre V du RGPD, qui passe par une décision d'adéquation de la Commission, des clauses contractuelles types ou d'autres garanties ; l'état de ces dispositifs évolue et se vérifie à la date de la décision.

Le délégué à la protection des données, ou DPO, est désigné dans les cas prévus par le RGPD et peut l'être volontairement. La CNIL précise qu'il ne doit pas se trouver en conflit d'intérêts, ne reçoit pas d'instructions pour ses missions et rend compte au plus haut niveau de la direction. Sa certification est volontaire et délivrée par des organismes certificateurs agréés par la CNIL et accrédités par le Cofrac ; l'accès à l'épreuve suppose au moins deux ans d'expérience, ou deux ans d'expérience et 35 heures de formation en protection des données.

Résilience numérique : DORA, NIS 2 et référentiels

DORA et le courtage

Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA, s'applique depuis le 17 janvier 2025. Selon l'EIOPA, il couvre vingt types d'entités financières, dont les banques, les compagnies d'assurance et les entreprises d'investissement, ainsi que leurs prestataires de services informatiques. Il organise la gestion des risques liés aux technologies de l'information et de la communication, le signalement des incidents majeurs, les tests de résilience, le suivi des prestataires, avec un registre d'informations, et la supervision des prestataires critiques.

Pour un cabinet, la question est de savoir si, et dans quelle mesure, DORA le concerne. L'article 2 exclut du champ les intermédiaires d'assurance, de réassurance et à titre accessoire qui sont des microentreprises ou des petites ou moyennes entreprises ; la situation d'un groupe de courtage, ou d'un intermédiaire qui exerce aussi un autre statut, doit être examinée au cas par cas. Même exclu, un cabinet reçoit souvent les exigences répercutées par les assureurs et établissements qui sont ses partenaires : questionnaires, clauses, demandes de preuves. C'est là que son organisation numérique est regardée.

NIS 2 : une directive en cours de transposition

La directive (UE) 2022/2555, dite NIS 2, relève le niveau de cybersécurité d'un grand nombre d'entités de secteurs importants. Elle n'est pas transposée en droit français à la date de mise à jour de cette page : le projet de loi correspondant est en discussion et son calendrier reste incertain. Nous la présentons comme un cadre en cours de transposition, sans affirmer qu'elle s'applique à un cabinet en particulier, et nous recommandons de suivre le texte final avant toute décision.

Référentiels, méthodes et outils de sécurité

Les cabinets s'appuient sur des référentiels reconnus. La norme ISO/IEC 27001 décrit un système de management de la sécurité de l'information, la norme ISO/IEC 27005 la gestion des risques liés à cette sécurité, la norme ISO (International Organization for Standardization, Organisation internationale de normalisation) 22301 la continuité d'activité ; les certifications correspondantes sont délivrées par des organismes accrédités. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) propose la méthode EBIOS (Expression des besoins et identification des objectifs de sécurité) Risk Manager et qualifie les prestataires d'audit de sécurité. Autour d'eux, des outils concrets protègent les accès (annuaire, authentification, gestion des accès privilégiés), les postes, les messages et la sensibilisation des équipes.

La continuité d'activité complète ce tableau : savoir quels outils sont indispensables, combien de temps le cabinet peut s'en passer, où se trouvent les sauvegardes et qui rétablit quoi. Un plan court, relu et testé chaque année vaut mieux qu'un document ambitieux jamais ouvert.

Rôles et responsabilités

Le dirigeant, le référent données et le responsable de la sécurité

Le dirigeant répond de la protection des données et de la sécurité de son cabinet. Dans un cabinet de taille moyenne, un référent données personnelles organise le registre, les demandes des personnes et les incidents ; un DPO est désigné lorsque c'est obligatoire ou lorsque le cabinet le décide. La sécurité des systèmes d'information est portée par un responsable informatique, un prestataire ou, dans les petites structures, par le dirigeant lui-même. Aucun de ces rôles ne se délègue à un auditeur extérieur : un audit éclaire, il ne décide pas, et la responsabilité des choix reste celle de la direction, devant ses clients, ses partenaires et l'autorité.

Prestataires et compagnies partenaires

Les prestataires numériques ont leurs propres obligations contractuelles, et les compagnies partenaires, lorsqu'elles relèvent de DORA, demandent à leurs distributeurs et prestataires de s'y conformer par contrat. Un cabinet gagne à tenir un inventaire de ses prestataires, à connaître les données qu'ils traitent, à garder une trace de ses choix et à préciser qui répond de quoi. Les réseaux et groupements peuvent proposer des outils communs à leurs adhérents, qui restent responsables de leur propre application.

La sensibilisation des équipes fait partie du dispositif : hameçonnage, mots de passe, supports amovibles, envoi de dossiers par messagerie. Elle porte d'autant mieux qu'elle part de situations vécues dans un cabinet de courtage plutôt que de principes généraux.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons sur pièces votre organisation : registre, durées de conservation, contrats de sous-traitance, procédures, politique d'accès, sauvegardes, inventaire des prestataires. Nous conseillons sur la gouvernance des données et de la sécurité. Nous concevons des trames de registre, des fiches d'analyse d'impact, des procédures de gestion des violations, des chartes et des plans de continuité que vous adaptez et validez. Nous paramétrons des outils que vous avez choisis, avec des essais sur un environnement de test. Nous évaluons la maturité et les réflexes de vos équipes, y compris par un exercice de simulation sur table, et nous formons.

Concrètement, un audit commence par la lecture de votre registre, de vos contrats et de vos procédures, puis par deux ou trois entretiens avec le dirigeant, le référent données et le responsable informatique. Une conception part de vos pratiques et se teste sur un cas construit. Un déploiement suit un plan d'essais écrit, sur un environnement de test. Chaque prestation a un livrable défini à l'avance, un prix convenu après l'échange et un interlocuteur unique chez nous.

Chaque livrable est traçable, argumenté et présentable à un partenaire ou à votre dirigeant. Les cas d'usage décrits sur le site sont des exemples construits. Lorsque nous intervenons pour une entité soumise à DORA, nous acceptons les clauses contractuelles correspondantes.

Ce que nous ne faisons pas

Nous ne réalisons ni test d'intrusion ni audit de sécurité qualifié. Nous ne délivrons aucune certification ni attestation de conformité, y compris la certification du délégué à la protection des données. Nous ne remplissons pas la fonction de DPO ni de responsable de la sécurité pour vous, et nous n'hébergeons aucune donnée de vos clients. Nous ne consultons aucune donnée réelle de vos clients, en particulier aucune donnée de santé, dans le cadre de nos prestations.

Optédif n'est pas inscrit à l'ORIAS (Organisme pour le registre unique des intermédiaires en assurance, banque et finance), ne distribue aucun produit et ne donne aucune consultation juridique personnalisée. Un audit d'Optédif ne vaut pas contrôle de la CNIL et ne vaut pas attestation. Les décisions et les responsabilités restent celles de votre cabinet.

Références officielles

Notification d'une violation de données : cnil.fr. Registre des activités de traitement : cnil.fr. Analyse d'impact : cnil.fr. Désignation d'un délégué : cnil.fr. Page de l'EIOPA (European Insurance and Occupational Pensions Authority, Autorité européenne des assurances et des pensions professionnelles) sur DORA : eiopa.europa.eu. Agence nationale de la sécurité des systèmes d'information : cyber.gouv.fr.