Dans le quotidien d’un intermédiaire en opérations de banque et en services de paiement, la donnée est devenue une matière première aussi essentielle que le mandat ou l’étude de financement. Chaque dossier de crédit contient une quantité considérable d’informations relatives à la vie privée des emprunteurs : identité, revenus, situation familiale, patrimoine, relevés bancaires, habitudes de dépenses, coordonnées personnelles, voire parfois des informations particulièrement sensibles qui ne devraient jamais être collectées.
Pour les cybercriminels, ces données représentent un véritable trésor. Pour les autorités de contrôle, elles constituent un patrimoine informationnel qui mérite une protection renforcée. Entre ces deux réalités, les IOBSP occupent une position délicate : ils doivent collecter suffisamment d’informations pour évaluer la faisabilité d’un financement tout en respectant les exigences du Règlement général sur la protection des données (RGPD).
La publication récente par la CNIL d’une liste de vérification consacrée à l’évaluation de la solvabilité dans le cadre de l’octroi de crédit rappelle que les intermédiaires de crédit sont directement concernés par ces obligations et qu’ils doivent intégrer la protection des données à chaque étape du traitement des dossiers.
Une donnée personnelle : une notion beaucoup plus large qu’on ne l’imagine
De nombreux professionnels pensent encore qu’une donnée personnelle se limite au nom et au prénom d’un client. La réalité est bien plus vaste.
Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique. Il peut s’agir naturellement du nom, du prénom ou de l’adresse, mais également d’un numéro de téléphone, d’une adresse électronique, d’une adresse IP, d’un numéro de client, d’un IBAN ou encore d’une donnée de géolocalisation.
Pour un IOBSP, la quasi-totalité du contenu d’un dossier de crédit constitue donc un traitement de données personnelles : les bulletins de salaire, les avis d’imposition, les relevés de compte, les contrats de travail, les tableaux d’amortissement ou encore les pièces d’identité entrent pleinement dans le champ du RGPD.
Cette réalité est souvent sous-estimée alors même que le métier de courtier repose précisément sur la collecte, l’analyse, la transmission et la conservation de ces informations.
Les données sensibles : un terrain particulièrement dangereux
Le RGPD distingue certaines catégories de données qualifiées de “particulières” ou “sensibles”. Ces informations concernent notamment l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’état de santé, l’orientation sexuelle ou encore certaines données judiciaires. Faites donc attention à vos notes personnelles dans votre CRM, ou des notes sur l’appréciation du client, comme “un coco”, “un facho”, “un homo”, “un malade mental”, “un obèse”, “client en très mauvais état de santé”, etc. En revanche, on peut tolérer, mais cela reste déconseillé : “client gueulard”, “cliente chiante”, “odeur nauséabonde”, etc…
Le principe est simple : sauf exception légale très particulière, ces données ne doivent pas être collectées.
La CNIL insiste d’ailleurs sur ce point dans sa recommandation relative à l’évaluation de la solvabilité. Les établissements et intermédiaires doivent mettre en place des procédures afin d’éviter le traitement de catégories particulières de données personnelles, notamment lorsque des outils analysent automatiquement les mouvements bancaires ou les libellés d’opérations figurant sur les relevés de compte.
Concrètement, lorsqu’un courtier reçoit des relevés bancaires mentionnant des dépenses médicales, des cotisations syndicales ou des éléments révélant indirectement des informations sensibles, ces données ne doivent pas être exploitées dans l’analyse du dossier.
Le principe fondamental : collecter uniquement ce qui est nécessaire
L’une des erreurs les plus fréquentes consiste à demander systématiquement un volume important de documents sans se poser la question de leur utilité réelle.
Le RGPD repose pourtant sur un principe fondamental : la minimisation des données.
La CNIL rappelle que seules les informations pertinentes et nécessaires à l’évaluation de la solvabilité doivent être collectées et traitées. Un courtier ne peut donc pas demander un document simplement parce qu’il pourrait éventuellement être utile.
Chaque information collectée doit répondre à une finalité précise.
Cette exigence devient particulièrement importante à l’heure où certains outils permettent d’agréger automatiquement des données bancaires ou financières très détaillées. La CNIL recommande même de limiter, lorsque cela est possible, la fenêtre d’analyse des opérations bancaires à trois mois et rappelle qu’aucune donnée ne doit être collectée sur les réseaux sociaux pour évaluer la solvabilité d’un demandeur de crédit.
L’obligation d’information : un devoir dès le premier contact
Beaucoup de cabinets disposent d’une mention RGPD placée discrètement en bas d’un formulaire ou dans une rubrique oubliée de leur site internet. Cela ne suffit pas. Le prospect doit être informé dès la collecte de ses données.
Selon le RGPD, cette information doit être claire, compréhensible et facilement accessible.
Le client doit notamment connaître :
- l’identité du responsable du traitement ;
- les finalités poursuivies ;
- la base légale du traitement ;
- les destinataires des données ;
- les durées de conservation ;
- les droits dont il dispose ;
- les modalités d’exercice de ces droits.
La CNIL rappelle expressément que les personnes concernées doivent recevoir l’ensemble des informations prévues par les articles 13 et 14 du RGPD.
Dans un cabinet de courtage, cette obligation se traduit généralement par la remise d’une notice d’information RGPD ou l’intégration d’une clause spécifique dans le document d’entrée en relation.
La question essentielle : pourquoi collectez-vous ces données ?
Si un contrôle de la CNIL devait avoir lieu demain dans un cabinet de courtage, la première question posée serait probablement la suivante :
« Pourquoi collectez-vous cette information ? »
Le RGPD impose de déterminer une finalité précise avant même la collecte des données.
Pour un IOBSP, plusieurs finalités peuvent exister :
- étude de faisabilité du financement ;
- constitution du dossier bancaire ;
- évaluation de la solvabilité ;
- lutte contre le blanchiment et le financement du terrorisme ;
- gestion de la relation client ;
- traitement des réclamations ;
- respect des obligations légales et réglementaires.
Chaque donnée collectée doit pouvoir être rattachée à l’une de ces finalités.
Aucune collecte « au cas où » n’est autorisée.
Le document publié par la CNIL rappelle d’ailleurs que la nécessité et la proportionnalité du traitement doivent être documentées afin de démontrer leur conformité avec les obligations légales applicables en matière d’octroi de crédit.
Les durées de conservation : le grand oublié des cabinets
S’il existe un sujet régulièrement négligé par les professionnels, c’est bien celui de la conservation des données. Beaucoup de cabinets conservent les dossiers pendant des années sans justification réelle. Or le RGPD interdit de conserver des données plus longtemps que nécessaire.
La CNIL apporte désormais des indications très concrètes :
➡ Pour les données collectées dans le cadre d’une demande de crédit rejetée, une procédure doit permettre leur suppression au plus tard 6 mois après le dépôt de la demande, sauf nécessité de conservation pour une autre finalité légitime ou à des fins probatoires.
➡ Concernant les incidents de paiement ou les manquements contractuels, la CNIL considère que leur prise en compte dans une nouvelle demande de crédit ne devrait pas dépasser vingt-quatre mois après leur régularisation complète ou après extinction de la créance concernée.
Pour les IOBSP, cela implique la mise en place d’une véritable politique d’archivage et de suppression des données.
Les destinataires : avec qui partagez-vous les informations ?
L’information du client doit également porter sur les destinataires des données.
Dans le secteur du crédit, les informations sont fréquemment transmises :
- aux établissements prêteurs ;
- aux compagnies d’assurance emprunteur ;
- aux prestataires informatiques ;
- aux hébergeurs ;
- aux plateformes de traitement des dossiers ;
- aux partenaires intervenant dans l’instruction du crédit.
Le client doit savoir précisément à qui ses données peuvent être communiquées.
Cette exigence est d’autant plus importante que certains logiciels ou services cloud peuvent entraîner des transferts de données en dehors de l’Union européenne. Dans ce cas, des garanties spécifiques doivent être mises en œuvre conformément au RGPD.
La sécurité : une obligation permanente
La protection des données ne se limite pas à la rédaction d’une notice d’information. Elle implique également des mesures techniques et organisationnelles adaptées : contrôle des accès, mots de passe robustes, double authentification, sauvegardes régulières, chiffrement des données, formation des collaborateurs et gestion des incidents doivent faire partie du quotidien des cabinets.
La CNIL insiste également sur la nécessité de limiter l’accès aux données aux seules personnes habilitées à en connaître au regard de leurs fonctions. Pour un cabinet de courtage, cela signifie qu’un collaborateur ne doit pouvoir accéder qu’aux dossiers relevant de son périmètre d’intervention.
Violation de données : l’horloge tourne
Aucun cabinet n’est totalement à l’abri d’une erreur humaine, d’un vol d’ordinateur portable ou d’une attaque informatique. Lorsqu’une violation de données personnelles survient, le RGPD impose une réaction rapide. Si cette violation présente un risque pour les personnes concernées, elle doit être notifiée à la CNIL dans un délai maximal de 72 heures après sa découverte. Dans certaines situations, les clients concernés devront également être informés.
L’existence d’un plan de gestion de crise et d’une procédure interne devient donc indispensable.
Et un truc très simple qu’on oublie souvent. Si votre système informatique ou votre CRM est piraté et qu’il envoie des données, débrancher la prise ! Dans un premier temps, on le débranche électriquement, c’est radical et dans un second temps, on le déconnecte d’internet, sans qui le programme malveillant ne peut plus rien envoyer. On nettoie, on répare, et on rebranche.
Une question de conformité… mais aussi de confiance
La protection des données n’est plus un simple sujet informatique réservé aux grandes entreprises. Pour les IOBSP, elle est devenue une composante essentielle de la relation client. L’emprunteur qui remet à son courtier ses relevés bancaires, ses bulletins de salaire, ses avis d’imposition et parfois l’ensemble de son patrimoine effectue un véritable acte de confiance. L’augmentation du nombre d’usurpations d’identité devrait déjà retentir dans vos esprits.
Respecter les règles du RGPD, informer clairement les clients, limiter les données collectées, définir des durées de conservation cohérentes et sécuriser les traitements n’est donc pas seulement une obligation juridique.
C’est également une exigence professionnelle qui participe directement à la crédibilité du cabinet.
À l’heure où la CNIL affine ses recommandations sur l’évaluation de la solvabilité et où les cyberattaques se multiplient, les IOBSP ont tout intérêt à considérer la protection des données non comme une contrainte administrative supplémentaire, mais comme un élément central de leur devoir de professionnalisme.
Si vous le souhaitez vous pouvez télécharger ici la check-list éditée par la CNIL
Jérôme CUSANNO
Directeur de l’iepb
https://iobette.fr/wp-content/uploads/2026/06/liste-verification-octroi-credit.pdf
