Achat de leads assurance : obligations RGPD, DDA, ORIAS et règles de démarchage 2026

Selon le rapport annuel 2023 de l’ORIAS, le registre comptait fin 2023 plus de 26 700 courtiers et plus de 11 800 agents généraux d’assurance. Beaucoup d’entre eux achètent des leads pour développer leur portefeuille. Or un lead acheté reste une donnée personnelle, et le premier appel reste un acte de distribution : le RGPD, la Directive sur la Distribution d’Assurances (DDA), l’immatriculation ORIAS et le consentement préalable au démarchage téléphonique, obligatoire depuis le 11 août 2026, s’appliquent en même temps.

1 – Cadre réglementaire : pourquoi l’achat de leads assurance est encadré

Un marché sous haute surveillance

L’assurance est l’un des secteurs les plus régulés en France. L’ACPR (Autorité de contrôle prudentiel et de résolution) contrôle les pratiques commerciales des distributeurs, la CNIL veille à la protection des données personnelles, la DGCCRF sanctionne les manquements aux règles de démarchage et l’ORIAS tient le registre des intermédiaires. Lorsqu’un cabinet de courtage ou un agent général achète des leads, qu’il s’agisse de leads en assurance emprunteur ou de mutuelle sénior, il acquiert des données personnelles (nom, téléphone, e-⁠mail, besoin d’assurance), parfois liées à la santé, qui relèvent alors des catégories particulières de données (article 9 du RGPD). Le traitement de ces données relève du RGPD, l’appel relève du Code de la consommation et du Code des assurances, et le conseil qui suit relève de la DDA.

Les piliers réglementaires à connaître

• Le RGPD (règlement UE 2016/679) : il encadre la collecte et l’utilisation des données personnelles (base légale, traçabilité du consentement, durée de conservation limitée, droits des personnes).
• La loi n° 2025-⁠594 du 30 juin 2025 : depuis le 11 août 2026, il est interdit de démarcher un consommateur par téléphone sans son consentement préalable, que le professionnel doit pouvoir prouver. La liste d’opposition Bloctel n’est plus la référence. Une société en infraction s’expose à une amende administrative pouvant atteindre 375 000 €, et le contrat conclu à la suite d’un appel irrégulier est nul.
• Les règles propres à l’assurance : le Code des assurances (articles L. 112-2-2 et R. 112-⁠7, dans leur rédaction en vigueur depuis le 11 août 2026) encadre aussi les appels de distribution. En pratique : rappelez le prospect dans les 30 jours qui suivent sa demande, faites-⁠lui connaître avant l’appel l’identité de votre cabinet et votre numéro ORIAS, et conservez la preuve d’un accord exprimé clairement et librement.
• La DDA (directive UE 2016/97) : applicable en France depuis le 1er octobre 2018, elle impose un conseil adapté, la transparence sur le statut et la rémunération de l’intermédiaire et une information précontractuelle dès le premier contact, y compris lorsque le prospect provient d’un lead acheté.
• L’immatriculation ORIAS : tout intermédiaire en assurance doit être inscrit au registre unique tenu par l’ORIAS. Sans immatriculation valide, présenter ou proposer un contrat d’assurance constitue un exercice illégal de l’intermédiation.

2 – Obligations RGPD : consentement, traçabilité et conservation des leads achetés

Le consentement : pierre angulaire de la conformité

Le lead que vous achetez doit reposer sur un consentement libre, spécifique, éclairé et univoque (articles 4 et 7 du RGPD) : le prospect accepte que ses coordonnées soient transmises à un intermédiaire identifié qui le rappellera au sujet de sa demande. Le fournisseur en garde la trace, mais c’est à vous de contrôler qu’il couvre votre appel : vérifiez que le prospect a été informé, avant votre appel, de l’identité de votre cabinet et de votre numéro ORIAS (sur le formulaire ou par un message envoyé avant l’appel), que l’accord porte sur le besoin exprimé et que vous rappelez dans les 30 jours. En cas de contrôle de la CNIL ou de la DGCCRF, c’est à celui qui a appelé de justifier la licéité de l’appel. Selon la fiche pratique publiée par la DGCCRF en 2026, la preuve du consentement doit être conservée au moins trois ans, et la personne peut retirer son accord à tout moment.

Conseil pratique : exigez pour chaque lead une preuve de consentement horodatée : case cochée par le prospect, texte exact affiché, date, heure et page d’origine. Chez Masterlead, les leads sont produits par nos propres campagnes publicitaires renvoyant vers un formulaire que le prospect remplit lui-⁠même ; nous n’achetons pas de fichiers et ne passons aucun appel sortant. Chaque lead est livré avec sa preuve de consentement : découvrez comment nos leads entrants sont produits.

Base légale : pourquoi l’intérêt légitime ne suffit plus pour appeler un particulier

• Consentement (opt-⁠in actif) : c’est la base la plus solide. Le prospect coche lui-⁠même une case non pré-⁠cochée, distincte des conditions générales, qui autorise la transmission de ses données à un intermédiaire identifié. En formule mutualisée, la CNIL exige que les sociétés destinataires soient nommées avant la transmission.
• Intérêt légitime : le RGPD peut l’admettre pour certaines prospections entre professionnels. Mais pour démarcher un particulier par téléphone, qu’il s’agisse d’assurance emprunteur, de mutuelle sénior ou de PER, le Code de la consommation exige désormais son consentement préalable : l’intérêt légitime ne permet plus, à lui seul, de l’appeler.
• Opt-⁠out et fichiers achetés : une case pré-⁠cochée, une information floue sur la finalité ou un fichier simplement « nettoyé Bloctel » ne vous protègent plus. Un tel lead est non conforme et constitue un risque juridique direct pour celui qui appelle.

Durée de conservation et droits des personnes

Le RGPD impose de ne conserver les données que le temps nécessaire à la finalité du traitement. Dans son référentiel sur la gestion commerciale (délibération n° 2021-⁠131 du 23 septembre 2021), la CNIL retient, pour un prospect non client, une durée de 3 ans à compter de la collecte ou du dernier contact émanant du prospect, comme une demande d’information ou de devis. Au-⁠delà, les données doivent être supprimées ou anonymisées. Lors du premier contact, informez aussi la personne de l’origine de ses données et de la manière d’exercer ses droits (article 14 du RGPD).

• Droit d’accès : le prospect peut savoir quelles données vous détenez sur lui et d’où elles proviennent.
• Droit de rectification : il peut exiger la correction de données erronées.
• Droit à l’effacement : vous supprimez ses données sur demande, sauf obligation légale de conservation.
• Droit d’opposition et retrait du consentement : s’il refuse d’être prospecté, cessez immédiatement tout contact et notez-⁠le dans votre outil de suivi.

Registre des traitements et DPO

Tout cabinet de courtage ou agent général qui achète et traite des leads doit tenir un registre des activités de traitement (article 30 du RGPD). Ce registre précise la finalité de la prospection, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité. Si votre cabinet traite à grande échelle des données de santé, fréquentes en mutuelle, en prévoyance ou en assurance emprunteur, la désignation d’un délégué à la protection des données (DPO) peut devenir obligatoire (article 37 du RGPD). Dans tous les cas, limitez l’accès aux leads aux seules personnes chargées de les rappeler.

3 – Obligations DDA et ORIAS : conseil, transparence et légitimité de l’intermédiaire

DDA : le devoir de conseil s’applique dès le premier appel

La DDA ne fait aucune distinction entre un prospect qui vous contacte spontanément et un lead acheté. Dès le premier échange, par téléphone ou par e-⁠mail, vous devez respecter les obligations suivantes :

• Annoncer qui vous êtes : dès le début de l’appel, indiquez votre identité, votre statut (courtier, agent général ou mandataire) et votre numéro ORIAS, puis, selon votre statut, vos entreprises partenaires et la nature de votre rémunération. Votre identité et votre numéro ORIAS doivent aussi parvenir au prospect avant l’appel, sur le formulaire ou par un message préalable.
• Recueillir les exigences et les besoins : documentez la situation et les besoins de couverture du prospect avant toute recommandation. C’est le socle du devoir de conseil.
• Remettre le document d’entrée en relation (DER) : il doit être remis avant la conclusion du contrat. Pour un lead rappelé par téléphone, envoyez-⁠le par e-⁠mail dès le premier échange.
• Fournir le document produit normalisé : pour un produit non-⁠vie, remettez la fiche IPID, qui résume garanties et exclusions ; pour un produit d’investissement, le document d’informations clés.
• Rappeler à temps et enregistrer l’appel : rappelez dans les 30 jours qui suivent la demande. Enregistrez vos appels et prévenez-⁠en le prospect dès le début : le Code des assurances impose d’enregistrer certaines conversations téléphoniques avant la souscription. Laissez-⁠lui ensuite le temps de lire les documents remis avant de signer.

La conformité DDA est contrôlée par l’ACPR, qui procède à des contrôles sur pièces ou sur place. Sa commission des sanctions peut prononcer des sanctions disciplinaires allant de l’avertissement à la radiation du registre, assorties le cas échéant de sanctions pécuniaires.

ORIAS : votre immatriculation et celle de votre fournisseur

L’ORIAS (Organisme pour le registre unique des intermédiaires en assurance, banque et finance) atteste la légalité d’exercice de chaque intermédiaire. Avant d’acheter des leads, vérifiez que :

• Votre immatriculation est à jour dans la bonne catégorie : courtier (COA), agent général (AGA), mandataire d’intermédiaire (MIA) ou mandataire d’assurance (MA).
• Votre responsabilité civile professionnelle est en vigueur et couvre bien votre activité de conseil et de distribution.
• Votre garantie financière est active si vous encaissez des fonds pour le compte de tiers.
• Votre formation continue est à jour : au moins 15 heures par an, selon l’article R. 512-13-1 du Code des assurances.

Vérifiez aussi votre fournisseur : sa raison sociale, la façon dont il produit ses leads et, s’il est immatriculé, son numéro sur le registre public de l’ORIAS. Masterlead est édité par Mission Citoyenne SARL, immatriculée à l’ORIAS sous le n° 19001415. Astuce : écartez tout fournisseur qui refuse d’expliquer l’origine de ses leads ou qui les obtient par des appels sortants. C’est vous qui rappelez le prospect, donc vous qui portez le risque.

Traçabilité complète : la clé pour sécuriser votre processus

En combinant les exigences de la DDA, du RGPD et des règles de démarchage, vous devez pouvoir reconstituer, pour chaque lead converti ou non, l’ensemble du parcours :

• Source du lead : fournisseur, campagne, formulaire et page d’origine.
• Preuve de consentement : case cochée, texte affiché, date et heure.
• Information préalable : formulaire ou message prouvant que le prospect connaissait votre identité et votre numéro ORIAS avant l’appel.
• Délai de rappel : date de la demande et date du premier appel, pour démontrer le respect des 30 jours.
• Historique des contacts : appels, e-⁠mails et SMS, avec leurs dates et leur contenu.
• Recueil des besoins et conseil : fiche de recueil complétée et archivée.
• Documents remis : DER, fiche produit et proposition, datés et conservés.

Un CRM adapté au courtage centralise ces informations et automatise la purge. Masterlead livre ses leads en temps réel par e-⁠mail, dans votre espace client ou dans votre CRM, avec leur preuve de consentement.

Erreurs fréquentes à éviter

• Appeler sans preuve de consentement : depuis le 11 août 2026, appeler un particulier qui n’a pas consenti au préalable expose une société à une amende pouvant atteindre 375 000 €. N’achetez pas de fichiers et ne comptez plus sur un simple « nettoyage Bloctel » : les règles de démarchage en vigueur exigent une preuve pour chaque contact.
• Rappeler trop tard : rappelez dans les 30 jours qui suivent la demande, idéalement dans les heures qui suivent la réception du lead. Plus l’attente est longue, moins le prospect se souvient de sa demande.
• Acheter du mutualisé opaque : un lead transmis à des acheteurs qui n’étaient pas nommés sur le formulaire ne repose pas sur un consentement valable. Chez Masterlead, le lead est exclusif par défaut ; en formule mutualisée, les acheteurs sont nommés sur le formulaire.
• Conserver les données indéfiniment : un prospect qui ne vous a plus contacté depuis 3 ans doit être supprimé ou anonymisé.
• Oublier le DER au premier contact : même pour un lead rappelé quelques minutes après sa demande, envoyez-⁠le par e-⁠mail juste après l’appel.
• Ne pas segmenter les leads par produit : des leads décennale et des leads PER n’appellent ni les mêmes questions, ni les mêmes documents, ni le même niveau de conseil.