RGPD dans un cabinet de gestion de patrimoine : ce qu’il faut avoir fait, et ce qu’on oublie
Publié le 29 septembre 2026 · Par Tristan Alterno, fondateur de Qorvex
Dans cette page
En une phrase : Un cabinet de gestion de patrimoine est responsable du traitement des données de ses clients, parmi les plus sensibles qui soient (patrimoine, revenus, situation familiale, parfois santé) : il tient un registre des traitements, informe ses clients dans le DER ou une notice, fixe des durées de conservation, encadre ses sous-traitants par contrat, sait où ses données sont hébergées, et ne confie des données à un outil d’intelligence artificielle que s’il sait ce que l’outil en fait.
Pourquoi le sujet est sérieux dans un cabinet
Un dossier client de gestion de patrimoine contient ce qu’une personne dit rarement à quiconque : ses revenus, son patrimoine, ses dettes, sa situation familiale, ses projets, parfois son état de santé quand un contrat de prévoyance est en jeu. Le RGPD s’applique à tout cela, et le cabinet en est le responsable de traitement. Ce n’est pas une formalité de plus : une fuite de dossiers clients est, pour un cabinet, un sinistre de réputation avant d’être un dossier CNIL.
Ce qu’il faut avoir fait
| Obligation | En pratique pour un cabinet |
|---|---|
| Registre des traitements (art. 30) | Un tableau : gestion des dossiers clients, prospection, LCB-FT, paie, avec pour chacun finalité, données, destinataires, durée, sécurité |
| Information des personnes (art. 13) | Une notice remise à l’entrée en relation, souvent intégrée au DER : qui traite, pourquoi, combien de temps, quels droits |
| Base légale | L’exécution du contrat pour le conseil, l’obligation légale pour la LCB-FT et la conservation, l’intérêt légitime ou le consentement pour la prospection |
| Durées de conservation (art. 5) | Fixées et écrites, alignées sur les durées réglementaires, avec ce qui se passe à leur terme |
| Sous-traitants (art. 28) | Un contrat avec chaque prestataire qui traite des données pour le cabinet : logiciel métier, hébergeur, messagerie, signature, IA |
| Sécurité (art. 32) | Authentification forte, chiffrement, sauvegardes, droits d’accès par conseiller, journal des accès |
| Violations (art. 33) | Une procédure : qui fait quoi dans les 72 heures suivant la découverte d’une fuite |
| Droits des personnes | Pouvoir répondre à une demande d’accès ou d’effacement dans le mois, en sachant où sont les données |
Les sous-traitants : la question qu’on pose trop tard
Chaque outil qui touche aux données clients est un sous-traitant : le logiciel métier, l’hébergeur, la messagerie, l’outil de signature, le service d’agrégation, l’assistant d’IA. Pour chacun, le cabinet doit pouvoir dire où les données sont hébergées, sous quel contrat, et ce qui se passe à la fin de la relation. Un éditeur sérieux répond à ces questions par écrit, sans qu’on ait à les poser. Ce qu’il faut demander à un éditeur.
L’IA, cas particulier
Coller un avis d’imposition ou un recueil dans un assistant grand public, c’est transférer des données sensibles à un tiers, souvent hors de l’Union, parfois avec conservation et réutilisation pour l’entraînement selon les conditions du service. Ce n’est pas l’usage de l’IA qui pose problème, c’est l’absence de contrat. Un outil métier qui utilise l’IA doit dire ce qu’il envoie, à qui, si c’est conservé, et sous quel accord de sous-traitance.
Nous détaillons la question ici.
Ce que la CNIL regarde
Les contrôles de la CNIL dans les professions du conseil portent le plus souvent sur l’information des personnes, les durées de conservation, la sécurité des accès et l’encadrement des sous-traitants. Un registre tenu, une notice remise, des durées écrites et des contrats signés couvrent l’essentiel.
Questions fréquentes
Un petit cabinet CGP doit-il tenir un registre des traitements ?
Oui. L’exemption pour les entreprises de moins de 250 salariés ne joue pas quand le traitement n’est pas occasionnel ou porte sur des données sensibles, ce qui est le cas d’un cabinet qui tient des dossiers clients. Le registre liste chaque traitement, sa finalité, les données, les destinataires, les durées et les mesures de sécurité.
Faut-il un délégué à la protection des données ?
Pas obligatoirement pour un cabinet de quelques conseillers : l’obligation vise les organismes publics et ceux dont l’activité de base implique un suivi régulier et systématique à grande échelle ou des données sensibles à grande échelle. Désigner un référent interne reste une bonne pratique.
Un logiciel hébergé hors de l’Union européenne est-il interdit ?
Non, mais le transfert doit reposer sur une base valide (décision d’adéquation, clauses contractuelles types) et être documenté. Un hébergement dans l’Union simplifie considérablement la démonstration, ce qui explique que les cabinets le demandent.
Peut-on confier des documents clients à un outil d’IA ?
Seulement si le cabinet sait ce que l’outil fait des données : où elles sont traitées, si elles sont conservées, si elles servent à entraîner des modèles, et sous quel contrat. Coller un avis d’imposition dans un assistant grand public sans ces garanties est un transfert de données sensibles à un tiers non encadré.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 5, 13, 28, 30 — EUR-Lex
- CNIL, « RGPD : se préparer en 6 étapes »
- CNIL, registre des activités de traitement
Cette page décrit l’état des textes et des pratiques à la date indiquée et ne constitue pas un conseil juridique. Références consultées le 29 septembre 2026 ; la réglementation évolue, et l’appréciation d’un cas particulier revient à votre conseil ou à votre association professionnelle.
Et dans Qorvex
Qorvex est hébergé dans l’Union européenne, agit comme sous-traitant du cabinet au sens du RGPD, et l’écrit dans ses conditions. Les fichiers déposés pour le préremplissage (avis d’imposition, relevés) sont lus, puis ne sont pas conservés ; ils ne servent à entraîner aucun modèle, et le prestataire d’IA intervient comme sous-traitant ultérieur, nommé. Le cabinet peut exporter ses données, et rien n’est verrouillé chez nous.
Découvrir Qorvex · Poser une question