Le cadre légal en 2026

Trois textes structurent la génération de leads assurance en France : le Code des assurances (article L 521-2 sur la DDA), le RGPD européen (règlement 2016/679) et les recommandations ACPR sur les pratiques commerciales.

Depuis 2022, l'ACPR renforce ses contrôles sur les intermédiaires qui achètent des leads : origine des données, consentement, transparence des rémunérations. Les sanctions vont de l'avertissement au retrait d'immatriculation ORIAS.

Directive sur la Distribution d'Assurance (DDA)

L'article L 521-2 impose à tout intermédiaire de s'identifier (nom, statut, ORIAS), préciser la nature du service intermédié, informer sur les rémunérations, vérifier les exigences et besoins du client, et remettre une fiche d'information standardisée. Pour la génération de leads, ces obligations doivent être respectées dès la landing page.

RGPD : les 6 éléments à conserver par lead

Un opt-in valide inclut : IP, User-Agent, timestamp UTC à la milliseconde, texte exact du consentement, URL de la landing, ID de campagne publicitaire. Ces éléments constituent la preuve exigible en cas de contrôle CNIL ou ACPR.

Droit à l'oubli : le processus type

En cas de demande de suppression : réception, vérification d'identité, suppression sous 72 heures, preuve de suppression envoyée, archivage dans le registre RGPD. Ces obligations s'appliquent tant au générateur de leads qu'au courtier destinataire.

Ce que risque un courtier non conforme

Les sanctions ACPR pour manquement à la DDA vont de l'avertissement à la radiation ORIAS, en passant par des sanctions pécuniaires jusqu'à 100 000 €. Côté CNIL, les sanctions RGPD peuvent atteindre 4 % du CA mondial.