RGPD et agence immobilière : mettre vos dossiers en conformité

Pourquoi le RGPD vise particulièrement les agences immobilières

Une agence immobilière traite des données personnelles à chaque étape de son activité. Estimation, mandat, visite, offre d'achat, signature du bail, gestion locative : chaque dossier accumule identité, coordonnées, revenus, situation familiale et professionnelle.

Cette collecte est à la fois massive et sensible. Fiches de paie, avis d'imposition, justificatifs de ressources d'un garant, pièces d'identité : vous manipulez au quotidien des informations que la loi protège strictement. Une fuite ou un usage abusif peut avoir des conséquences lourdes pour vos clients comme pour votre réputation.

Le RGPD ne vous empêche pas de travailler, il encadre. Chaque donnée collectée doit répondre à une finalité précise, être conservée le temps utile, puis supprimée. La CNIL a d'ailleurs multiplié les contrôles et les mises en demeure dans le secteur immobilier ces dernières années.

Minimisation : les pièces que vous pouvez exiger d'un candidat locataire

Le principe de minimisation est au cœur du RGPD : vous ne collectez que ce qui est nécessaire, au moment où cela le devient. Avant une visite, le nom, les coordonnées et le critère de recherche suffisent. Inutile de réclamer un dossier complet pour laisser quelqu'un visiter un appartement.

Pour constituer un dossier de location, le décret n° 2015-1437 du 5 novembre 2015 fixe une liste limitative de pièces. Vous pouvez demander un justificatif d'identité, un justificatif de domicile, des justificatifs d'activité professionnelle et des justificatifs de ressources, pour le candidat comme pour sa caution.

À l'inverse, certains documents sont formellement interdits : carte Vitale, copie de relevé de compte bancaire, attestation de bonne tenue de compte, livret de famille, extrait de casier judiciaire, contrat de mariage ou jugement de divorce. Exiger une pièce non autorisée expose à une amende pouvant atteindre 3 000 € pour une personne physique et 15 000 € pour une personne morale.

La CNIL rappelle enfin qu'on ne conditionne pas une visite à la remise d'un dossier complet. C'est à la fois une bonne pratique RGPD et une protection contre la fraude aux fausses annonces.

Durées de conservation : ne gardez pas les dossiers indéfiniment

Conserver un dossier « au cas où » n'est pas conforme. Chaque catégorie de donnée a une durée de vie, au terme de laquelle elle doit être supprimée ou archivée. Pour vous guider, la CNIL a publié un référentiel dédié à la gestion locative qui sert de cadre de référence au secteur.

Le dossier d'un candidat non retenu doit être supprimé rapidement, dès que le bien est attribué, sauf accord explicite de la personne pour rester dans votre vivier de recherche. Pour un locataire en place, les pièces sont conservées pendant toute la durée du bail.

Après le départ du locataire, vous n'archivez que ce qui est nécessaire pour couvrir les délais de prescription (loyers, charges, dépôt de garantie), généralement jusqu'à cinq ans ; les pièces comptables suivent leurs propres délais légaux. Notre guide des durées de conservation des données détaille ces échéances catégorie par catégorie.

Prospection et emailing immobilier : la règle de l'opt-in

Estimations offertes, alertes « nouveau bien », newsletters de quartier : la prospection est le moteur commercial d'une agence. Elle obéit toutefois à des règles précises que la CNIL vérifie régulièrement.

Pour démarcher un particulier par email ou SMS, vous devez recueillir son consentement préalable (opt-in). Une case cochée d'avance ou un accord noyé dans les conditions générales ne valent pas : il faut une action positive et claire. Chaque message doit aussi comporter un lien de désinscription simple et fonctionnel.

Une exception limitée existe : vous pouvez recontacter un client existant pour des services analogues à ceux déjà fournis, à condition qu'il ait été informé et puisse s'opposer. En cas de doute, l'opt-in reste la voie sûre, et vous devez pouvoir prouver le consentement. Appliquez nos règles pour une newsletter conforme au RGPD.

Votre site : estimation en ligne, formulaires et cookies

Le site de l'agence est devenu un point de collecte majeur. Un formulaire d'estimation en ligne recueille l'adresse d'un bien, les coordonnées du propriétaire et son projet de vente : c'est un traitement de données personnelles à part entière.

Chaque formulaire doit afficher une information claire (qui collecte, pourquoi, combien de temps, quels droits) et ne demander que les champs réellement utiles. Un simple lien vers votre politique de confidentialité, placé près du bouton d'envoi, remplit cette obligation.

Côté cookies, les traceurs de mesure d'audience ou publicitaires, comme un pixel de remarketing, exigent un consentement recueilli via un bandeau conforme, où refuser doit être aussi simple qu'accepter. Notre page conformité RGPD d'un site web reprend l'essentiel des points à vérifier.

Registre, sécurité des dossiers et audit de conformité

Le registre des traitements est obligatoire, même pour une petite agence. Il liste vos traitements : gestion locative, transactions, prospection, recrutement, comptabilité. C'est souvent le premier document que la CNIL réclame en cas de contrôle. Notre générateur de registre des traitements vous permet de le constituer sans partir d'une page blanche.

La sécurité n'est pas optionnelle. Dossiers papier rangés sous clé, accès informatiques nominatifs, mots de passe robustes, sauvegardes régulières : un avis d'imposition ou une fiche de paie qui fuite constitue une violation de données, potentiellement à notifier à la CNIL et aux personnes concernées.

Le plus simple pour savoir où vous en êtes, c'est de mesurer. Un audit RGPD gratuit analyse votre site, vos formulaires et vos cookies en quelques minutes et pointe les écarts à corriger en priorité. Ce contenu est informatif et ne constitue pas un conseil juridique personnalisé.