Le RGPD en agence immobilière

Les textes applicables

Le texte de base est le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il est applicable depuis le 25 mai 2018 et il est d'application directe : il n'a pas eu besoin d'être transposé pour s'imposer.

Il se combine avec la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dont la rédaction actuelle résulte notamment de la loi n° 2018-493 du 20 juin 2018 et de l'ordonnance n° 2018-1125 du 12 décembre 2018. Cette loi a continué d'évoluer depuis, à plusieurs reprises entre 2024 et 2026.

Il faut signaler une conséquence de l'ordonnance de 2018 qui rend périmée une partie de la documentation ancienne : le régime des formalités préalables a été supprimé. Les normes simplifiées auxquelles renvoyaient beaucoup de guides professionnels n'ont plus de portée, et la loi de 1978 n'en comporte plus mention. Une agence ne déclare plus ses fichiers, elle documente sa conformité.

Les fichiers d'une agence

Avant de parler de conformité, il faut recenser. Une agence de taille moyenne traite couramment six familles de données : les prospects vendeurs et acquéreurs, les mandants, les candidats locataires et leurs cautions, les locataires en place et leurs bailleurs, les fournisseurs et prestataires, et les collaborateurs.

Ces familles n'ont ni la même base légale, ni la même durée de conservation, ni le même niveau de sensibilité. Le dossier d'un candidat locataire contient des informations sur les revenus et la situation familiale que le fichier de prospects ne contient pas. Traiter l'ensemble avec une règle unique conduit soit à sur-conserver, soit à effacer ce qu'il fallait garder.

Le recensement est aussi l'occasion de repérer les fichiers officieux, qui sont ceux qui exposent le plus : le tableur personnel d'un négociateur, la messagerie où s'accumulent des pièces d'identité en pièces jointes, le groupe de discussion où circulent des informations sur des clients. Ces traitements existent juridiquement, même s'ils n'ont jamais été décidés.

La base légale de chaque traitement

L'article 6 du règlement énumère les bases légales possibles, et il n'en existe pas d'autre. Un traitement qui ne repose sur aucune d'elles est illicite, quelle que soit sa légitimité apparente.

En agence, trois bases couvrent l'essentiel. L'exécution du contrat ou de mesures précontractuelles fonde le traitement des données du mandant, du locataire en place et du candidat dont le dossier est en cours d'examen. L'obligation légale fonde la conservation des pièces exigées par d'autres réglementations. L'intérêt légitime fonde une partie de la prospection et la gestion de la relation commerciale.

Le consentement est la base la moins commode, parce qu'il doit être libre, spécifique, éclairé et univoque, et parce qu'il peut être retiré à tout moment. Il est nécessaire là où d'autres textes l'imposent, notamment pour la prospection électronique adressée à des particuliers, régie par le code des postes et des communications électroniques.

Pour la prospection adressée à des professionnels, la doctrine de la Commission nationale de l'informatique et des libertés admet le fondement de l'intérêt légitime lorsque la sollicitation est en rapport avec la profession de la personne démarchée, à condition que celle-ci soit informée et puisse s'opposer simplement et à tout moment. Le régime est celui de l'opposition, alors que le démarchage électronique de particuliers suppose un accord préalable.

Le fichier de prospects et sa durée

Le fichier de prospects est le patrimoine commercial d'une agence, et c'est aussi le fichier le plus souvent conservé sans limite. Le principe posé par le règlement est pourtant clair : les données ne sont conservées que pendant la durée nécessaire aux finalités du traitement.

Pour la prospection, la Commission nationale de l'informatique et des libertés retient une durée de trois ans, décomptée à compter de la collecte des données ou du dernier contact émanant du prospect. Cette durée figure notamment dans son référentiel relatif aux traitements de gestion des activités commerciales.

Une précision opérationnelle mérite d'être connue, parce qu'elle évite de croire qu'un fichier se régénère tout seul : un clic sur un lien contenu dans un courriel constitue un contact émanant du prospect, alors que la simple ouverture d'un courriel ne devrait pas être considérée comme tel. Envoyer une newsletter à un fichier dormant ne suffit donc pas à faire repartir le délai.

Pour les clients, la logique est différente : les données sont conservées pendant la durée de la relation commerciale, puis trois ans à compter de sa fin. Il faut souligner que ces durées sont des recommandations de l'autorité de contrôle, formulées dans des termes non impératifs, et non des règles de droit dur. Elles constituent néanmoins la référence à partir de laquelle un écart devra être justifié.

Les dossiers de candidats locataires non retenus

C'est le point sur lequel les agences se trompent le plus, et l'erreur est aggravée par une confusion avec la durée de trois ans applicable à la prospection.

Pour un dossier de candidature non retenu, la recommandation de la Commission nationale de l'informatique et des libertés, exprimée dans son référentiel relatif à la gestion locative, est une conservation de trois mois en base active. Ce n'est pas trois ans. Les trois ans ne visent que les données traitées à des fins de prospection commerciale, à compter du dernier contact.

Cette durée courte se comprend par la nature des pièces en cause : avis d'imposition, bulletins de salaire, pièces d'identité, parfois documents relatifs à la situation familiale. Ce sont des données que rien ne justifie de conserver une fois la sélection faite, et dont la détention prolongée constitue à la fois un risque de sécurité et un facteur de suspicion en cas de contentieux sur la sélection.

Il faut là encore préciser le statut de cette durée : le référentiel emploie des formulations non impératives et indique que ces durées pourront être retenues ou sont en principe adéquates. Ce sont des recommandations, pas du droit dur. Une agence peut retenir une autre durée, à condition de pouvoir la justifier au regard de la finalité poursuivie.

Le registre des traitements

L'article 30 du règlement impose la tenue d'un registre des activités de traitement. C'est le document que demandera en premier lieu l'autorité de contrôle, et son absence rend toute autre démonstration de conformité difficile.

Une croyance très répandue veut que les entreprises de moins de deux cent cinquante salariés en soient dispensées. C'est une lecture erronée du paragraphe 5 de l'article 30, et il faut la corriger nettement, car elle conduit des agences à ne rien documenter.

L'exemption ne joue en effet que si aucune des exceptions qu'énumère ce paragraphe n'est remplie, et ces exceptions sont alternatives : il suffit que l'une d'elles le soit pour que l'obligation subsiste. Or le traitement mis en oeuvre par une agence n'est jamais occasionnel, puisqu'il est au coeur de son activité courante. À quoi s'ajoute, selon les cas, le risque pour les droits et libertés des personnes. En pratique, l'exemption ne s'applique donc jamais à une agence immobilière.

Le registre n'a pas besoin d'être complexe. Pour chaque traitement, il indique la finalité, les catégories de personnes et de données, les destinataires, les durées de conservation et les mesures de sécurité. Un tableau tenu à jour remplit l'obligation.

Répondre à une demande de droit d'accès

Les personnes concernées disposent de droits que le règlement énumère : accès, rectification, effacement, limitation du traitement, portabilité et opposition. En agence, le droit d'accès et le droit d'opposition sont les plus fréquemment exercés, souvent par un candidat évincé ou par un prospect lassé des relances.

Le délai de réponse est en principe d'un mois à compter de la réception de la demande. Il peut être prolongé de deux mois supplémentaires compte tenu de la complexité et du nombre de demandes, à condition d'informer la personne de cette prolongation et de ses motifs dans le délai initial d'un mois.

Le droit d'accès porte sur une copie des données traitées, non sur les documents internes de l'agence. Une demande d'accès formulée par un candidat évincé ne donne pas droit aux notes internes relatives aux autres candidats, ni aux échanges avec le bailleur, mais elle donne droit aux données personnelles du demandeur lui-même.

Le réflexe utile est d'identifier à l'avance qui traite ces demandes et où sont les données. Une agence qui met trois semaines à retrouver l'ensemble des fichiers concernant une personne ne tiendra pas le délai d'un mois, et c'est le retard, plus que le contenu de la réponse, qui déclenche les réclamations.

La sécurité et les violations de données

Le règlement impose des mesures techniques et organisationnelles appropriées au risque. Pour une agence, les mesures les plus efficaces sont aussi les plus simples : des comptes nommés plutôt qu'un compte partagé, un chiffrement des postes portables, une politique de mots de passe, et l'interdiction de faire transiter des pièces d'identité par des messageries personnelles.

Lorsqu'une violation de données survient, le règlement impose une notification à l'autorité de contrôle dans les meilleurs délais et, si possible, dans un délai de soixante-douze heures après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes.

Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent en outre être informées. Le règlement prévoit toutefois trois cas dans lesquels cette information individuelle n'est pas requise, notamment lorsque des mesures de protection appropriées rendaient les données incompréhensibles, par exemple par un chiffrement, ou lorsque cette information exigerait des efforts disproportionnés.

La question à se poser en amont est donc simple : si un ordinateur portable de l'agence disparaissait ce soir, les dossiers qu'il contient seraient-ils lisibles. La réponse détermine à elle seule une grande partie des obligations qui suivraient.

Faut-il désigner un délégué à la protection des données

L'article 37 du règlement impose la désignation d'un délégué à la protection des données dans trois cas : lorsque le traitement est effectué par une autorité ou un organisme public, lorsque les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes, ou lorsqu'elles consistent en un traitement à grande échelle de catégories particulières de données.

Une agence immobilière ordinaire ne relève en principe d'aucun de ces trois cas. La désignation n'est donc pas obligatoire pour elle, ce qui ne signifie pas qu'elle soit inutile.

La désignation volontaire présente un avantage pratique : elle identifie un interlocuteur unique, ce qui accélère le traitement des demandes de droits et clarifie les responsabilités internes. Elle emporte en revanche l'application du régime du délégué, notamment en matière d'indépendance et de moyens.

Pour un réseau ou un groupe d'agences, la question se pose différemment, l'échelle des traitements pouvant changer l'analyse. C'est un point à examiner sur la base des traitements réellement mis en oeuvre, et non sur la seule taille de l'effectif.

Ce que le RGPD partage avec les autres matières

Le droit des données personnelles n'est pas une matière isolée : il croise en permanence les autres obligations du professionnel, et ce sont ces croisements qui posent les questions difficiles.

Il croise la non-discrimination, puisque la limitation des pièces exigibles d'un candidat à la location relève à la fois de la logique de minimisation et de la volonté d'empêcher qu'une information prohibée n'entre dans le dossier. Il faut d'ailleurs distinguer les deux sanctions : le manquement à la liste réglementaire des pièces est puni d'une amende administrative prononcée par le représentant de l'État dans le département, sur un fondement propre au droit locatif, indépendamment de toute suite au titre du droit des données.

Il croise la lutte contre le blanchiment, puisque les pièces recueillies au titre de la vigilance obéissent à une durée de conservation fixée par la loi, qui prime sur la minimisation.

Il croise enfin la déontologie, dont l'article consacré à la confidentialité recouvre en partie les mêmes situations. Un même fait peut ainsi constituer un manquement déontologique et une violation du règlement. C'est la raison pour laquelle ces matières sont traitées ensemble au programme de la formation ALUR, dans le module consacré à la conformité.