RGPD en agence immobilière : définition et règles en 2026

Ce que le RGPD demande à une agence immobilière

Une agence traite des données personnelles en permanence : mandats, fiches acquéreurs, dossiers de candidature, baux, états des lieux, relevés de copropriété, paie des salariés. Chaque usage poursuit une finalité, et chaque finalité constitue un traitement au sens du règlement.

Pour chaque traitement, l'agence doit pouvoir répondre à cinq questions : pourquoi elle collecte, sur quelle base légale, quelles données exactement, combien de temps elle les garde, et comment elle les protège. Le principe de limitation de la conservation, posé à l'article 5 du règlement, interdit de garder une donnée au-delà de ce que justifie sa finalité.

Une agence met donc en œuvre plusieurs traitements, davantage si elle exerce aussi la gestion et le syndic. Pensez à ceux qu'on oublie facilement : la gestion du personnel, la vidéoprotection, les fichiers tenus localement par un collaborateur et la messagerie.

Le registre des activités de traitement : la fausse exemption

L'article 30 du règlement impose un registre des activités de traitement. Son paragraphe 5 exempte les organisations de moins de 250 employés, mais seulement si le traitement n'est pas susceptible de comporter un risque pour les droits des personnes, s'il est occasionnel, et s'il ne porte ni sur des données sensibles ni sur des données relatives aux condamnations et infractions.

Les conditions de l'exemption sont cumulatives : il suffit qu'une seule manque pour que le registre soit dû. Or les traitements d'une agence ne sont pas occasionnels : la gestion des mandats, des acquéreurs ou des candidatures est quotidienne. L'exemption ne joue donc pas, quel que soit l'effectif. Une agence de trois personnes tient un registre.

Le registre se construit par finalité, une ligne par traitement : finalité, catégories de personnes et de données, destinataires, durée de conservation, mesures de sécurité. Les prestataires qui traitent des données pour le compte de l'agence (logiciel de transaction, hébergeur, signature électronique) sont des sous-traitants, avec lesquels un contrat conforme à l'article 28 doit exister.

Quelle base légale pour chaque traitement ?

Quatre bases servent réellement en agence : le contrat, l'obligation légale, l'intérêt légitime et le consentement. Le mandat repose sur le contrat. Les pièces de vigilance anti-blanchiment reposent sur une obligation légale, et seulement pour les dossiers de transaction assujettis. La candidature locative repose sur les mesures précontractuelles ; pour un candidat écarté, le référentiel de la CNIL juge en principe adéquate une conservation de trois mois.

La base légale n'est pas une formalité. Elle détermine la durée de conservation et les droits ouverts à la personne. Le consentement est la base la plus fragile : il se retire à tout moment, et il ne faut pas l'invoquer quand une autre base s'applique.

L'information des personnes se délivre au moment de la collecte, selon l'article 13 du règlement. Une page par traitement, écrite dans les mots du métier, intégrée au mandat ou au dossier de candidature, permet d'en garder la preuve.

Pièces exigibles du candidat locataire : la règle qui relie deux textes

L'article 22-2 de la loi n° 89-462 du 6 juillet 1989 renvoie à un décret la liste des pièces justificatives que le bailleur peut exiger du candidat à la location et de sa caution. Le décret n° 2015-1437 du 5 novembre 2015 fixe cette liste en deux annexes. Ce qui n'y figure pas ne peut pas être exigé, et la règle s'impose au mandataire comme au bailleur.

Les manquements sont punis d'une amende administrative prononcée par le préfet, d'au plus 3 000 euros pour une personne physique et 15 000 euros pour une personne morale. La CNIL cite parmi les pièces qui ne peuvent pas être demandées la copie du livret de famille, la carte Vitale, les relevés de compte bancaire, le contrat de mariage, le jugement de divorce ou l'extrait de casier judiciaire.

Une pièce interdite est doublement irrégulière : au titre de la loi locative, et au titre du règlement, puisqu'elle dépasse ce qui est nécessaire à la finalité. Si le candidat remet de lui-même des pièces au-delà de la liste, le référentiel de la CNIL prévoit de les supprimer ou de les lui renvoyer.

Combien de temps conserver les données ?

Aucune durée universelle n'existe. Trois sources se distinguent : la loi, quand elle fixe une durée ; la prescription, qui justifie de garder ce qui sert à se défendre ; les recommandations de la CNIL, qui expriment une doctrine sans être du droit dur. S'écarter d'une recommandation est possible, à condition de pouvoir le justifier.

Exemple de durée légale : l'article L. 561-12 du code monétaire et financier impose de conserver cinq ans, après la fin de la relation, les documents de vigilance anti-blanchiment. Cette obligation fonde la conservation de ces seuls documents. Elle ne permet pas de garder cinq ans un dossier de candidat locataire non retenu.

Pour la location, la CNIL a adopté le 6 mai 2021, par la délibération n° 2021-057, un référentiel relatif à la gestion locative, publié le 27 mai 2021. Il s'adresse aux organismes qui mettent un logement en location et aux intermédiaires qui y participent, et précise notamment les durées de conservation. Une purge effective couvre le logiciel, la messagerie, les disques partagés et le papier.

Sécurité et violation de données : la règle des 72 heures

L'article 32 du règlement impose des mesures de sécurité adaptées au risque. En agence, elles concernent autant le papier que l'informatique : bureau ouvert, imprimante partagée, corbeille, armoire non fermée, dossiers laissés dans un véhicule. Des comptes nominatifs et la suppression immédiate des accès au départ d'un collaborateur sont des mesures simples à mettre en place.

Une violation n'est pas seulement un piratage : la perte d'un dossier ou l'envoi d'un bail au mauvais destinataire en est une. L'article 33 impose de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. Passé ce délai, la notification indique les motifs du retard.

Toute violation se documente dans l'agence, même quand elle n'est pas notifiée. Ce journal interne montre au contrôleur que l'agence a analysé l'incident et décidé en connaissance de cause.

Ce que l'agence risque, et ce qu'elle doit pouvoir montrer

L'article 83 du règlement prévoit deux plafonds d'amende administrative. Jusqu'à 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial, pour les manquements aux obligations du responsable du traitement, dont le registre, la sécurité et la notification des violations. Jusqu'à 20 millions d'euros ou 4 % pour les principes, les bases légales et les droits des personnes, dont l'information. Le montant le plus élevé est retenu.

Lors d'un contrôle ou d'une plainte, l'agence doit pouvoir produire : le registre daté et à jour, les mentions d'information par traitement, les contrats avec ses sous-traitants, la liste des pièces demandées aux candidats locataires, la procédure de purge et le journal des violations.

Les manquements les plus visibles sont aussi les plus simples à corriger : un modèle de dossier de location qui réclame des pièces interdites, des fichiers d'acquéreurs jamais purgés, des pièces d'identité envoyées par messagerie personnelle. Un registre relu chaque année vaut mieux qu'un registre exhaustif jamais ouvert.

Questions fréquentes : rgpd en agence immobilière

Les textes de référence

• Règlement (UE) 2016/679 du 27 avril 2016, chapitre IV (responsable du traitement et sous-traitant), texte publié par la CNILcnil.fr
• Règlement (UE) 2016/679 du 27 avril 2016, chapitre VIII (article 83), texte publié par la CNILcnil.fr
• Article 22-2 de la loi n° 89-462 du 6 juillet 1989legifrance.gouv.fr
• Décret n° 2015-1437 du 5 novembre 2015 fixant la liste des pièces justificatives pouvant être demandées au candidat à la location et à sa cautionlegifrance.gouv.fr
• CNIL, publication du référentiel relatif à la gestion locativecnil.fr
• CNIL, référentiel relatif à la gestion locative (délibération n° 2021-057 du 6 mai 2021)cnil.fr
• CNIL, location d'un bien immobilier : quels justificatifs peut-on demander aux candidats ?cnil.fr