RGPD en agence immobilière : registre, durées et pièces exigibles

L'exemption de registre, et pourquoi elle ne joue pas

L'article 30 du règlement dispense les organismes de moins de deux cent cinquante salariés de tenir un registre des activités de traitement. La dispense tombe dès que l'une des trois conditions est remplie : le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, il n'est pas occasionnel, ou il porte sur des catégories particulières de données.

Une agence traite des données de candidats de façon permanente, structure des dossiers de solvabilité, et conserve des pièces d'identité. La deuxième condition suffit à elle seule : le traitement n'est pas occasionnel. L'exemption ne s'applique donc pas, et le registre est obligatoire quelle que soit la taille de la structure.

Ce point est répété à l'envers sur beaucoup de sites professionnels. Il vaut la peine d'être vérifié, parce que l'absence de registre est le premier constat fait en cas de contrôle.

Les durées de conservation, et ce qui relève de la recommandation

Un dossier de candidat non retenu se conserve le temps nécessaire à la gestion de la candidature, que la Commission nationale de l'informatique et des libertés situe à trois mois. Le chiffre parfois avancé de trois ans correspond à une autre situation, la prospection commerciale à partir d'un contact, et non à la conservation d'un dossier de location.

Il faut distinguer ce qui est du droit dur et ce qui est une recommandation. Le règlement impose une durée limitée et justifiée, sans la chiffrer. Les durées publiées par la Commission sont des recommandations : elles ne s'imposent pas comme un texte, mais s'en écarter suppose de pouvoir justifier pourquoi.

Ce qu'on peut demander à un candidat, et ce qu'on ne peut pas

La loi du 6 juillet 1989 fixe la liste des pièces exigibles d'un candidat à la location et de sa caution. Demander une pièce absente de cette liste est sanctionné indépendamment du droit des données, et cette règle est plus contraignante que le règlement européen.

Les deux textes se rejoignent en pratique : une pièce qu'on n'a pas le droit de demander est une donnée qu'on n'a pas le droit de collecter, donc pas le droit de conserver. Nettoyer les dossiers de ce qui n'aurait pas dû y entrer est souvent le premier chantier de mise en conformité d'une agence.

La sécurité, papier compris

Le règlement impose des mesures techniques et organisationnelles appropriées. En agence, le risque le plus fréquent n'est pas informatique : ce sont les dossiers papier laissés en accès libre, les copies de pièces d'identité empilées dans un meuble, les échanges de dossiers complets par messagerie non protégée.

Les mesures utiles sont modestes et connues : limiter les accès aux personnes qui en ont besoin, chiffrer les postes, séparer les données de prospection des dossiers contractuels, et détruire ce qui a dépassé sa durée de conservation plutôt que de l'archiver indéfiniment.