Guide sectoriel

RGPD pour agences immobilières : guide complet et audit gratuit 2026

Le secteur immobilier traite massivement des données personnelles : prospects acheteurs/locataires, propriétaires vendeurs, mandats de gestion, données financières (revenus, garants), pièces justificatives. La FNAIM et l'UNIS ont publié des guides RGPD spécifiques. La CNIL contrôle particulièrement la collecte excessive de pièces lors des dossiers de location (souvent en violation de la liste limitative du décret 2015-1437). Les obligations : registre des traitements, durées de conservation strictes (3 ans après refus d'un candidat locataire), sécurisation des SeLoger/Bien'ici (sous-traitants), conformité des plateformes professionnelles (Pige, Apimo, Hektor), respect des droits des candidats refusés. Les agences travaillant avec des fichiers d'investisseurs ou des bases de prospects rachetées sont particulièrement exposées (consentement et provenance des données).

5 obligations RGPD spécifiques aux agences immobilières

Ces points sont systématiquement vérifiés lors d'un contrôle CNIL dans votre secteur.

1

Limiter les pièces demandées au dossier de location

Le décret 2015-1437 fixe une liste limitative : identité, garant, justificatifs revenus (3 derniers bulletins), domicile. Toute pièce hors liste (RIB, photo, casier judiciaire, livret famille) = manquement RGPD + amende possible 15 000 € (Art. 22-2 loi 1989).

2

Conserver les dossiers candidats refusés 3 mois maximum

Après refus d'un candidat locataire : suppression des données sous 3 mois (référentiel CNIL gestion locative 2022). Conservation au-delà uniquement avec consentement explicite (constitution fichier d'attente).

3

Signer des conventions avec SeLoger, Leboncoin et logiciels métier

Plateformes d'annonces et logiciels (Apimo, Hektor, Net Adviser) sont sous-traitants Art. 28. Convention obligatoire, vérification mesures de sécurité, transferts si éditeur hors UE (Salesforce, Yardi).

4

Informer les vendeurs/acheteurs des partages avec partenaires

Notaires, banques, diagnostiqueurs : information explicite dans mandat. Politique de confidentialité publiée. Droit d'opposition au partage marketing (newsletter, prospection).

5

Sécuriser les pièces sensibles (revenus, garants) par chiffrement

Stockage chiffré des pièces justificatives. Interdiction du partage par email non chiffré entre collaborateurs. Plateforme métier sécurisée obligatoire pour échanges externes (espace client crypté).

Amendes CNIL réelles dans le secteur

Cas documentés. Sources officielles disponibles sur cnil.fr.

2022
300 000 €
NESTOR (gestion locative)

Conservation excessive de pièces de candidats refusés, défaut d'information.

CNIL délibération SAN-2022-024
2019
400 000 €
SERGIC (agences immobilières)

Manquement à la sécurité, défaut de durée de conservation des candidatures locatives.

CNIL délibération SAN-2019-005
2023
Mise en demeure publique
Foncia (mise en demeure)

Collecte excessive de documents lors de la constitution de dossiers locataires.

CNIL MED-2023-018

Comment vérifier votre conformité RGPD en tant que immobilier

RGPDScan audite automatiquement votre site contre les 30+ points de contrôle CNIL. Rapport détaillé en 60 secondes, avec recommandations spécifiques à votre secteur.

  • Détection cookies et trackers
  • Analyse dark patterns IA
  • Transferts hors UE détectés
  • Risques d'amende chiffrés

Questions fréquentes

Puis-je demander une photo d'identité au candidat locataire ?
Non. La photo ne figure pas dans la liste limitative du décret 2015-1437. Seule la pièce d'identité avec photo est admise (vérification d'identité, pas conservation de photo libre).
Combien de temps conserver un mandat de vente après signature ?
10 ans pour responsabilité civile professionnelle + obligations comptables. Au-delà : archivage hors ligne ou anonymisation. Mandats non aboutis : 3 ans max.
Apimo et Hektor sont-ils conformes RGPD ?
Oui sur le marché français mais convention de sous-traitance Art. 28 obligatoire. Vérifier hébergement (UE), DPO de l'éditeur, mises à jour sécurité, certification ISO 27001.
Puis-je racheter un fichier de prospects investisseurs ?
Très risqué. Provenance et consentement à vérifier précisément. Sans consentement explicite ressourçable, prospection commerciale = amende (Art. L.34-5 CPCE). Préférer constitution opt-in propre.
Dois-je nommer un DPO pour mon agence de 10 personnes ?
Non obligatoire mais fortement recommandé. DPO mutualisé FNAIM ou externalisé : 200-500 €/mois. Délégué interne formé : option intermédiaire.
Que faire si un locataire demande la suppression de ses données ?
Suppression obligatoire sous 1 mois sauf obligations légales (bail en cours, comptabilité 10 ans). Anonymiser les données dans logiciel métier, conserver minimum pour preuve juridique.
Mes SMS de prospection foncière sont-ils légaux ?
Oui en B2B (propriétaires identifiés sur fichiers publics). En B2C (particuliers) : consentement préalable obligatoire (Art. L.34-5 CPCE). Risque amende DGCCRF + CNIL.
Le RGPD s'applique-t-il aux logos clients sur mon site agence ?
Si logo entreprise sans personne identifiable : non. Si témoignage avec nom/photo : oui (donnée personnelle), consentement écrit obligatoire, droit de retrait.

Auditez votre site en 60 secondes

Scan RGPD gratuit. Aucune carte bancaire.