Sector guide

GDPR for Immobilier: complete guide and free audit 2026

Le secteur immobilier traite massivement des données personnelles : prospects acheteurs/locataires, propriétaires vendeurs, mandats de gestion, données financières (revenus, garants), pièces justificatives. La FNAIM et l'UNIS ont publié des guides RGPD spécifiques. La CNIL contrôle particulièrement la collecte excessive de pièces lors des dossiers de location (souvent en violation de la liste limitative du décret 2015-1437). Les obligations : registre des traitements, durées de conservation strictes (3 ans après refus d'un candidat locataire), sécurisation des SeLoger/Bien'ici (sous-traitants), conformité des plateformes professionnelles (Pige, Apimo, Hektor), respect des droits des candidats refusés. Les agences travaillant avec des fichiers d'investisseurs ou des bases de prospects rachetées sont particulièrement exposées (consentement et provenance des données).

5 GDPR obligations specific to Immobilier

These points are systematically checked during a DPA audit in your sector.

1

Limiter les pièces demandées au dossier de location

Le décret 2015-1437 fixe une liste limitative : identité, garant, justificatifs revenus (3 derniers bulletins), domicile. Toute pièce hors liste (RIB, photo, casier judiciaire, livret famille) = manquement RGPD + amende possible 15 000 € (Art. 22-2 loi 1989).

2

Conserver les dossiers candidats refusés 3 mois maximum

Après refus d'un candidat locataire : suppression des données sous 3 mois (référentiel CNIL gestion locative 2022). Conservation au-delà uniquement avec consentement explicite (constitution fichier d'attente).

3

Signer des conventions avec SeLoger, Leboncoin et logiciels métier

Plateformes d'annonces et logiciels (Apimo, Hektor, Net Adviser) sont sous-traitants Art. 28. Convention obligatoire, vérification mesures de sécurité, transferts si éditeur hors UE (Salesforce, Yardi).

4

Informer les vendeurs/acheteurs des partages avec partenaires

Notaires, banques, diagnostiqueurs : information explicite dans mandat. Politique de confidentialité publiée. Droit d'opposition au partage marketing (newsletter, prospection).

5

Sécuriser les pièces sensibles (revenus, garants) par chiffrement

Stockage chiffré des pièces justificatives. Interdiction du partage par email non chiffré entre collaborateurs. Plateforme métier sécurisée obligatoire pour échanges externes (espace client crypté).

Real DPA fines in this sector

Documented cases. Official sources available on cnil.fr.

2022
300 000 €
NESTOR (gestion locative)

Conservation excessive de pièces de candidats refusés, défaut d'information.

CNIL délibération SAN-2022-024
2019
400 000 €
SERGIC (agences immobilières)

Manquement à la sécurité, défaut de durée de conservation des candidatures locatives.

CNIL délibération SAN-2019-005
2023
Mise en demeure publique
Foncia (mise en demeure)

Collecte excessive de documents lors de la constitution de dossiers locataires.

CNIL MED-2023-018

How to check your GDPR compliance as Immobilier

RGPDScan automatically audits your website against 30+ DPA checkpoints. Detailed report in 60 seconds, with sector-specific recommendations.

  • Cookies and trackers detection
  • AI dark pattern analysis
  • Non-EU data transfers detected
  • Quantified fine risk

Frequently asked questions

Puis-je demander une photo d'identité au candidat locataire ?
Non. La photo ne figure pas dans la liste limitative du décret 2015-1437. Seule la pièce d'identité avec photo est admise (vérification d'identité, pas conservation de photo libre).
Combien de temps conserver un mandat de vente après signature ?
10 ans pour responsabilité civile professionnelle + obligations comptables. Au-delà : archivage hors ligne ou anonymisation. Mandats non aboutis : 3 ans max.
Apimo et Hektor sont-ils conformes RGPD ?
Oui sur le marché français mais convention de sous-traitance Art. 28 obligatoire. Vérifier hébergement (UE), DPO de l'éditeur, mises à jour sécurité, certification ISO 27001.
Puis-je racheter un fichier de prospects investisseurs ?
Très risqué. Provenance et consentement à vérifier précisément. Sans consentement explicite ressourçable, prospection commerciale = amende (Art. L.34-5 CPCE). Préférer constitution opt-in propre.
Dois-je nommer un DPO pour mon agence de 10 personnes ?
Non obligatoire mais fortement recommandé. DPO mutualisé FNAIM ou externalisé : 200-500 €/mois. Délégué interne formé : option intermédiaire.
Que faire si un locataire demande la suppression de ses données ?
Suppression obligatoire sous 1 mois sauf obligations légales (bail en cours, comptabilité 10 ans). Anonymiser les données dans logiciel métier, conserver minimum pour preuve juridique.
Mes SMS de prospection foncière sont-ils légaux ?
Oui en B2B (propriétaires identifiés sur fichiers publics). En B2C (particuliers) : consentement préalable obligatoire (Art. L.34-5 CPCE). Risque amende DGCCRF + CNIL.
Le RGPD s'applique-t-il aux logos clients sur mon site agence ?
Si logo entreprise sans personne identifiable : non. Si témoignage avec nom/photo : oui (donnée personnelle), consentement écrit obligatoire, droit de retrait.

Audit your site in 60 seconds

Free GDPR scan. No credit card.