Pourquoi les agences sont particulièrement exposées
Chaque location traite le dossier complet de plusieurs candidats : pièces d'identité, bulletins de salaire, avis d'imposition, justificatifs de domicile. Multiplié par des dizaines de dossiers par an, cela fait de l'agence immobilière un concentré de données personnelles sensibles au sens commun du terme, collectées de surcroît auprès de personnes qui, pour la plupart, ne deviendront jamais clientes.
C'est précisément ce profil qui attire l'attention : les plaintes de candidats locataires (pièces excessives, dossiers jamais supprimés, fuites de documents) sont un motif récurrent de contrôle. La bonne nouvelle : la conformité d'une agence tient à quelques pratiques bien définies.
Les 5 obligations qui comptent vraiment
1. Ne collecter que ce qui est autorisé
Pour les candidats locataires, la question est déjà tranchée par le décret n° 2015-1437 : la liste des pièces exigibles est limitative. Collecter un relevé bancaire ou une carte vitale, c'est à la fois une infraction locative et une collecte excessive au sens du RGPD (principe de minimisation). Notre checklist de vérification du dossier locataire détaille pièce par pièce ce qui est permis.
2. Limiter les durées de conservation
Le principe : on ne garde pas un document « au cas où ». Entre le RGPD et les obligations propres au secteur (lois ALUR et ELAN), chaque catégorie a sa durée, à documenter et à appliquer :
| Documents | Durée indicative | Fondement |
|---|---|---|
| Dossier de candidature non retenu | Quelques mois au plus | Recommandations CNIL (au-delà, accord explicite du candidat) |
| Bail et pièces du locataire en place | Durée de la location | Exécution du contrat |
| Bail et annexes après départ | Jusqu'à 5 ans | Prescriptions civiles (3 ans loyers, 5 ans contractuel) |
| Mandats, documents comptables | 10 ans | Obligations comptables du code de commerce |
Ces durées sont indicatives : croisez-les avec le référentiel CNIL « gestion locative » et les conseils de votre syndicat professionnel (FNAIM, UNIS…), et faites-les valider par un juriste ou un DPO avant de les figer dans vos process. L'important est d'avoir défini, écrit et appliqué une règle.
3. Tenir le registre des traitements
C'est le document que la CNIL demande en premier. Pour une agence type, il recense une poignée de traitements : gestion des candidatures, gestion des baux et mandats, comptabilité, prospection, site web. Un tableau par traitement (finalité, données, durées, destinataires, mesures de sécurité) suffit, et la CNIL fournit un modèle gratuit.
4. Sécuriser réellement les documents
Le classeur partagé sur le bureau, la boîte mail qui sert d'archive, le dossier « Scans » accessible à toute l'agence : ce sont les vraies failles. Le RGPD demande des mesures « appropriées », ce qui pour des dossiers locatifs signifie au minimum :
- Chiffrement des documents stockés (au repos) et des échanges (en transit)
- Contrôle d'accès : chaque collaborateur ne voit que ce dont il a besoin, avec des comptes nominatifs
- Traçabilité : savoir qui a consulté ou modifié un dossier
- Sauvegardes et capacité à restaurer en cas d'incident
5. Encadrer vos prestataires (article 28)
Tout logiciel qui héberge vos documents est un « sous-traitant » au sens du RGPD : il doit s'engager contractuellement sur la sécurité, la localisation des données et leur restitution. Exigez de savoir où vos données sont hébergées. Un hébergement en France ou dans l'UE est le plus simple à documenter et à défendre.
La conformité par conception, pas par corvée.ImmoClass chiffre vos documents en AES-256, les héberge en France et applique vos règles d'accès et de conservation automatiquement — une aide au respect des obligations du secteur (loi ALUR/ELAN).
Voir notre approche sécurité →Le plan d'action en une demi-journée
- Cartographier : où sont aujourd'hui vos documents ? (serveur, boîtes mail, papier, logiciel métier). L'inventaire révèle presque toujours des copies oubliées.
- Épurer : supprimer les dossiers de candidats non retenus au-delà du délai, purger les boîtes mail des pièces jointes sensibles.
- Centraliser : un seul lieu de stockage sécurisé, avec accès par rôle. C'est là qu'une GED immobilière remplace avantageusement l'arborescence de dossiers partagés.
- Documenter : registre des traitements, règles de conservation écrites, mention d'information dans vos formulaires de candidature.
- Automatiser : les durées de conservation et les alertes d'expiration ne se tiennent pas à la main sur la durée. C'est le rôle d'un logiciel de classement automatique de documents immobiliers.
Questions fréquentes
Une agence immobilière doit-elle tenir un registre des traitements ?
Oui. Comme toute entreprise qui traite des données personnelles de façon régulière, une agence immobilière doit documenter ses traitements dans un registre : gestion des candidatures, des baux, des mandats, prospection, vidéosurveillance éventuelle. C'est le premier document que la CNIL demande en cas de contrôle.
Une agence immobilière a-t-elle besoin d'un DPO ?
La désignation d'un délégué à la protection des données n'est obligatoire que dans certains cas (suivi régulier et systématique à grande échelle, données sensibles à grande échelle). La plupart des agences indépendantes n'y sont pas tenues, mais doivent malgré tout désigner un responsable du sujet en interne et documenter leur conformité.
Où les documents des locataires doivent-ils être hébergés ?
Le RGPD n'impose pas un hébergement en France, mais il impose que les données restent dans l'Union européenne ou dans un pays offrant un niveau de protection adéquat, et que vous sachiez précisément où elles se trouvent. Un hébergement en France chez un prestataire contractuellement engagé (article 28 RGPD) est le choix le plus simple à documenter et à défendre.
Que risque une agence en cas de manquement au RGPD ?
Les sanctions administratives de la CNIL peuvent atteindre 4 % du chiffre d'affaires annuel ou 20 millions d'euros. En pratique, pour une agence, le risque le plus courant est une mise en demeure publique suite à une plainte de candidat locataire, avec le dommage de réputation qui l'accompagne.