En tant qu’agence immobilière en France, vos obligations RGPD prioritaires sont : informer les personnes sur l’usage de leurs données, limiter les durées de conservation, sécuriser l’accès aux pièces justificatives et notifier la CNIL en cas de violation. Ces quatre piliers suffisent à couvrir la majorité des risques. La suite de ce guide détaille chaque point et propose une checklist à appliquer dès maintenant.
Points clés
- Pour les prospects, la durée de conservation de référence est de trois ans après le dernier contact émanant du prospect (CNIL).
- Toute prospection par email ou SMS vers un particulier exige son consentement préalable (case non pré-cochée), sauf s’il est déjà client de l’agence et que le message porte sur des services analogues ; il doit alors pouvoir s’y opposer gratuitement à chaque envoi.
- Si une violation présente un risque pour les personnes, l’agence doit notifier la CNIL dans les 72 heures suivant sa découverte et justifier tout retard.
- Lors d’un contrôle, la CNIL vérifie surtout les durées de conservation et les accès aux justificatifs ; un registre à jour documente vos pratiques.
Table des matières
- Qu’est-ce que le RGPD et quelles données une agence traite concrètement
- Obligations opérationnelles : information, droits, conservation et transmissions
- Sécurité et gestion des incidents : mesures concrètes et procédure de notification
- Checklist pratique pour mettre en conformité votre agence
- Sanctions et contrôles : que vérifie la CNIL et comment s’y préparer
- Ressources formation : comment Didier Tixador Formation peut aider votre agence
- Perspective terrain : intégrer la conformité au quotidien et en faire un avantage
- Offre rapide : formations et accompagnement Didier Tixador Formation
- Questions fréquentes
- Sources
Qu’est-ce que le RGPD et quelles données une agence traite concrètement
Le RGPD encadre la collecte et l’usage des données personnelles, c’est à dire toute information qui permet d’identifier une personne. Une agence immobilière manipule quotidiennement ce type de données : pièces d’identité, avis d’imposition, bulletins de salaire, coordonnées de clients et prospects. Attention : pour un dossier de location, les relevés bancaires, la carte Vitale ou le casier judiciaire ne peuvent pas être demandés ; seules les pièces listées par le décret n° 2015-1437 du 5 novembre 2015 sont autorisées (référentiel CNIL gestion locative, points 25 et 26).
Chaque traitement doit reposer sur une base légale précise. En agence, trois cas reviennent souvent :
- L’exécution du mandat ou du contrat justifie la collecte des pièces nécessaires à une vente ou une location.
- Une obligation légale impose certaines vérifications, comme les contrôles liés à la lutte contre le blanchiment.
- Le consentement s’applique surtout à la prospection commerciale par email, quand la personne n’est pas déjà cliente.
La CNIL a publié un référentiel dédié à la gestion locative (délibération n° 2021-057 du 6 mai 2021), qui précise les finalités, les durées de conservation recommandées et les mesures de sécurité attendues pour les acteurs de l’immobilier. Ce document sert de base solide pour cadrer vos pratiques internes.
Obligations opérationnelles : information, droits, conservation et transmissions
L’article 13 du RGPD impose d’informer chaque personne au moment où vous collectez ses données. Concrètement, une annonce, un formulaire de contact ou un mail de relance doit indiquer qui traite les données, pourquoi, pendant combien de temps et comment exercer ses droits. Un simple lien vers votre politique de confidentialité suffit, à condition qu’il soit visible et à jour.
Quand un client signe un mandat, le traitement de ses données repose sur l’exécution du contrat (article 6.1 b du RGPD) : aucune case à cocher n’est nécessaire, mais il doit quand même être informé (article 13). En revanche, envoyer une newsletter ou un email de prospection à un particulier qui n’est pas client suppose son consentement préalable, quel que soit le délai depuis le premier contact (référentiel CNIL « gestion des activités commerciales » ; article L34-5 du code des postes et des communications électroniques).
La durée de conservation est souvent le point faible des agences. La CNIL fixe 3 ans à compter du dernier contact émanant du prospect pour les données de prospection (référentiel gestion locative, délibération n° 2021-057 du 6 mai 2021). Un simple email ouvert par le prospect ne compte pas comme un contact : il faut une action réelle, comme une demande de document ou un clic sur un lien. Pour les candidats locataires non retenus, les pièces de solvabilité se conservent 3 mois ; pour le locataire retenu, pendant le bail et jusqu’à la clôture des comptes, puis 3 ans (gestion directe) ou 5 ans (gestion déléguée) en archive intermédiaire (référentiel CNIL gestion locative).
3 ans, c’est la durée de référence pour purger un fichier prospect inactif ; la CNIL précise qu’un clic sur un lien ou une demande de documentation compte comme un contact, pas la simple ouverture d’un email (référentiel « gestion des activités commerciales »). Documentez ce critère de contact actif dans une procédure écrite, pour pouvoir le justifier en cas de contrôle.
Vous devez répondre dans les meilleurs délais et au plus tard dans un mois à compter de la réception de la demande (article 12.3 du RGPD), gratuitement sauf demande manifestement infondée ou excessive (article 12.5). Désignez une personne responsable de ces demandes, même dans une petite structure : cela évite les oublis et les réponses tardives.
- Vérifiez que chaque annonce et chaque formulaire mentionne la finalité du traitement et la durée de conservation.
- Mettez en place un indicateur simple de “dernier contact actif” dans votre CRM pour déclencher la purge automatique.
Avant toute campagne d’appels vers des particuliers, faites purger votre fichier auprès de Bloctel (sauf clients ayant un contrat en cours) : l’amende administrative peut atteindre 75 000 € pour une société et 15 000 € pour une personne physique.
Sécurité et gestion des incidents : mesures concrètes et procédure de notification
La sécurité des données repose d’abord sur une question simple : qui, dans votre agence, peut consulter une pièce d’identité ou un avis d’imposition ? Limitez l’accès aux seules personnes qui en ont besoin pour traiter le dossier, et retirez les droits dès qu’un collaborateur change de poste ou quitte l’agence.
Voici les actions prioritaires à mettre en place :
- Adoptez un gestionnaire de mots de passe pour l’équipe, conformément aux recommandations techniques de la CNIL, et révisez les habilitations au moins une fois par an.
- Chiffrez les fichiers sensibles et sauvegardez-les régulièrement sur un support distinct, pour limiter l’impact d’une panne ou d’un piratage.
- Détruisez de façon sécurisée les pièces justificatives non retenues, qu’il s’agisse de papier à déchiqueter ou de fichiers numériques à supprimer définitivement.
- Formalisez une procédure interne en cas d’incident : qui détecte, qui documente, qui décide de la notification.
Conseil de pro : Documentez chaque violation de données, même non notifiée à la CNIL : c’est une obligation (article 33.5 du RGPD), et la CNIL peut vous demander ce registre lors d’un contrôle.
En cas de violation de données présentant un risque pour les personnes concernées, le délai pour prévenir l’autorité est strict. Le RGPD (article 33.1) impose de notifier la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance ; au-delà, la notification doit expliquer le retard. Si le risque est élevé, les personnes concernées doivent aussi être prévenues (article 34). La CNIL propose un service en ligne pour notifier une violation, qui guide pas à pas sur l’évaluation du risque et les informations à transmettre.
Une perte de clé USB contenant des dossiers clients, un mail envoyé au mauvais destinataire ou un accès informatique compromis constituent des violations qu’il faut évaluer rapidement, même si la notification ne s’impose pas toujours.
Checklist pratique pour mettre en conformité votre agence
Voici les étapes à prioriser, dans l’ordre :
- Créez ou mettez à jour votre registre des traitements, avec une finalité et une durée précises pour chaque fichier.
- Actualisez votre politique de confidentialité et ajoutez son lien sur les annonces, formulaires et mails de prospection.
- Automatisez la purge des fichiers prospects inactifs depuis plus de trois ans et sécurisez l’archivage comptable séparément.
- Formez votre équipe et désignez un référent RGPD interne : le délégué à la protection des données (DPO) n’est obligatoire que dans les cas de l’article 37.1 du RGPD, rares en agence. Pour la gestion locative, la CNIL estime qu’une analyse d’impact (AIPD) doit en principe être réalisée.
- Testez une procédure de notification d’incident et conservez les preuves de vos actions correctives.
Sanctions et contrôles : que vérifie la CNIL et comment s’y préparer
Lors d’un contrôle, la CNIL examine en priorité les durées de conservation, la sécurité des accès aux pièces justificatives et l’information donnée aux personnes. En 2019, la CNIL a sanctionné de 400 000 € la société immobilière SERGIC : les documents des candidats locataires étaient accessibles en ligne et conservés trop longtemps ; le Conseil d’État a confirmé l’amende (CE, 4 novembre 2020, n° 433311).
Un manquement peut entraîner un rappel à l’ordre, une mise en demeure ou une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83.5 du RGPD). La meilleure protection reste la documentation : registre à jour, procédure d’incident testée, preuves de formation de l’équipe.
- Ayez sous la main votre registre des traitements et votre politique de confidentialité.
- Préparez un exemple de réponse à une demande de droit d’accès déjà traitée.
- Conservez les justificatifs de purge de vos fichiers prospects.
Ressources formation : comment Didier Tixador Formation peut aider votre agence
Structurer ces obligations demande une méthode, pas seulement des outils. Nos modules couvrent la déontologie, la loi ALUR, TRACFIN et la non-discrimination, ainsi que l’usage responsable de l’IA en agence. Nous construisons des cadres de décision concrets, adaptés à votre quotidien, plutôt que d’empiler des solutions techniques difficiles à suivre dans la durée.
Perspective terrain : intégrer la conformité au quotidien et en faire un avantage
La conformité RGPD rassure vos clients autant qu’elle vous protège. Priorisez les traitements à risque, formez vos nouveaux arrivants dès leur arrivée et gardez des modèles prêts à l’emploi : c’est souvent suffisant pour une petite agence.
— Didier Tixador
Offre rapide : formations et accompagnement Didier Tixador Formation
Besoin de renouveler votre carte professionnelle tout en intégrant les bons réflexes RGPD ? Notre formation loi ALUR couvre la déontologie et la non-discrimination, deux volets obligatoires sur trois ans. Pour les agences qui veulent aller plus loin, nous proposons aussi un audit de vos pratiques et un accompagnement sur-mesure.
Retrouvez l’ensemble de nos formations pour professionnels de l’immobilier et choisissez le module adapté à votre agence, qu’il s’agisse de conformité, d’IA ou de pilotage digital.
Questions fréquentes
Qui gère le RGPD en France ?
La CNIL, autorité administrative indépendante, contrôle l’application du RGPD en France et peut sanctionner les manquements. Elle publie aussi des guides pratiques, comme son référentiel sur la gestion locative, pour aider les professionnels à se mettre en conformité.
Quels sont les devoirs d’un agent immobilier face au RGPD ?
Un agent immobilier doit informer ses clients et prospects sur l’usage de leurs données, limiter les durées de conservation et sécuriser l’accès aux pièces justificatives. Il doit aussi être capable de répondre aux demandes d’accès, de rectification ou d’effacement dans un délai d’un mois maximum (article 12.3 du RGPD).
Quel est le code APE pour un agent immobilier indépendant ?
Cette information relève du classement officiel des activités économiques et ne concerne pas directement les obligations RGPD traitées dans ce guide. Elle n’est pas abordée ici faute de lien avec la protection des données.
Puis-je signaler un manquement RGPD constaté dans une agence ?
Toute personne peut déposer une plainte auprès de la CNIL si elle estime que ses données personnelles n’ont pas été traitées conformément au RGPD. La plainte se dépose en ligne, directement sur le site de la CNIL, avec les éléments factuels disponibles.
Sources
Textes officiels cités (vérifiés le 28 octobre 2026) :
- Règlement (UE) 2016/679 (RGPD) – EUR-Lex
- RGPD, chapitre IV (articles 30, 33, 37) – CNIL
- Référentiel gestion locative (délibération n° 2021-057) – CNIL
- Référentiel gestion des activités commerciales – CNIL
- Notifier une violation de données personnelles – CNIL
- Conseil d’État, 4 novembre 2020, n° 433311 (SERGIC)
- Bloctel : réglementation pour les professionnels – economie.gouv.fr
- Règlement (UE) 2016/679 (RGPD), article 33 – EUR-Lex
- CNIL — Publication du référentiel relatif à la gestion locative