Une agence immobilière doit organiser la collecte, l’accès et la suppression des données à chaque étape de son activité : recherche d’un logement, candidature, mandat, gestion du bail et clôture du dossier. Un dossier utile au négociateur n’a pas nécessairement à être accessible au comptable, au bailleur ou à tous les collaborateurs du réseau. Le premier travail consiste à distinguer ces usages avant de remplir un modèle RGPD.
Pour la location, la référence sectorielle est le référentiel CNIL adopté le 6 mai 2021. Il accompagne l’application du RGPD et doit être rapproché des textes applicables à votre activité. Il ne crée pas une durée unique pour tous les documents immobiliers et ne couvre pas, à lui seul, l’ensemble des obligations du syndic, de la transaction ou de la lutte contre le blanchiment.
Cartographier les activités sans constituer un dossier universel
Dans le registre des traitements, séparez au minimum la prospection, l’organisation des visites, l’examen des candidatures, la conclusion du bail et sa gestion. Pour chaque activité, identifiez le responsable, la finalité, les catégories de données, les destinataires, les systèmes utilisés et la règle de conservation.
Une même information peut servir à plusieurs activités, mais cela ne rend pas tous les usages automatiquement licites. Un numéro communiqué pour convenir d’une visite ne vaut pas accord général à recevoir des offres commerciales. Une pièce reçue pour vérifier une candidature ne doit pas alimenter sans examen une base de prospection.
Faites décrire le parcours réel par un négociateur, un gestionnaire et la personne chargée des outils. Recherchez aussi les copies dans les messageries, les dossiers partagés, les téléphones professionnels et les formulaires du site. Une cartographie limitée au CRM laisse souvent de côté les documents transmis en urgence par courriel.
Collecter les pièces au bon moment
Avant la visite, demandez les informations nécessaires pour organiser le rendez-vous. Lorsque la personne dépose une candidature, vérifiez les pièces autorisées pour sa situation et celle du garant. Le décret relatif aux pièces justificatives ne justifie pas de demander systématiquement tous les documents de sa liste.
La CNIL explique les documents pouvant être demandés aux candidats. Elle distingue les étapes du parcours et rappelle notamment que relevés de compte bancaire, copie de carte Vitale ou jugement de divorce ne sont pas des pièces à exiger dans le dossier de candidature.
Construisez une liste interne indiquant, pour chaque justificatif, le cas dans lequel il est demandé, son utilité et la personne qui le vérifie. Prévoyez une alternative lorsque le candidat n’a pas le document correspondant à un statut salarié classique. Un champ obligatoire dans un formulaire ne doit pas créer une exigence que votre procédure juridique ne prévoit pas.
Si une pièce excessive arrive spontanément, limitez sa circulation et décidez rapidement de sa suppression ou de son occultation. Ne la conservez pas simplement parce qu’elle a déjà été reçue. Expliquez au candidat quels documents sont utiles, sans lui demander de renvoyer plusieurs fois l’ensemble de son dossier.
Identifier les rôles de l’agence, du bailleur et des prestataires
La qualification dépend de la détermination des finalités et des moyens. Un mandat commercial ne suffit pas à conclure que l’agence est toujours sous-traitante du bailleur. Inversement, la diffusion d’une annonce sur un portail ne rend pas automatiquement les deux acteurs responsables conjoints de tous les traitements.
Pour chaque échange, décrivez qui décide de collecter, qui choisit les usages et qui conserve les données. Si le fournisseur intervient sur vos instructions, examinez le contrat de sous-traitance. Si deux acteurs déterminent conjointement les finalités et moyens, analysez les responsabilités prévues à l’article 26. Si chacun poursuit ses propres finalités, documentez la transmission et l’information correspondante.
Demandez au portail ou au fournisseur du CRM ses conditions contractuelles, les pays de traitement et la liste des sous-traitants pertinents. Le nom commercial du service et la localisation annoncée de son serveur ne suffisent pas à décrire les accès de maintenance ou les transferts.
Informer au moment de la collecte
Présentez une information courte sur le formulaire ou dans le message accompagnant la demande de pièces, avec un accès à une notice complète. La notice décrit notamment le responsable, les usages, la base juridique, les destinataires, la conservation et les droits. Distinguez clairement les champs nécessaires des informations facultatives.
Exemple hypothétique : une agence organise une visite par courriel, puis invite les personnes intéressées à déposer un dossier sur un espace sécurisé. L’information sur les candidatures apparaît avant le dépôt, pas seulement dans le futur bail. Une case séparée peut être prévue pour une finalité commerciale nécessitant un consentement ; elle ne conditionne pas l’examen de la candidature.
Ne présentez pas l’acceptation d’une politique de confidentialité comme la base juridique universelle de l’activité. La personne reçoit une information ; un consentement n’est recueilli que lorsqu’il correspond effectivement au traitement concerné.
Limiter les accès et les transmissions
Définissez des profils par fonction. Le collaborateur chargé des visites peut avoir besoin du nom et du téléphone ; celui qui examine la solvabilité peut consulter les pièces pertinentes ; la comptabilité n’a pas nécessairement besoin de toutes les pièces d’identité des candidats non retenus.
Testez les liens de téléchargement depuis un compte dépourvu d’autorisation. Évitez les liens publics permanents et retirez les droits des collaborateurs sortants. Lorsque le bailleur doit recevoir des éléments, sélectionnez les informations nécessaires au lieu de transmettre automatiquement l’intégralité du dossier.
Dans notre agence fictive, le gestionnaire constate qu’un ancien négociateur garde un accès au stockage documentaire. Il retire cet accès, recherche son utilisation récente et consigne les mesures prises. Selon les faits, l’événement peut nécessiter une analyse de violation de données ; la suppression du compte ne clôt pas, à elle seule, cette analyse.
Organiser la conservation par étape
Une politique de conservation distingue base active, archivage intermédiaire et suppression. Pour les informations collectées afin d’apprécier la solvabilité des candidats, le référentiel CNIL indique qu’une durée de trois mois en base active est en principe adéquate. Cette indication ne devient pas une règle uniforme couvrant tous les dossiers, toutes les finalités et tout archivage éventuel.
Documentez le point de départ, les données concernées et la justification d’une conservation ultérieure. Une obligation comptable peut justifier certaines pièces sans autoriser le maintien de tous les justificatifs de candidature. Un contentieux précis peut nécessiter une conservation limitée et un accès restreint, avec une réévaluation à sa clôture.
| Étape | Décision à consigner | Preuve de fonctionnement |
|---|---|---|
| Visite organisée | Informations utiles et durée après le rendez-vous | Paramétrage du formulaire et procédure |
| Candidature non retenue | Sort des pièces de solvabilité et éventuelle archive justifiée | Résultat de suppression contrôlé |
| Bail en cours | Documents nécessaires à la gestion | Liste des accès et usages |
| Bail clôturé | Pièces soumises à une obligation ou nécessaires au contentieux | Justification et accès restreint |
Traiter les demandes et incidents
Désignez un point d’entrée pour les demandes des candidats, locataires, garants et bailleurs. Le délai de réponse prévu par le RGPD est en principe d’un mois, avec les conditions de prolongation de l’article 12. Vérifiez l’identité de manière proportionnée et recherchez les données dans les systèmes concernés, y compris les messageries utilisées pour le dossier.
Pour une demande d’accès, protégez les données des autres personnes sans refuser automatiquement tout le dossier. Pour un effacement, distinguez les données à supprimer des pièces dont la conservation demeure justifiée. Expliquez la décision dans une réponse compréhensible.
Une mauvaise adresse de courriel ou un espace de dépôt exposé doit déclencher la procédure de violation. Le responsable apprécie le risque et les obligations de notification des articles 33 et 34. Toute erreur ne nécessite pas automatiquement un signalement, mais l’analyse et les mesures doivent être documentées.
Faire une revue de dossier avant de généraliser
Choisissez un dossier fictif comprenant une visite, une candidature refusée et une demande d’effacement. Faites-le parcourir par les équipes avec des données inventées. Vérifiez les écrans, les droits, les messages et le résultat de suppression. Consignez les écarts, leur responsable et leur échéance de correction.
Aucun seuil de lots ou d’immeubles ne remplace les critères de désignation d’un DPO prévus par l’article 37 du RGPD. Évaluez les activités réelles, leur échelle et leurs risques. Les obligations professionnelles, immobilières et de lutte contre le blanchiment demandent, en parallèle, leur propre analyse de périmètre ; un modèle RGPD ne les tranche pas.