Guide immobilier & RGPD

DPO externalisé pour agence immobilière.

Transaction, gestion locative, syndic : une agence immobilière manipule chaque semaine des pièces d'identité, des avis d'imposition, des bulletins de salaire et parfois des coordonnées bancaires de candidats locataires ou acquéreurs. Un volume de données financières bien supérieur à la moyenne des PME, qui mérite une vigilance RGPD à la hauteur.

Le cœur du sujet

Des dossiers de candidature particulièrement exposés.

Pour constituer un dossier de location ou monter un financement, une agence collecte souvent en une seule fois : carte d'identité ou passeport, avis d'imposition, bulletins de salaire, contrat de travail, parfois relevés bancaires ou attestations de garant. Ce ne sont pas des « données sensibles » au sens strict de l'article 9 du RGPD (santé, origines, opinions...), mais ce sont des documents à forte valeur en cas de fuite ou d'usurpation d'identité — ce qui justifie un niveau d'exigence élevé sur leur sécurisation, indépendamment de la question de l'obligation de DPO.

La désignation d'un DPO n'est obligatoire, selon l'article 37 du RGPD, que dans certains cas précis : organismes publics, suivi régulier et systématique à grande échelle des personnes, ou traitement à grande échelle de données sensibles ou judiciaires. La plupart des agences immobilières ne basculent pas automatiquement dans ces cas de figure. Mais entre le volume de dossiers traités, la nature financière des pièces collectées et la multiplicité des sous-traitants impliqués (logiciel de transaction, CRM, gestion locative), s'appuyer sur un accompagnement dédié reste une pratique recommandée plutôt qu'une simple option de confort.

  • ✓ pièces d'identité, avis d'imposition, bulletins de salaire : des documents à protéger avec des mesures de sécurité renforcées (article 32 du RGPD) ;
  • ✓ des dossiers transmis à plusieurs interlocuteurs (bailleur, garant, notaire, banque) — chaque transmission doit rester justifiée par la finalité poursuivie ;
  • ✓ un volume de candidatures souvent élevé pour un nombre de biens limité, donc beaucoup de dossiers de personnes non retenues à gérer correctement.
Un réflexe à prendre

Les dossiers non retenus ne se conservent pas indéfiniment.

Le dossier d'un candidat locataire ou acquéreur qui n'a finalement pas été retenu contient les mêmes pièces sensibles que celui du candidat sélectionné. Le principe de limitation de la conservation posé par l'article 5 du RGPD s'applique pleinement : les données ne doivent pas être gardées plus longtemps que ce qui est nécessaire au regard de la finalité poursuivie, en l'occurrence l'instruction de la candidature.

Concrètement, cela veut dire fixer une durée de conservation raisonnable et documentée pour les dossiers non retenus, puis supprimer ou archiver ces pièces une fois le processus de sélection terminé et le délai fixé écoulé — sans attendre qu'elles s'accumulent d'année en année « au cas où ». Nous n'indiquons pas ici de délai chiffré universel : la bonne durée dépend de votre organisation et doit être proportionnée, documentée dans votre registre des traitements, et cohérente avec l'article 5. C'est un point que nous formalisons avec chacun de nos clients du secteur.

Vos outils métiers

CRM immobilier et logiciel de gestion locative : des sous-traitants au sens du RGPD.

Le logiciel de gestion locative, le CRM de transaction ou l'outil de signature électronique auxquels vous confiez les dossiers de vos candidats sont, au sens de l'article 28 du RGPD, des sous-traitants : ils traitent des données personnelles pour votre compte et selon vos instructions. Cela suppose un contrat écrit précisant l'objet du traitement, sa durée, les obligations de sécurité de l'éditeur, et le sort des données à la fin du contrat.

Beaucoup d'agences utilisent ces contrats types fournis par l'éditeur sans jamais les relire. Nous vérifions que les clauses obligatoires y figurent bien et qu'elles correspondent à votre usage réel. Le détail de ce que doit contenir un contrat de sous-traitance et des vérifications à mener est expliqué sur notre page sous-traitant RGPD.

Dès la constitution du dossier

Informer le candidat, pas seulement collecter ses pièces.

Dès qu'un candidat locataire ou acquéreur transmet ses pièces, il doit être informé de manière claire : qui traite ses données, pourquoi (instruction de la candidature, vérification de solvabilité...), à qui elles peuvent être transmises, combien de temps elles sont conservées, et comment il peut exercer ses droits d'accès, de rectification ou d'effacement. Cette information peut prendre la forme d'une mention simple jointe au dossier ou d'un lien vers votre politique de confidentialité — l'essentiel est qu'elle soit systématique, pas laissée à l'appréciation de chaque collaborateur.

Combien coûte un DPO externalisé ?

Trois façons de s'en occuper.

DPO interne

~70 000€/an

Recrutement, charges, congés.

Cabinet juridique

dès 1 500€/mois

Facturation horaire, délais de réponse, pas d'IA intégrée.

VIGIL

VIGIL

dès 99€/mois

IA H24 + juriste de magistère joignable sur demande.

Détail complet des trois formules (Bouclier, Confiance, Sérénité) sur la page tarifs. Votre agence est plutôt une PME classique sur d'autres aspects de son activité ? Notre page DPO pour PME couvre les fondamentaux communs à tous les secteurs.

Faisons le point sur vos dossiers candidats.

Contrats sous-traitants, durée de conservation, information des candidats : 15 minutes suffisent pour identifier ce qui doit être corrigé en priorité.

Faire le point avec nous

Contenu à visée informative, à jour au moment de sa rédaction. Il ne constitue pas un conseil juridique personnalisé au sens de la loi n°71-1130 du 31 décembre 1971 — chaque situation mérite une analyse dédiée.