RGPD immobilier : les obligations à respecter en 2026

En 2019, la CNIL a sanctionné une société de gestion immobilière à hauteur de 400 000 euros pour avoir laissé n’importe quel internaute accéder, sans authentification, aux bulletins de salaire et pièces d’identité de ses clients.

Cinq ans plus tard, une agence écopait de 40 000 euros pour surveillance excessive de ses salariés en télétravail.

Entre avis d’imposition, RIB, cartes d’identité et diagnostics, les professionnels de l’immobilier manipulent chaque jour des données parmi les plus sensibles qui soient, souvent sans registre des traitements à jour ni procédure claire en cas de fuite.

Que vous soyez agent immobilier, mandataire, CGP ou CGPI, cette exposition n’est plus théorique : la CNIL et la DGCCRF renforcent leurs contrôles sur le secteur.

Ce guide détaille les sept obligations concrètes à respecter, les sanctions encourues et la marche à suivre pour sécuriser vos dossiers clients.

🎯 RGPD immobilier : l’essentiel à retenir

🔒 Le RGPD encadre la collecte, l’usage et la conservation des données de vos clients et prospects.

• 📋 Toute agence, CGP ou mandataire doit tenir un registre des traitements à jour.
• ⏳ Les durées de conservation varient de trois mois pour la solvabilité à plusieurs années selon le type de mandat.
• 🔑 La sécurisation des accès et le chiffrement sont examinés en priorité lors d’un contrôle CNIL.
• 📞 La pige téléphonique impose de consulter Bloctel chaque mois avant tout démarchage.
• 🚨 Une violation de données doit être notifiée à la CNIL sous 72 heures.
• 💶 Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

📖 RGPD immobilier : de quoi parle-t-on ?

Le RGPD appliqué à l’immobilier, c’est l’ensemble des règles qui encadrent la façon dont une agence, un mandataire ou un CGP collecte, traite, conserve et sécurise les données personnelles de ses clients, prospects et locataires tout au long d’un dossier, du premier contact jusqu’à la signature chez le notaire.

Le secteur est particulièrement exposé car chaque dossier locatif ou de vente concentre des données à caractère sensible : identité, revenus, situation familiale, coordonnées bancaires, parfois données de santé via les diagnostics. La CNIL contrôle régulièrement le secteur depuis 2020 et a déjà prononcé plusieurs avertissements et sanctions, notamment sur les pièces collectées au stade de la location.

Pour un professionnel, la conformité RGPD n’est donc pas une formalité administrative annexe : elle structure toute la relation commerciale et conditionne la confiance du client.

✅ Les 7 obligations RGPD des professionnels de l’immobilier

1. Informer clients et prospects en toute transparence

Dès le premier contact utile, la personne doit savoir qui traite ses données et pourquoi. Cette obligation de transparence ne se limite pas à une mention légale perdue en bas de site : elle doit être visible à chaque point de collecte.

• 📄 Mandats et formulaires : identité du responsable de traitement, finalité de la collecte, base légale.
• ✋ Droit d’opposition : mention claire du droit de s’opposer, notamment à la prospection.
• 📧 Emails et SMS commerciaux : lien ou procédure de désinscription systématique.
• ☎️ Appels de pige : information du prospect dès les premiers échanges sur la finalité de l’appel.

Une agence qui néglige cette information s’expose en priorité à un rappel à l’ordre, souvent le premier signal avant une procédure de sanction plus lourde.

2. Disposer d’une base légale pour chaque traitement

Aucune donnée ne peut être collectée « par défaut » : chaque traitement, qu’il s’agisse d’un mandat de vente, d’une relance commerciale ou d’un envoi d’emailing, doit reposer sur un fondement juridique précis que vous devez pouvoir justifier en cas de contrôle.

L’exécution d’un contrat couvre naturellement la gestion d’un bail ou d’un mandat en cours.

L’intérêt légitime peut fonder une pige commerciale ou une prospection B2B, mais uniquement sous conditions strictes d’information et de proportionnalité.

Le consentement explicite, lui, reste incontournable dès qu’il s’agit de prospection par email ou SMS auprès de particuliers, tandis que certaines obligations légales, issues de la loi Hoguet ou de la lutte anti-blanchiment, imposent la conservation de pièces spécifiques indépendamment de tout consentement.

Confondre ces bases légales est une erreur fréquente : traiter une prospection commerciale comme relevant de l’intérêt légitime, sans consentement préalable, est un motif classique de plainte auprès de la CNIL.

3. Limiter la collecte aux documents strictement nécessaires

• 🆔 Pièces d’identité : uniquement pour les personnes réellement engagées dans la transaction.
• 🚫 Carte Vitale : à proscrire pour un dossier locatif, son numéro de sécurité sociale est hors périmètre.
• 💰 Justificatifs financiers : limités à ce qui est nécessaire pour apprécier la solvabilité, sans excès.
• 🗑️ Documents surnuméraires : à supprimer ou restituer si le candidat en a fourni trop.

Le principe de minimisation interdit de constituer des dossiers surdimensionnés « au cas où ». Plus vous stockez de pièces inutiles, plus votre surface de risque augmente en cas de fuite, et plus le traitement d’un dossier devient chronophage pour vos équipes.

Un dossier « propre » facilite aussi votre travail au quotidien : moins de documents sensibles à sécuriser, moins de risques à gérer sur la durée, et une relation client plus fluide dès la première rencontre.

4. Respecter des durées de conservation précises

Conserver une donnée au-delà du nécessaire est, à lui seul, un manquement identifié par la CNIL, y compris lorsque la collecte initiale était parfaitement légale. Le référentiel de la CNIL relatif à la gestion locative fixe des repères précis selon la finalité du traitement :

• ⏱️ Solvabilité d’un candidat non retenu : trois mois en base active avant suppression ou archivage.
• 📆 Prospection : trois ans à compter du dernier contact avec le prospect.
• 🏠 Gestion locative directe : durée du bail, plus trois ans d’archivage après sa fin.
• 🏢 Gestion déléguée ou semi-déléguée : durée du contrat, plus cinq ans d’archivage.

Ces durées doivent être formalisées noir sur blanc dans votre registre, avec un mécanisme de purge automatique si possible, plutôt que laissées à l’appréciation de chacun dans l’équipe.

5. Sécuriser l’accès aux données

C’est le point le plus lourdement sanctionné à ce jour dans le secteur, comme le rappelle l’exemple de la société condamnée à 400 000 euros pour avoir laissé des documents accessibles sans authentification pendant plusieurs mois.

Concrètement, cela suppose des accès individualisés et robustes à vos outils métier, sans compte partagé entre collaborateurs, des règles de complexité de mots de passe réellement appliquées et non simplement recommandées sur le papier, ainsi qu’un chiffrement des documents les plus sensibles, RIB, avis d’imposition, pièces d’identité, aussi bien au stockage qu’à la transmission.

La sensibilisation des équipes complète ce dispositif : une bonne partie des manquements sanctionnés provient d’un défaut d’information ou de formation en interne, bien plus que d’une négligence délibérée.

Un audit régulier de ces points vous met en position favorable en cas de contrôle et réduit drastiquement le risque financier en cas d’incident.

6. Tenir un registre des traitements à jour

• 📝 Finalité : pourquoi chaque traitement existe (prospection, gestion locative, mandat de vente).
• 🗂️ Catégories de données : identité, financières, sensibles, à lister précisément.
• 🔗 Destinataires : qui a accès en interne, et quels prestataires externes.
• 🔄 Mise à jour : révision à chaque nouvel outil ou changement de process.

Ce document est votre principale preuve de conformité : c’est le premier élément demandé par la CNIL lors d’un contrôle, avant même d’examiner vos outils.

Un registre figé, rédigé une fois puis jamais retouché, perd toute valeur probante face à un contrôleur, c’est un document vivant, à raccorder en permanence à vos usages réels.

7. Encadrer les sous-traitants par contrat

Chaque prestataire qui manipule des données pour votre compte, CRM, solution de signature électronique, outil d’emailing, engage aussi votre responsabilité. Un contrat de sous-traitance incomplet a déjà coûté 100 000 euros à un acteur du secteur immobilier, précisément pour ce motif.

Avant toute signature avec un nouvel éditeur, vérifiez que la clause RGPD figure explicitement au contrat et couvre la conservation, la sécurité et la suppression des données.

Ce réflexe devrait être aussi systématique que la vérification des tarifs ou des fonctionnalités proposées.

• 💻 CRM et logiciels métier
• ✍️ Signature électronique
• 📊 Outils marketing et emailing