RGPD dans l'immobilier : le guide 2026 pour agences et agents

Une agence immobilière traite plus de données personnelles qu'un cabinet d'avocats ou qu'un e-commerçant moyen. Chaque estimation, chaque visite, chaque dossier de location fait entrer dans vos fichiers des noms, des revenus, des situations familiales et des pièces d'identité. Le RGPD ne concerne pas seulement les grandes plateformes : il s'applique pleinement à votre agence, à votre site vitrine et à vos fichiers commerciaux.

La bonne nouvelle, c'est que la mise en conformité d'une agence tient à quelques réflexes simples. Le plus important d'entre eux porte un nom : la minimisation des données. Collecter uniquement ce dont vous avez réellement besoin, et pas une pièce de plus, résout à lui seul une grande partie du sujet.

Ce guide passe en revue les données que vous manipulez, les bases légales qui les justifient, les durées de conservation, la diffusion sur les portails, et la conformité cookies de votre site d'agence. Vous repartez avec une check-list applicable dès cette semaine.

Testez d'abord ce que votre site dépose vraiment avec notre scanner de cookies →

Pourquoi le RGPD s'applique à toute agence immobilière

Dès qu'une agence enregistre le nom d'un prospect acquéreur, le numéro d'un vendeur ou le dossier d'un candidat locataire, elle réalise un traitement de données personnelles. Votre agence est alors responsable de traitement au sens du RGPD, avec les obligations qui en découlent.

Un volume de données rarement mesuré

Le métier repose sur la donnée. Un mandat de vente, c'est l'identité complète du propriétaire, son adresse, souvent sa situation matrimoniale et fiscale. Un dossier de location, c'est l'identité du candidat, ses revenus, ses avis d'imposition, parfois ceux de ses garants. Une simple demande d'estimation en ligne, c'est déjà un prospect qualifié dans votre CRM. Additionnées, ces informations font de l'agence un acteur qui manipule des données sensibles au quotidien, au sens courant du terme, même si la plupart ne relèvent pas de l'article 9 du RGPD.

La CNIL surveille le secteur

L'immobilier fait partie des secteurs régulièrement rappelés à l'ordre par la CNIL, notamment sur la collecte excessive de pièces justificatives et sur la prospection commerciale. Le sujet n'est pas théorique : il touche des pratiques quotidiennes de terrain, comme demander systématiquement une copie de la carte Vitale à un candidat locataire.

Le site de l'agence est aussi concerné

Votre site n'échappe pas à la règle. Formulaire de contact, demande d'estimation, alerte e-mail sur les nouveaux biens, chaque brique collecte des données et déclenche souvent des traceurs. La partie cookies relève de l'article 82 de la loi Informatique et Libertés, qui impose le consentement préalable avant tout traceur non essentiel.

L'essentiel à retenir

Vérifiez la conformité cookies de votre site en quelques secondes → Scanner de cookies

Les données que vous manipulez, prospect par dossier

Cartographier ses traitements est la première étape concrète. Une agence type gère au moins quatre grandes familles de données personnelles, chacune avec ses risques propres.

• Prospects acquéreurs : identité, coordonnées, budget, critères de recherche, historique des visites. Ces données alimentent votre prospection et vos alertes.
• Vendeurs et propriétaires : identité, adresse du bien, situation liée au mandat, coordonnées bancaires pour le versement du prix. Le mandat est le pivot documentaire.
• Candidats locataires : identité, justificatifs de revenus, avis d'imposition, contrats de travail, coordonnées des garants. C'est la famille la plus sensible en pratique et la plus exposée à la sur-collecte.
• Locataires et propriétaires en gestion : quittances, historique des paiements, coordonnées, échanges. La relation dure des années, la donnée s'accumule.

Chaque famille appelle une question simple : cette information m'est-elle vraiment utile pour ce que je fais aujourd'hui ? Si la réponse est non, elle ne doit pas entrer dans vos fichiers. Ce réflexe porte le nom de minimisation des données.

La minimisation, l'enjeu numéro un de l'immobilier

L'article 5 du RGPD impose que les données collectées soient adéquates, pertinentes et limitées à ce qui est nécessaire. Dans l'immobilier, ce principe se heurte à une habitude tenace : demander le maximum de pièces pour se rassurer. C'est précisément ce que la loi encadre.

La liste des pièces d'un dossier de location est encadrée

Pour un candidat locataire, un bailleur ou son mandataire ne peut réclamer que les documents figurant sur une liste fixée par la réglementation. Cette liste couvre l'identité, le domicile, l'activité professionnelle et les ressources. Tout ce qui n'y figure pas ne peut pas être exigé.

Certains documents sont même explicitement interdits à la demande. En pratique, une agence ne doit pas réclamer de copie de carte Vitale, d'extrait de casier judiciaire, de relevé de compte bancaire, d'attestation d'absence de crédit, ni de dossier médical. Les exiger constitue à la fois une infraction au droit du logement et un manquement à la minimisation du RGPD.

La photocopie de la pièce d'identité, un cas à part

Conserver la copie d'une carte d'identité doit rester exceptionnel et justifié. Pour un candidat non retenu, garder cette copie n'a aucune raison d'être. La minimisation vous protège autant qu'elle protège la personne : moins vous stockez de pièces sensibles, moins vous êtes exposé en cas de fuite de données.

Un principe qui simplifie votre organisation

Appliquer la minimisation allège vos dossiers, réduit votre surface de risque et facilite les demandes d'accès ou de suppression. Collecter moins, c'est aussi ranger, sécuriser et purger plus facilement.

Le principe cousin, celui du consentement, s'applique lui aux traceurs de votre site. Pour comprendre ce qu'est un cookie tiers déposé par un service externe, notre glossaire détaille la mécanique.

Bases légales : sur quel fondement traiter chaque donnée

Le RGPD exige que chaque traitement repose sur une base légale parmi les six prévues à l'article 6. Dans l'immobilier, trois reviennent en permanence.

L'exécution du contrat

Un mandat de vente, un bail, un contrat de gestion locative fondent le traitement des données nécessaires à leur exécution. Vous n'avez pas besoin du consentement du vendeur pour traiter son identité dans le cadre d'un mandat signé : le contrat suffit.

L'intérêt légitime pour la prospection

Prospecter des vendeurs potentiels ou relancer d'anciens contacts peut reposer sur l'intérêt légitime. Cette base impose de mettre en balance votre intérêt commercial et les droits des personnes, d'informer clairement, et surtout de permettre une opposition simple à tout moment. Pour la prospection par e-mail vers des particuliers non clients, le consentement reste en général requis.

L'obligation légale

Certaines conservations découlent d'obligations légales, comme les documents comptables ou les pièces liées à la lutte contre le blanchiment pour les transactions. Ces obligations justifient une conservation en archivage, sans pour autant autoriser une réutilisation commerciale libre.

Un même dossier peut ainsi mobiliser plusieurs bases légales selon les données. Le tableau ci-dessous relie les traitements courants d'une agence à leur base et à une durée de conservation indicative.

Traitements, bases légales et durées : le tableau de référence

Ce tableau condense les grands traitements d'une agence. Les durées sont indicatives et doivent être ajustées à votre organisation et à vos obligations légales. La règle constante : au terme de l'usage actif, on archive ou on supprime, on ne conserve pas sans limite.

Purger les dossiers de candidats non retenus est le geste le plus rentable : peu de valeur pour vous, beaucoup de risque en cas de contrôle ou de fuite.

Diffusion sur les portails : SeLoger, Leboncoin et les autres

Publier une annonce sur SeLoger, Leboncoin ou un autre portail transfère des données vers un tiers. L'annonce elle-même contient des données du bien, parfois indirectement rattachables au propriétaire. Deux points méritent votre attention.

Informer le propriétaire de la diffusion

Le mandat doit prévoir la diffusion sur les portails et le vendeur doit en être informé. Précisez dans quels supports le bien sera publié et ce que cela implique. Une adresse précise, des photos de l'intérieur ou un descriptif trop détaillé peuvent, combinés, permettre d'identifier ou de localiser les occupants.

Encadrer la relation avec le portail

Le portail agit comme un destinataire des données, voire comme un sous-traitant ou un responsable conjoint selon les cas. Vérifiez ce que prévoient ses conditions et assurez-vous que les prospects entrants via le portail sont intégrés à vos traitements avec la même rigueur que vos contacts directs. Un lead reçu de Leboncoin n'échappe pas au RGPD.

Durées de conservation : ne gardez pas tout, tout le temps

La conservation illimitée est l'un des manquements les plus fréquents dans le secteur. Un CRM d'agence contient souvent des contacts inactifs depuis dix ans et des dossiers de candidats refusés il y a longtemps. Chaque donnée gardée sans raison est un risque sans contrepartie.

Distinguer usage actif et archivage

Une donnée utile aujourd'hui reste en base active. Une donnée dont l'usage courant est terminé, mais que vous devez conserver pour une obligation légale, passe en archivage à accès restreint. Une donnée sans usage ni obligation se supprime. Cette gradation structure toute votre politique de conservation.

Fixer des règles et les automatiser

Attribuez une durée à chaque traitement de votre registre, puis programmez des purges régulières. Un candidat locataire non retenu ne doit pas rester des mois dans vos fichiers avec ses avis d'imposition. Documentez ces durées dans votre registre des traitements, qui sert de preuve de votre organisation.

Les traceurs typiques d'un site d'agence immobilière

Le site d'une agence concentre plusieurs familles de traceurs, presque toujours non essentiels, donc soumis au consentement préalable. Les identifier est le préalable à toute mise en conformité cookies.

• Formulaires de génération de leads : demande d'estimation, alerte e-mail, prise de contact. Le formulaire lui-même est légitime, mais les scripts qui l'accompagnent déposent souvent des traceurs de suivi.
• Cartes interactives : les cartes intégrées pour localiser les biens chargent des scripts et cookies tiers dès l'affichage, avant tout consentement dans la plupart des installations.
• Mesure d'audience : Google Analytics et équivalents suivent le parcours des visiteurs. Non essentiels, ils exigent un consentement et une configuration adaptée.
• Retargeting publicitaire : le pixel Meta ou Google Ads sert à recibler les visiteurs qui ont consulté un bien. C'est l'un des traceurs les plus intrusifs et le plus souvent déposé trop tôt.
• Widgets d'avis et réseaux sociaux : boutons de partage, avis clients intégrés, chat en ligne, chacun peut déposer ses propres cookies tiers.

Le réflexe : aucun de ces traceurs ne doit se déclencher avant le clic du visiteur sur votre bandeau. Un scan de cookies révèle en quelques secondes ce qui part trop tôt sur votre site.

Mettre votre site d'agence en conformité, étape par étape

La plupart des sites d'agence tournent sous WordPress, souvent avec un thème immobilier et des extensions de gestion d'annonces. La marche à suivre est la même pour tous.

Étape 1 : scanner votre site

Lancez un scan pour lister tous les traceurs déposés et leur moment de dépôt. Vous obtenez la carte exacte de ce que votre site pose, formulaires, cartes, analytics et retargeting compris.

Étape 2 : distinguer essentiel et non essentiel

Classez chaque cookie. Session, panier d'annonces sauvegardées et fonctions attendues sont essentiels. Mesure d'audience, publicité et cartes tierces ne le sont pas et attendent le consentement.

Étape 3 : installer une CMP qui bloque en amont

Posez une CMP conforme qui empêche le déclenchement des traceurs non essentiels tant que le visiteur n'a pas consenti. Sur WordPress, cela passe par un bandeau qui pilote réellement le chargement des scripts, pas seulement un affichage cosmétique. Notre guide dédié au bandeau cookie sur WordPress détaille l'installation pas à pas.

Étape 4 : symétriser accepter et refuser

Refuser doit être aussi simple qu'accepter, au même niveau et en autant de clics. Un consentement éclairé suppose un choix réel, pas un parcours qui pousse à accepter.

Étape 5 : conserver la preuve et rafraîchir la politique

Enregistrez chaque choix avec son horodatage et tenez à jour votre politique cookies au fil des outils ajoutés. Une nouvelle carte, un nouveau pixel, et la liste change.

Vous êtes une agence sous WordPress ? On identifie gratuitement ce qui se dépose sur votre site → Scanner de cookies

Les erreurs courantes des agences immobilières

Le secteur répète les mêmes manquements. Les repérer sur vos pratiques évite la plupart des risques.

• Réclamer trop de pièces au candidat locataire : carte Vitale, relevés de compte, casier judiciaire. Ces demandes sont interdites et violent la minimisation.
• Conserver les dossiers de candidats refusés : gardés par confort, ils n'ont plus d'usage et concentrent des données sensibles inutiles.
• Prospecter sans base ni opposition possible : envoyer des campagnes sans information claire ni moyen simple de s'opposer expose à une plainte.
• Publier des annonces trop identifiantes : adresse précise et photos détaillées combinées peuvent localiser les occupants sans nécessité.
• Laisser le retargeting se déclencher au chargement : le pixel Meta ou Google Ads qui part avant consentement est le manquement cookies le plus fréquent des sites d'agence.
• Croire qu'un bandeau suffit : un bandeau qui ne bloque rien en amont n'apporte aucune conformité, seulement une apparence.

Détectez les manquements cookies de votre site en un scan → Scanner de cookies

Questions fréquentes

Une petite agence indépendante est-elle vraiment concernée par le RGPD ? Oui, sans seuil de taille. Dès qu'une agence traite des données de prospects, de vendeurs ou de locataires, elle est responsable de traitement. Une agence d'une personne a les mêmes obligations de fond qu'un grand réseau, adaptées à son volume.

Quelles pièces puis-je demander à un candidat locataire ? Uniquement celles figurant sur la liste fixée par la réglementation : justificatifs d'identité, de domicile, d'activité professionnelle et de ressources. Les documents comme la carte Vitale, le casier judiciaire, les relevés de compte ou une attestation d'absence de crédit ne peuvent pas être exigés.

Combien de temps puis-je conserver le dossier d'un candidat non retenu ? Le principe est de le supprimer rapidement une fois le logement attribué, puisque son usage a disparu. Conserver durablement des avis d'imposition et une copie de pièce d'identité d'une personne non retenue expose votre agence sans aucune contrepartie.

Sur quelle base légale puis-je faire de la prospection de vendeurs ? En général sur l'intérêt légitime, à condition d'informer clairement les personnes et de permettre une opposition simple à tout moment. Pour de la prospection par e-mail vers des particuliers qui ne sont pas déjà vos clients, le consentement préalable reste le plus souvent nécessaire.

Diffuser une annonce sur SeLoger ou Leboncoin pose-t-il un problème RGPD ? La diffusion est légitime si le mandat la prévoit et que le propriétaire en est informé. Veillez à ne pas rendre le bien trop identifiant et traitez les leads reçus via ces portails avec la même rigueur que vos contacts directs.

Mon site d'agence est sous WordPress, comment le mettre en conformité cookies ? Scannez d'abord les traceurs déposés, puis installez une CMP qui bloque les cookies non essentiels avant consentement. Notre guide du bandeau cookie sur WordPress décrit l'installation, et le scanner de cookies vérifie le résultat.

CTA final

Le RGPD dans l'immobilier tient à deux réflexes : collecter moins et bloquer les traceurs avant consentement. Le premier relève de vos process, le second se vérifie en quelques secondes.

Pour aller plus loin, notre guide RGPD pour un site e-commerce traite en détail des pixels de retargeting, un enjeu commun aux sites d'agence.

Gratuit · Sans engagement · Résultat immédiat