Protection et conservation des données : obligations pour les professionnels de l'immobilier

Le cadre général : les principes clés du RGPD

Le RGPD définit une architecture de protection reposant sur cinq piliers essentiels que chaque cabinet (transaction, gestion, syndic) doit intégrer dans ses processus.

1. La Finalité du Traitement

Avant toute collecte, le responsable de traitement doit annoncer précisément aux personnes (clients, locataires, salariés) l'objectif de l'utilisation de leurs données. Cette finalité limite l'usage futur : une donnée collectée pour une gestion locative ne peut être réutilisée pour de la prospection commerciale sans une information préalable et, souvent, un consentement spécifique.

2. La Pertinence et la Minimisation

Seules les données strictement nécessaires à la réalisation de l'objectif peuvent être collectées. Un professionnel ne doit pas demander plus d'informations que ce dont il a réellement besoin. Par exemple, dans le cadre d'un site internet, la collecte de l'adresse IP et des logs de connexion doit être justifiée par la sécurité ou le bon fonctionnement du service.

3. La Limitation de la Conservation

Une fois l'objectif atteint, les données doivent être supprimées ou anonymisées. La durée de conservation doit être définie au préalable, en tenant compte des obligations légales spécifiques à chaque domaine (civil, fiscal, pénal).

4. Le Respect des Droits des Personnes

Les individus disposent de droits fondamentaux : accès, rectification, suppression, opposition et portabilité. Le professionnel doit mettre en place des modalités simples (souvent une adresse mail dédiée) pour permettre l'exercice de ces droits.

5. La Sécurité et la Confidentialité

Il est impératif de garantir l'intégrité des données numériques comme s'il s'agissait de documents conservés dans un coffre-fort. Cela implique :

• Le contrôle des accès (seules les personnes autorisées accèdent aux fichiers).
• La traçabilité des modifications et des copies.
• La mise à jour régulière des permissions, notamment lors du départ d'un collaborateur.

Obligations de conservation spécifiques au métier

Le droit immobilier impose des délais de conservation rigoureux qui se superposent aux principes généraux du RGPD.

1. Le Registre des Mandats (Loi Hoguet)

Tous les mandats (vente, recherche, gestion, syndic) doivent être mentionnés par ordre chronologique sur un registre.

• Support : Le registre doit être coté sans discontinuité et relié (ou sous forme électronique sécurisée).
• Durée : Les mandats et le registre des mandats doivent être conservés pendant dix ans. Le numéro d'inscription doit figurer sur l'exemplaire remis au client sous peine de nullité du contrat.

2. La Lutte contre le Blanchiment (LCB-FT / Tracfin)

Les professionnels de l'immobilier ont une mission de vigilance vis à vis du blanchiment. Cette mission est renforcée en ce qui concerne la transaction et la location avec des loyers supérieurs à 10 000 €/mois.

• Données d'identification : Il faut collecter et conserver les documents officiels d'identité des clients (personnes physiques) et des bénéficiaires effectifs (personnes morales).
• Durée : Les documents relatifs à l'identité et aux opérations doivent être conservés pendant 5 ans à compter de la cessation de la relation d'affaires.
• Traçabilité : Le professionnel doit être capable de présenter à la DGCCRF un document assurant la traçabilité des démarches effectuées (cartographie des risques, fiches de vigilance).
• Confidentialité : Les déclarations de soupçon transmises à Tracfin sont couvertes par le secret professionnel et ne doivent jamais être insérées dans le dossier client.

3. La Copropriété et la Gestion Locative

Le syndic est le conservateur des archives de la copropriété.

• Archives du syndicat : Le syndic gère et assure la conservation des archives (PV d'AG, règlements de copropriété, plans).
• Transmission : En cas de changement de syndic, les documents dématérialisés doivent être remis au successeur sous un mois dans un format téléchargeable et imprimable. La situation de trésorerie doit être remise sous 15 jours.
• Conservation notariale : Les notaires conservent les minutes des règlements de copropriété et des actes de vente pendant 75 à 100 ans.

La surveillance des salariés et le RGPD

Le contrôle de l'activité des collaborateurs est possible mais doit rester proportionné et transparent.

1. Vidéosurveillance

• Finalité : L'objectif doit être légal (sécurité des biens et des personnes) et ne peut conduire à une surveillance constante.
• Limites : Sauf cas exceptionnel, les caméras ne peuvent pas filmer les employés sur leur poste de travail, dans les zones de repos ou les toilettes.
• Conservation : Les images ne doivent pas être conservées plus d'un mois.
• Information : Des panneaux visibles doivent informer les salariés et les visiteurs de l'existence du dispositif.

2. Outils Numériques (Internet et Messagerie)

• Principe : L'employeur peut contrôler l'utilisation d'Internet pour assurer la sécurité des réseaux, mais une utilisation personnelle raisonnable est tolérée.
• Confidentialité : L'employeur ne peut pas consulter les courriels identifiés comme « personnels » par le salarié, ni accéder à un dossier privé sur l'ordinateur.
• Conservation : Les informations de connexion (logs) ne peuvent pas être conservées plus de 6 mois.

3. Géolocalisation (GPS)

L'installation de GPS dans les véhicules professionnels des négociateurs est strictement encadrée. Elle ne peut être utilisée pour contrôler le temps de travail que si aucun autre moyen n'est possible, et elle doit être désactivée en dehors du temps de travail (trajets domicile-travail, pauses).

Nouveaux défis : IA, digitalisation et site web

L'évolution technologique impose de nouvelles précautions en matière de traitement des données.

1. Intelligence Artificielle (IA)

L'utilisation d'IA génératives (type ChatGPT) dans les agences présente des risques majeurs pour la confidentialité.

• Données Clients : Il ne faut jamais verser de données personnelles (coordonnées, préférences d'achat) ou confidentielles dans une IA gratuite, car ces systèmes peuvent utiliser les données pour leur propre entraînement et donc les rendre publiques.
• Responsabilité : Les entreprises doivent encadrer l'usage de l'IA auprès de leurs salariés pour éviter des fuites de données massives.

2. Signature Électronique

La signature électronique garantit l'intégrité du document et l'identité du signataire. Elle doit être archivée avec son horodatage et les preuves d'authentification pour conserver sa force probante.

3. Mentions Légales des Sites Internet

Tout site d'agence doit comporter une page de mentions légales détaillant :

• L'identité de l'éditeur et de l'hébergeur.
• Le numéro de carte professionnelle et les coordonnées du garant financier.
• La politique de confidentialité RGPD (données collectées, finalité, destinataires, durée de conservation).
• L'information sur les cookies : les visiteurs doivent être informés préalablement à leur dépose et pouvoir les refuser.

Transparence et communication en copropriété

Un point de friction récurrent concerne la transmission de données personnelles entre le syndic et le conseil syndical.

• Le Syndic et le RGPD : Le syndic appartient au syndicat des copropriétaires et détient des données pour son compte. Il ne peut pas transmettre les coordonnées des copropriétaires à un tiers individuel (même copropriétaire).
• L'exception du Conseil Syndical : Le syndic ne peut pas invoquer le RGPD pour refuser de transmettre des documents ou les coordonnées des copropriétaires aux membres du conseil syndical. La loi impose la communication de tout document relatif à l'administration de l'immeuble, car cela est nécessaire à l'exercice des missions de contrôle et d'assistance du conseil.

Sanctions et risques en cas de non-conformité

Le non-respect de ces obligations expose les professionnels à des sanctions lourdes, tant administratives que pénales.

1. Sanctions DGCCRF : En cas de manquements aux mentions obligatoires sur le site web ou les annonces, l'amende peut atteindre 15 000 € pour une personne morale.
2. Sanctions CNIL : La CNIL peut infliger des amendes significatives. Par exemple, une entreprise immobilière a été condamnée à 40 000 € en décembre 2024 pour une surveillance excessive de ses salariés via un logiciel captant l'inactivité du clavier.
3. Sanctions Tracfin (CNS) : L'absence de cartographie des risques ou d'identification des bénéficiaires effectifs peut entraîner une interdiction d'exercer (souvent avec sursis) et des amendes de plusieurs milliers d'euros, assorties d'une publication nominative de la sanction.
4. Sanctions Pénales : Le défaut de mentions légales est passible d'un an d'emprisonnement et de 75 000 € d'amende (375 000 € pour une société).

Durées de conservation pratiques (récapitulatif)

En conclusion, la protection et la conservation des données imposent au professionnel de l'immobilier d'adopter une posture de vigilance constante. L'établissement d'un registre des traitements, la nomination d'un délégué à la protection des données (DPO) dans les structures importantes et la sensibilisation régulière du personnel sont les seules garanties pour transformer cette contrainte réglementaire en un atout de confiance vis-à-vis des clients.