Réglementation4 min de lecture

RGPD en gestion locative : la checklist du professionnel

Registre, minimisation, durées de conservation, droits des personnes, sous-traitants : les points à vérifier pour traiter les données locatives.

L'équipe homePad·10 octobre 2025

Un dossier de candidature, un bail, un état des lieux et ses photos, une demande d'intervention : la gestion immobilière repose sur des données personnelles. Dans l'Union européenne, le règlement général sur la protection des données (RGPD) s'applique à tout professionnel qui les traite. Cette checklist propose un ordre de travail. C'est un guide pratique, pas un conseil juridique : pour une situation particulière, adressez-vous à votre autorité de protection des données ou à un conseil.

Recenser les traitements et tenir le registre

Commencez par la liste de ce que vous faites des données : sélection des candidats, gestion des baux, états des lieux, interventions, comptabilité, prospection. Pour chaque traitement, le registre indique sa finalité, les catégories de personnes et de données concernées, les destinataires, la durée de conservation et les mesures de sécurité. Une agence ou un cabinet de gestion traite ces données de façon régulière : le registre est donc à tenir, quelle que soit la taille de la structure.

• chaque traitement a une finalité écrite et une base légale, le plus souvent l'exécution du contrat ou une obligation légale, parfois l'intérêt légitime, plus rarement le consentement
• une personne est chargée du registre et le met à jour à chaque nouvel outil

Collecter moins, conserver moins longtemps

Le principe de minimisation interdit de demander une donnée « au cas où ». En France, la liste des pièces justificatives qu'un bailleur peut exiger d'un candidat locataire et de sa caution est fixée par un décret du 5 novembre 2015 : aucune autre pièce ne peut être réclamée.

Le RGPD ne fixe pas de durée chiffrée. Il impose de ne pas conserver les données plus longtemps que la finalité ne l'exige. À vous de fixer une durée par catégorie, de l'écrire et surtout de l'appliquer.

• les photos d'un état des lieux montrent le logement et ses défauts, pas les occupants, leurs papiers ou leurs objets personnels
• les commentaires libres ne contiennent ni jugement sur les personnes, ni information sur leur santé, leurs opinions ou leur origine
• les dossiers des candidats non retenus sont supprimés une fois la location attribuée
• les données d'un bail sont conservées pendant sa durée, puis archivées en accès restreint le temps qu'exige un éventuel litige ou une obligation légale
• une purge a lieu à date fixe, messageries et téléphones compris

Informer les personnes et répondre à leurs demandes

Au moment de la collecte, chaque personne doit savoir qui traite ses données, dans quel but, sur quelle base, qui les reçoit, combien de temps elles sont conservées et comment exercer ses droits. Ces droits sont l'accès, la rectification, l'effacement, la limitation, l'opposition et la portabilité. Vous avez en principe un mois pour répondre à une demande.

• une mention d'information figure sur les formulaires, les baux, les états des lieux et le site internet
• une adresse de contact est réservée à ces demandes et quelqu'un la relève
• une procédure indique qui répond et comment l'identité du demandeur est vérifiée

Sécuriser les données et encadrer les sous-traitants

La sécurité se joue sur les appareils de terrain autant que sur les serveurs : tablettes et téléphones verrouillés, comptes individuels, droits d'accès limités au besoin de chacun, sauvegardes. Tout prestataire qui traite des données pour votre compte, éditeur de logiciel, hébergeur ou centre d'appels, est un sous-traitant au sens du RGPD. Un contrat doit prévoir qu'il n'agit que sur vos instructions et préciser les mesures de sécurité, le recours à d'autres sous-traitants et le sort des données à la fin du contrat.

• un contrat de sous-traitance est signé avec chaque prestataire et le lieu d'hébergement des données est connu
• les comptes des collaborateurs sont fermés le jour de leur départ
• toute violation de données est consignée et, si elle présente un risque pour les personnes, notifiée à l'autorité de contrôle au plus tard 72 heures après sa découverte
• les collaborateurs sont formés à leur arrivée, puis régulièrement

Savoir quand aller plus loin

Une analyse d'impact relative à la protection des données s'impose avant de lancer un traitement susceptible d'engendrer un risque élevé pour les personnes. En France, la CNIL publie la liste des types de traitements pour lesquels elle est requise : vérifiez si les vôtres y figurent. La désignation d'un délégué à la protection des données n'est obligatoire que dans certains cas, notamment pour les organismes publics et pour les structures dont l'activité de base est un suivi régulier et systématique des personnes à grande échelle, ou un traitement à grande échelle de données sensibles. Dans les autres cas, désignez au moins un référent.

Les amendes administratives peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Le RGPD s'applique en France, en Belgique et au Luxembourg, chacun de ces pays ayant son autorité de contrôle et des règles nationales complémentaires. La Suisse a sa propre loi fédérale sur la protection des données. Vérifiez localement le cadre qui s'applique.

Ce que homePad apporte

homePad héberge les données de ses clients en Europe. Les rapports, leurs photos horodatées et leurs signatures électroniques sont centralisés sur une même plateforme, ce qui évite de les disperser entre téléphones, messageries et dossiers partagés.

• RGPD
• données personnelles
• gestion locative
• conformité