Le RGPD est souvent perçu en agence comme une contrainte abstraite, gérée une fois puis oubliée. En pratique, il touche des décisions très concrètes du quotidien : comment justifier l'envoi d'un email à un prospect, combien de temps garder une fiche, et quelles obligations transfèrent aux logiciels utilisés. Cet article n'est pas un conseil juridique — en cas de doute sur un cas précis, la CNIL ou un avocat spécialisé reste la référence — mais il couvre les points qui reviennent le plus souvent.
La base légale de la prospection
Contacter un prospect avec lequel l'agence est déjà en relation (demande de renseignement, visite, mandat de recherche) relève généralement de l'intérêt légitime : la démarche commerciale est une conséquence directe et attendue de la relation engagée. La situation est différente pour un fichier acheté ou constitué sans relation préalable — un consentement explicite est alors nécessaire avant toute sollicitation commerciale.
Combien de temps garder une fiche prospect
La CNIL recommande, pour les données utilisées à des fins de prospection commerciale, une conservation de trois ans à compter du dernier contact avec la personne concernée. Passé ce délai sans interaction, la fiche doit en principe être supprimée ou anonymisée, sauf obligation légale contraire. C'est un repère utile pour structurer l'archivage plutôt que d'accumuler indéfiniment des fiches inactives.
Vos sous-traitants sont aussi votre responsabilité
Tout logiciel qui traite des données personnelles pour le compte de l'agence — CRM, outil d'emailing, logiciel de matching par IA — agit comme sous-traitant au sens du RGPD. Cela implique un contrat de sous-traitance conforme à l'article 28 du règlement, qui encadre notamment la finalité du traitement, la durée de conservation et les garanties de sécurité. Une agence reste responsable du traitement même quand l'exécution technique est déléguée à un prestataire : vérifier que chaque outil utilisé fournit ce contrat n'est pas une formalité optionnelle.
- Exiger un contrat de sous-traitance Article 28 de chaque logiciel traitant des données de prospects ou clients
- Vérifier où sont hébergées les données (l'hébergement en Europe simplifie la conformité, un hébergement hors UE impose des garanties supplémentaires)
- Limiter les données transmises à des services tiers (IA générative comprise) à ce qui est strictement nécessaire au traitement demandé
Le droit à l'oubli et le désabonnement
Chaque email de prospection doit permettre au destinataire de s'opposer facilement à recevoir de nouvelles sollicitations — un moyen simple et visible, pas une démarche à plusieurs étapes. Au-delà de l'obligation, c'est aussi une pratique qui évite l'accumulation de contacts non désirés dans un fichier, ce qui dégrade la qualité globale du portefeuille.
Mythes à abandonner
- "Il faut un DPO (délégué à la protection des données)" — obligatoire uniquement pour les autorités publiques et les structures pratiquant un traitement à grande échelle de données sensibles ou une surveillance systématique ; ce n'est pas le cas d'une agence immobilière classique
- "Un consentement signé une fois couvre tout, indéfiniment" — un consentement doit rester spécifique à une finalité et peut être retiré à tout moment ; il ne dispense pas de respecter la durée de conservation recommandée
- "Le RGPD interdit la prospection commerciale" — non, il l'encadre ; l'intérêt légitime reste une base légale valable pour un prospect déjà en relation avec l'agence
Cet article présente les principes généraux applicables à la majorité des agences. Il ne remplace pas un avis juridique sur une situation spécifique — la CNIL propose des fiches pratiques dédiées au secteur immobilier en cas de doute.
ImmoFlash applique ces principes à son propre fonctionnement : hébergement exclusivement européen, contrat de sous-traitance Article 28 fourni à chaque agence cliente, et anonymisation des critères de recherche transmis à l'IA (aucun nom, email ni téléphone ne quitte le serveur de l'agence).
En savoir plus