L'activité des agents immobiliers dans le collimateur de la CNIL

L'entrée en application du Règlement Général sur la Protection des Données (RGPD) le 25 mai dernier, et de la loi du 20 juin 2018 relative à la protection des données personnelles doit conduire les entreprises, et notamment les agences immobilières, à réévaluer l'ensemble des mesures et procédures internes visant à protéger les données personnelles qu'elles traitent.

La CNIL a prévu de réaliser des contrôles sur place, directement auprès des entreprises, afin de vérifier leur conformité à cette nouvelle réglementation, en indiquant qu'une attention particulière sera portée, entre autres, aux activités de traitements de données par les agences immobilières (notamment sur les pièces justificatives demandées lors de la constitution des dossiers de candidature à la location).

Voici les six étapes fondamentales pour se mettre en conformité au RGPD et anticiper un contrôle de la CNIL.

Désignez un « pilote » de votre mise en conformité

Le RGPD impose, dans certains cas, la désignation d'un Délégué à la Protection des Données (« DPO ») chargé de veiller au respect, par l'entreprise, du RGPD et d'assurer le lien avec la CNIL. Il convient donc de vérifier si votre entreprise est bien concernée par cette obligation de désignation d'un DPO et, dans l'affirmative, procéder aux formalités de désignation. Lorsque la nomination d'un DPO n'est pas obligatoire, il est recommandé de désigner un « référent » interne.

Recensez vos activités de traitements de données

Cette étape, essentielle, consiste à cartographier vos traitements de données, de façon à avoir une vue d'ensemble de vos activités de traitements et permettre d'élaborer votre « registre des traitements ». Ce registre devra impérativement contenir certaines informations (nom et coordonnées du responsable du traitement, finalités du traitement, catégories de données personnelles concernées, etc.).

Validez la licéité de chaque traitement

Une fois vos traitements de données identifiés, il convient d'en vérifier la licéité. Cela consiste à s'assurer notamment qu'ils ont bien une base légale, que seules sont collectées les données strictement nécessaires aux finalités de traitement poursuivies (principe de minimisation des données) et que les données ne sont pas conservées pour une durée excessive.