L'activité des agents immobiliers dans le collimateur de la CNIL

L'entrée en application du Règlement Général sur la Protection des Données (RGPD) le 25 mai dernier, et de la loi du 20 juin 2018 relative à la protection des données personnelles doit conduire les entreprises, et notamment les agences immobilières, à réévaluer l'ensemble des mesures et procédures internes visant à protéger les données personnelles qu'elles traitent.

La CNIL a prévu de réaliser des contrôles sur place, directement auprès des entreprises, afin de vérifier leur conformité à cette nouvelle réglementation, en indiquant qu'une attention particulière sera portée, entre autres, aux activités de traitements de données par les agences immobilières (notamment sur les pièces justificatives demandées lors de la constitution des dossiers de candidature à la location).

Voici les six étapes fondamentales pour se mettre en conformité au RGPD et anticiper un contrôle de la CNIL.

Désignez un « pilote » de votre mise en conformité

Le RGPD impose, dans certains cas, la désignation d'un Délégué à la Protection des Données (« DPO ») chargé de veiller au respect, par l'entreprise, du RGPD et d'assurer le lien avec la CNIL. Il convient donc de vérifier si votre entreprise est bien concernée par cette obligation de désignation d'un DPO et, dans l'affirmative, procéder aux formalités de désignation. Lorsque la nomination d'un DPO n'est pas obligatoire, il est recommandé de désigner un « référent » interne.

Recensez vos activités de traitements de données

Cette étape, essentielle, consiste à cartographier vos traitements de données, de façon à avoir une vue d'ensemble de vos activités de traitements et permettre d'élaborer votre « registre des traitements ». Ce registre devra impérativement contenir certaines informations (nom et coordonnées du responsable du traitement, finalités du traitement, catégories de données personnelles concernées, etc.).

Validez la licéité de chaque traitement

Une fois vos traitements de données identifiés, il convient d'en vérifier la licéité. Cela consiste à s'assurer notamment qu'ils ont bien une base légale, que seules sont collectées les données strictement nécessaires aux finalités de traitement poursuivies (principe de minimisation des données) et que les données ne sont pas conservées pour une durée excessive.

Respectez les droits des personnes et facilitez leur exercice

Les personnes dont vous traitez les données (clients, salariés, prospects, candidats, cautions) ont des droits qui ont été renforcés par le RGPD : droits d'information, d'accès, de rectification, d'opposition, d'effacement, à la portabilité et à la limitation du traitement. A ce titre, chaque agence doit fournir aux personnes concernées une information claire, complète et facilement accessible sur les opérations de traitement, et en leur permettant d'exercer leurs droits facilement.

Sécurisez vos activités de traitements

Toute entreprise est tenue de prendre des mesures techniques et organisationnelles appropriées pour assurer la protection et la sécurité des traitements de données réalisés. Ces mesures concrètes et variées, dépendent de la sensibilité des données et des risques pesant sur la vie privée des personnes concernées en cas de faille de sécurité. Il est recommandé de mettre en oeuvre des mesures de sensibilisation de vos salariés, de sécuriser l'ensemble des flux de données avec des tiers et de formaliser des processus internes (par ex. gestion des droits des personnes concernées, gestion et notification des failles de sécurité, évaluation et conduite d'une analyse d'impact préalable, etc.).

Constituez votre dossier interne de conformité

Ce dossier de conformité, contenant notamment votre registre de traitements et l'ensemble des procédures, mesures techniques et organisationnelles assurant la protection des données, vous permettra de prouver votre conformité au RGPD en cas de contrôle de la CNIL.