Agences immobilières et gestion locative : les quatre risques derrière chaque dossier de locataire
Une agence garde, en un seul endroit, les documents qu'un fraudeur convoite le plus : pièces d'identité, bulletins de salaire, avis d'imposition et coordonnées bancaires des locataires, des garants, des acquéreurs et des propriétaires. Les dépôts de garantie, les premiers loyers et les charges arrivent à des moments que chacun peut prévoir, et le site fait tourner des formulaires d'estimation et des portails de dépôt de documents. Les quatre risques se rejoignent dans une seule petite entreprise.
locataires et propriétaires dont une agence immobilière londonienne a laissé exposés les copies de passeport, les relevés bancaires et les données salariales pendant près de deux ans ; l'ICO, l'autorité britannique de protection des données, lui a infligé 80 000 £ d'amende en 2019.
Wired-Gov, 19 juil. 2019de comptes environ, sur un site d'annonces immobilières, avaient leur mot de passe stocké en clair ; la CNIL a infligé 100 000 € d'amende à son éditeur en janvier 2024.
CNIL, 31 janv. 2024c'est la référence de la CNIL pour conserver dans la base active d'une agence les justificatifs de solvabilité des candidats non retenus.
CNIL, 6 mai 2021À quoi ressemble chacun dans votre activité
E-mails en votre nom
Un nouveau locataire vient de signer. Quelques minutes avant votre e-mail demandant le dépôt de garantie et le premier loyer, un autre arrive de votre adresse exacte avec des « coordonnées bancaires mises à jour ». Le locataire paie le fraudeur. Sans politique DMARC contraignante, rien n'empêche cet e-mail d'être distribué.
- Les montants sont élevés et le calendrier connu : en Angleterre et au pays de Galles, les premières obligations d'un dispositif de protection des dépôts de garantie doivent être remplies dans les 30 jours suivant la réception du dépôt (Housing Act 2004, consulté 8 nov. 2026). Les appels de charges et les appels de fonds d'un syndic suivent le même calendrier.
- Dans une affaire commerciale générale, non immobilière, la Cour suprême des Pays-Bas a laissé en place une décision selon laquelle un paiement sur une fausse facture valait paiement, parce que l'e-mail falsifié venait de l'adresse authentique du groupe du vendeur. Le vendeur a supporté la perte (Hoge Raad, 28 mai 2021).
- DMARC arrête la falsification de votre domaine exact. Il n'arrête ni les noms de domaine sosies ni une boîte mail dont un tiers a pris le contrôle : ajoutez donc la connexion à deux facteurs et une règle selon laquelle les coordonnées bancaires ne changent jamais par e-mail.
Suivi avant consentement
Un propriétaire remplit votre formulaire d'estimation gratuite : adresse, numéro de téléphone, projet de vente. Une balise Meta ou Google Ads sur la page signale la visite et le formulaire à la plateforme publicitaire avant que le visiteur ait répondu au bandeau.
- Une page d'estimation ou de candidature en dit plus qu'une page de boutique : où quelqu'un habite, qu'il prévoit de vendre ou de déménager, parfois ses revenus.
- La propre liste de mesures de sécurité de la CNIL pour la gestion locative inclut, parmi les mesures pour le site web, le consentement aux cookies qui ne sont pas strictement nécessaires (CNIL, 6 mai 2021).
- En juin 2024, la CNIL a infligé, selon sa procédure simplifiée, 12 000 € d'amende à une société qu'elle décrit comme spécialisée dans la gestion immobilière, pour le consentement et l'information en matière de cookies (CNIL, consulté 8 nov. 2026).
Clients en situation de handicap
Un candidat locataire qui utilise un lecteur d'écran arrive sur votre formulaire de candidature. Les boutons de dépôt de documents n'ont pas d'étiquette et le CAPTCHA n'a pas d'alternative : la candidature n'arrive jamais. Votre recherche de biens ne fonctionne qu'en faisant glisser une carte.
- Les services d'agence immobilière ne figurent pas sur la liste des services de l'European Accessibility Act (EAA, directive (UE) 2019/882). Le texte n'atteint une agence que si son site ou son application est un service de commerce électronique, par lequel un consommateur conclut un contrat (EUR-Lex, 17 avr. 2019).
- Les microentreprises sont exemptées : moins de 10 salariés et au plus 2 millions d'euros de chiffre d'affaires ou de total de bilan. Beaucoup d'agences indépendantes en relèvent (EUR-Lex, 17 avr. 2019).
- Au Royaume-Uni, l'Equality Act 2010 s'applique à toute agence, quelle que soit sa taille : un prestataire de services doit procéder à des aménagements raisonnables pour les personnes en situation de handicap (Equality Act 2010, consulté 8 nov. 2026).
Paiement et sécurité du site
Votre portail de candidature stocke chaque document déposé à une adresse qui se termine par un numéro. Changez le numéro, et le passeport et les bulletins de salaire d'un autre candidat apparaissent, sans qu'aucun mot de passe soit demandé.
- L'ICO a infligé 80 000 £ d'amende à une agence immobilière londonienne après que des copies de passeport et des relevés bancaires de 18 610 locataires et propriétaires sont restés sur un serveur ouvert à l'accès anonyme de mars 2015 à février 2017. Elle a estimé que les clients avaient été exposés au risque potentiel d'usurpation d'identité (Wired-Gov, 19 juil. 2019).
- Le nouveau portail client d'une association de logement écossaise a montré à des résidents les noms, adresses, dates de naissance et dossiers de comportements antisociaux d'autres résidents pendant cinq jours. L'ICO lui a adressé un rappel à l'ordre : le portail n'avait pas été correctement testé avant son lancement (Public Technology, 25 avr. 2024).
- La CNIL a infligé 100 000 € d'amende à l'éditeur d'un site d'annonces immobilières, en partie parce que les mots de passe pouvaient ne compter qu'un seul caractère et étaient stockés en clair, pour environ cinq millions de comptes (CNIL, 31 janv. 2024).
L'European Accessibility Act s'applique-t-il à vous ?
Seulement si des consommateurs concluent un contrat par votre site ou votre application et que vous n'êtes pas une microentreprise ; un site de simples annonces est probablement hors champ.
La transaction, la location et la gestion immobilières ne sont pas des services que l'EAA cite en tant que tels. Le texte n'atteint une agence que si son site ou son application est un service de commerce électronique : fourni à distance, à la demande d'un consommateur, en vue de conclure un contrat de consommation. Un bailleur ou un vendeur particulier compte comme consommateur. Les microentreprises qui fournissent des services sont exemptées : moins de 10 salariés et au plus 2 millions d'euros de chiffre d'affaires annuel ou de total de bilan. Les cartes en ligne sont exclues si l'information essentielle est aussi donnée de manière accessible, et les contrats de services conclus avant le 28 juin 2025 peuvent continuer sans changement jusqu'à leur échéance, pendant cinq ans au plus (EUR-Lex, 17 avr. 2019). Une agence dans le champ doit publier la façon dont son service respecte les exigences ; le régulateur néerlandais précise que cette déclaration doit être facile à trouver et accessible (ACM, consulté 8 nov. 2026). Les candidatures en ligne qui se terminent par une signature électronique envoyée par e-mail, et les espaces propriétaires où l'on paie loyers ou charges, sont une zone grise.
Probablement concerné
- Un site ou une application où des consommateurs réservent et paient une location saisonnière, pour une agence de 10 salariés ou plus, ou de plus de 2 millions d'euros de chiffre d'affaires et de total de bilan.
- Un service payant souscrit en ligne, comme un service de dossier locataire ou d'estimation, pour une agence de même taille.
- Un bail, un mandat de gestion ou un mandat de vente signé par le site, pour une agence de même taille.
Probablement hors champ
- Un site d'annonces où les visiteurs ne font que consulter, demander une visite ou envoyer une demande, le contrat étant signé plus tard.
- Une microentreprise : moins de 10 salariés et au plus 2 millions d'euros de chiffre d'affaires ou de total de bilan.
- Une recherche sur carte, si les mêmes annonces peuvent être trouvées sans la carte.
Au Royaume-Uni, l'EAA ne s'applique pas aux agences britanniques qui servent des clients britanniques, mais l'Equality Act 2010 s'applique : un prestataire de services ne doit pas discriminer et doit procéder à des aménagements raisonnables, quelle que soit sa taille (Equality Act 2010, consulté 8 nov. 2026). Une agence qui prend des réservations de consommateurs de l'UE, pour des locations saisonnières en France par exemple, doit vérifier l'EAA pour ces ventes.
Notre lecture de la directive et des lignes directrices des régulateurs, pas un conseil juridique. Si votre cas est proche de la limite, consultez un avocat.
Des vérifications à faire en une minute
Quelqu'un peut-il envoyer des e-mails en votre nom ?
Lancez la vérification e-mail gratuite sur le domaine de votre agence. Vous visez DMARC en p=quarantine ou p=reject. Sans enregistrement, ou avec p=none, n'importe qui peut envoyer des e-mails depuis votre adresse exacte.
Vos e-mails de paiement mettent-ils les locataires en garde ?
Ouvrez le modèle que vous envoyez pour le dépôt de garantie et le premier loyer, ou pour les charges. Dit-il clairement que vous ne changez jamais de coordonnées bancaires par e-mail, et qu'il faut appeler le numéro indiqué dans le bail avant de payer ? La connexion à deux facteurs est-elle active sur chaque boîte mail qui l'envoie ?
Un inconnu peut-il ouvrir le dossier d'un candidat ?
Utilisez uniquement une candidature de test que vous avez créée vous-même. Copiez le lien de l'un de ses documents déposés, déconnectez-vous et ouvrez le lien dans une fenêtre de navigation privée. S'il s'ouvre sans connexion, toute personne qui a le lien peut voir le document. Ne changez jamais les numéros dans l'adresse pour regarder les dossiers d'autres personnes ; appelez plutôt votre prestataire web.
De quand date votre plus ancien dossier de candidat non retenu ?
Regardez dans la boîte mail partagée, le CRM et le dossier des téléchargements. En France, la référence de la CNIL est de trois mois en base active (CNIL, 6 mai 2021).
Des balises se déclenchent-elles sur votre formulaire d'estimation avant le consentement ?
Ouvrez votre page d'estimation gratuite dans une fenêtre de navigation privée et ne touchez pas au bandeau. Refuser est-il aussi visible qu'Accepter ? Dans les outils de développement du navigateur, l'onglet Réseau montre si Meta, Google Ads ou l'analyse d'audience se chargent avant votre choix.
Cadenas et en-têtes, portail compris
Tapez http:// suivi de votre domaine : vous devez arriver sur https:// sans avertissement. Un outil gratuit de vérification des en-têtes montre quels en-têtes de sécurité vous envoyez. Vérifiez aussi l'espace locataire ou propriétaire, pas seulement le site vitrine.
Pouvez-vous chercher et candidater au clavier seul ?
Rangez la souris. Avec Tab, Maj+Tab et Entrée, faites une recherche, ouvrez une annonce, remplissez le formulaire de candidature ou de contact et envoyez-le. Trouvez-vous les annonces sans la carte ?
La page que la loi exige est-elle sur votre site ?
Agents de location britanniques qui détiennent l'argent de clients : votre certificat de protection est-il sur le site (Client Money Protection Schemes for Property Agents Regulations 2019, consulté 8 nov. 2026) ? Pays-Bas : vos critères de sélection et votre démarche écrite contre la discrimination sont-ils publiés (Tweede Kamer, 6 févr. 2024) ? Syndics français : vos appels de charges impriment-ils en clair le mot de passe de l'extranet ? Selon la CNIL, ils ne le devraient pas (CNIL, 6 mai 2021).
Ce que se disent les dirigeants de ce secteur
Email & Cookie Fix
Les deux, pour les entreprises hors du champ de la loi sur l'accessibilité.
Maintenir dans la durée : à partir de 39 € par mois
Confirmez-le par une vraie analyse
Nous lisons seulement ce que montrent n'importe quel visiteur et les enregistrements DNS publics : aucun accès à vos comptes, aucun test de vos systèmes. Vous recevez par e-mail un rapport privé avec captures d'écran, un score par risque et des prix fixes.
Le détail, pour qui veut aller plus loin
Un numéro dans une adresse web
SERGIC, une société française de gestion immobilière, conservait en ligne les documents des candidats locataires : cartes d'identité, avis d'imposition, coordonnées bancaires, jusqu'à des jugements de divorce. Changer un numéro dans l'adresse web d'un document ouvrait le dossier d'un autre candidat, sans aucune connexion. La faille était connue depuis mars 2018 et a été corrigée le 17 septembre 2018 ; lors de son contrôle, la CNIL a téléchargé 9 446 documents avec un script, depuis un dossier de 290 870 fichiers (CNIL, 28 mai 2019). La CNIL a infligé 400 000 € d'amende à la société, et en novembre 2020 le Conseil d'État a confirmé l'amende, en relevant que des mesures simples, comme l'authentification des utilisateurs, auraient évité la faille (Conseil d'État, 4 nov. 2020).
Personne n'a eu besoin d'un mot de passe, et une connexion sur chaque dossier les aurait gardés fermés.
Ce qui s'applique, marché par marché
Ce que vous pouvez demander à un candidat locataire
Seulement les pièces de la liste du décret n° 2015-1437. La CNIL cite des pièces interdites, dont les relevés de compte bancaire, la carte Vitale et un jugement de divorce, et indique qu'une visite ne doit pas être conditionnée à la remise de documents. Demander une pièce interdite peut coûter jusqu'à 15 000 € à une société (CNIL, 10 oct. 2025).
Combien de temps garder les dossiers des locataires
Le référentiel de la CNIL pour la gestion locative : les justificatifs de solvabilité des candidats, en principe trois mois en base active, les données des prospects trois ans après le dernier contact, et plus longtemps seulement pour une obligation légale ou un réel besoin contentieux (CNIL, 6 mai 2021).
Sécurité et cookies
Le même référentiel attend un identifiant distinct pour chaque utilisateur, TLS, aucun identifiant dans les adresses web, un formulaire de dépôt en HTTPS pour les dossiers des candidats, aucun mot de passe imprimé sur les appels de charges, et le consentement pour les cookies qui ne sont pas strictement nécessaires (CNIL, 6 mai 2021).
L'extranet des syndics
Selon l'article 18 de la loi du 10 juillet 1965, un syndic professionnel doit proposer aux copropriétaires un accès en ligne sécurisé aux documents de l'immeuble, sauf décision contraire de l'assemblée générale (Loi n° 65-557 du 10 juillet 1965, consulté 8 nov. 2026).
Décisions et jugements dans ce secteur
| Marché | Date | Qui a décidé | Contre | Résultat | Motif | Source |
|---|---|---|---|---|---|---|
| FR | mai 2019 | CNIL | SERGIC, une société de gestion immobilière (nommée dans la décision du Conseil d'État de nov. 2020) | 400 000 € et publication | Dossiers de candidats locataires (cartes d'identité, avis d'imposition, coordonnées bancaires, jugements de divorce) accessibles en changeant un numéro dans une adresse web, sans connexion ; faille connue depuis mars 2018, corrigée en septembre 2018 ; dossiers des candidats non retenus jamais purgés | CNIL |
| FR | nov. 2020 | Conseil d'État | SERGIC | Recours rejeté, amende de 400 000 € confirmée | La faille aurait pu être évitée par des mesures simples comme l'authentification des utilisateurs ; conserver le dossier de chaque candidat en base active était excessif | Conseil d'État |
| FR | janv. 2024 | CNIL | Éditeur d'un site d'annonces immobilières destiné aux vendeurs particuliers (anonymisé dans la décision de la CNIL) | 100 000 € | Mots de passe pouvant ne compter qu'un caractère et stockés en clair, pour environ 5 millions de comptes ; données conservées au-delà des durées annoncées ; contrat de sous-traitance et politique de confidentialité incomplets | CNIL |
| FR | déc. 2024 | CNIL | Une petite agence immobilière (anonymisée par la CNIL) | 40 000 € | Salariés surveillés par des caméras enregistrant le son et par un logiciel de captures d'écran ; un compte administrateur et un mot de passe partagés par quatre personnes ; pas d'analyse d'impact | CNIL |
| FR | juin 2024 | CNIL (procédure simplifiée) | Une société spécialisée dans la gestion immobilière (anonymisée par la CNIL) | 12 000 € | Consentement et information en matière de cookies | CNIL |
| FR | déc. 2025 | CNIL (procédure simplifiée) | Un éditeur de logiciels pour la gestion locative et la copropriété (anonymisé par la CNIL) | 15 000 € et injonction de mise en conformité | Base légale de la prospection, information, sécurité des données | CNIL |
| FR | déc. 2025 | CNIL (procédure simplifiée) | Un organisme public de gestion de logements locatifs (anonymisé par la CNIL) | 20 000 € et injonction de mise en conformité | Limitation des finalités, minimisation, information, droit d'opposition, sécurité des données | CNIL |
| FR | juil. 2018 | CNIL | Un bailleur social (anonymisé par la CNIL) | 30 000 € | Fichier des locataires utilisé pour envoyer à chacun une lettre militant contre une baisse des aides au logement, une finalité incompatible avec la gestion locative | CNIL |
| FR | avr. 2017 | CNIL | Une agence immobilière (anonymisée par la CNIL) | Sanction pécuniaire, non rendue publique | Conservation, information, sécurité et absence de réponse à la CNIL, à propos de locataires et de propriétaires | CNIL |
| FR | juil. 2019 | CNIL (programme de contrôles) | Une dizaine d'agences immobilières, en réseau et indépendantes (non nommées) | Rappels des obligations et mesures correctrices | Contrôles sur place en 2018 ; manquements récurrents dans l'information des candidats et des garants, les durées de conservation, la sécurité physique et informatique | CNIL |
| UK | juil. 2019 | ICO | Life at Parliament View Ltd (LiFE Residential) | 80 000 £ (Data Protection Act 1998) | Relevés bancaires, données salariales et copies de passeport de 18 610 locataires et propriétaires exposés de mars 2015 à février 2017 ; accès anonyme laissé actif pendant un transfert vers le serveur d'un partenaire ; signalement seulement après qu'un pirate a contacté l'ICO | Wired-Gov |
| UK | avr. 2024 | ICO | Clyde Valley Housing Association | Rappel à l'ordre | Un nouveau portail client a montré à des résidents les noms, adresses, dates de naissance et dossiers de comportements antisociaux d'autres résidents pendant cinq jours ; pas testé avant le lancement ; premier signalement non remonté | Public Technology |
| NL | mai 2021 | Hoge Raad (Cour suprême des Pays-Bas) | Des entreprises, dans une affaire commerciale générale, non immobilière | Pourvoi rejeté ; un paiement sur une fausse facture a valu paiement | La fausse facture, avec un nouveau compte bancaire, venait de l'adresse e-mail authentique du groupe du vendeur : le vendeur a donc supporté la perte. Citée ici pour ce qu'elle suggère sur le détournement des loyers et des dépôts de garantie | Hoge Raad |
Les questions à se poser
Vos réponses restent sur cette page. Chacune montre pourquoi elle compte.
Comment les candidats vous envoient-ils leurs documents ?
Comment les locataires, les propriétaires et les acquéreurs apprennent-ils vos coordonnées bancaires ?
Avez-vous un espace locataires ou propriétaires, et son accès a-t-il été testé avant le lancement ?
Un consommateur peut-il conclure un contrat sur votre site ou votre application, et quelle est votre taille ?
réponses signalent un point à corriger.
L'évaluation complète note les quatre risques et établit votre liste pour les 30 prochains jours.
Ceci n'est pas un conseil juridique. Un avocat doit confirmer trois points. D'abord, si l'EAA s'applique au site d'une agence donnée, en particulier pour les candidatures en ligne qui se terminent par une signature électronique envoyée par e-mail et pour les espaces propriétaires où l'on paie loyers ou charges. Ensuite, qui supporte la perte quand un locataire, un propriétaire ou un acquéreur paie sur de fausses coordonnées bancaires, dans chaque pays : la décision néerlandaise citée ici est une affaire commerciale générale, non immobilière. Enfin, les éventuelles obligations d'identification anti-blanchiment des agences en France.