RGPD et bon de visite immobilier : durée de conservation, données personnelles et obligations de l'agent

Le bon de visite, un document RGPD comme les autres

Quand un acquéreur signe un bon de visite, il ne signe pas seulement un engagement vis-à-vis de l'agence. Il transmet aussi ses données personnelles : nom, prénom, adresse e-mail, numéro de téléphone, parfois l'adresse postale.

En tant qu'agent immobilier, vous êtes responsable de traitement au sens du Règlement (UE) 2016/679 du 27 avril 2016 — le RGPD. Ce texte s'applique à tous les professionnels qui collectent et conservent des données identifiables sur des personnes physiques. L'immobilier n'y échappe pas.

La CNIL a rappelé à plusieurs reprises que les agences immobilières font partie des secteurs prioritairement contrôlés. Une agence a été condamnée à 400 000 euros d'amende en 2019 pour manquements à la sécurité des données et à leur durée de conservation. Cette sanction concerne directement la gestion des bons de visite et des dossiers candidats.

Quelle base légale pour traiter les données du bon de visite ?

Le RGPD exige que chaque traitement de données repose sur une base légale (article 6 du RGPD). Pour le bon de visite, deux bases légales sont pertinentes :

L'intérêt légitime (art. 6.1.f) : l'agent a un intérêt légitime à prouver qu'il est à l'origine de la mise en relation entre l'acheteur et le vendeur. C'est la base la plus solide pour le bon de visite, car elle justifie la conservation du document au-delà de la relation commerciale immédiate — notamment en cas de litige.

L'exécution d'un contrat (art. 6.1.b) : si le bon de visite est accompagné d'un mandat de recherche signé par l'acquéreur, la base contractuelle peut s'appliquer directement.

À noter : le consentement (art. 6.1.a) n'est pas la base appropriée pour le bon de visite. En pratique, si vous utilisez le consentement comme base légale, l'acquéreur pourrait retirer son consentement à tout moment — et vous perdriez la preuve de la mise en relation. L'intérêt légitime est plus robuste.

Combien de temps conserver un bon de visite ?

La loi ne fixe pas de durée précise pour le bon de visite. Le RGPD impose que les données soient conservées "pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées" (art. 5.1.e).

En pratique, la durée de conservation se calcule en fonction du risque de litige :

**Si la vente se conclut via l'agence** : les données peuvent être conservées jusqu'à l'extinction des délais de recours liés à la transaction (en principe 5 ans — délai de prescription de droit commun, art. 2224 Code civil).

**Si la vente ne se conclut pas** : les données du signataire doivent être supprimées dès que le risque de litige est écarté. En pratique, une durée de **12 à 18 mois** après la dernière interaction est généralement retenue par les juristes.

**En cas de litige avéré ou présumé** (ex: l'acheteur a contourné l'agence) : vous pouvez conserver les données le temps nécessaire à la résolution du litige, puis jusqu'à l'expiration des voies de recours.

La jurisprudence récente renforce l'importance de cette conservation. Dans l'affaire ayant donné lieu à l'arrêt Cass. 3e civ. du 7 mai 2026 (acheteur condamné à 150 000 € pour contournement d'agence), le bon de visite signé était la pièce maîtresse du dossier — conservé plusieurs mois après la visite. Sans archivage sécurisé, cette preuve aurait été perdue.

Ce que vous devez informer le signataire

Le RGPD impose une obligation d'information au moment de la collecte des données (articles 13 et 14). Lors de la signature du bon de visite, le signataire doit être informé :

**L'identité du responsable de traitement** : votre agence, son nom et ses coordonnées
**La finalité du traitement** : preuve de mise en relation entre l'acheteur et le vendeur, gestion d'un éventuel litige
**La base légale** : intérêt légitime de l'agence à protéger ses honoraires
**La durée de conservation** : indiquer une durée maximale (ex: "12 mois après la dernière interaction ou jusqu'à résolution du litige")
**Les droits de la personne** : droit d'accès, de rectification, d'opposition, d'effacement et de limitation du traitement
**Le droit de saisir la CNIL** en cas de litige sur le traitement de ses données

Cette information peut figurer en bas du bon de visite (version papier) ou dans les conditions générales accessibles avant signature (version numérique). Elle doit être concise, intelligible et facilement accessible — pas enfouie dans 10 pages de CGU.

Le droit à l'effacement : peut-on l'exercer contre un bon de visite ?

Un signataire peut demander la suppression de ses données en invoquant son droit à l'effacement (art. 17 RGPD). Mais ce droit n'est pas absolu.

L'agent peut refuser l'effacement si les données sont nécessaires pour : - La constatation, l'exercice ou la défense de droits en justice (art. 17.3.e RGPD) - Le respect d'une obligation légale (conservation des registres obligatoires selon la loi Hoguet)

En pratique : si un acheteur demande l'effacement de ses données après une visite, et que vous suspectez un contournement en cours, vous pouvez légitimement refuser au titre de la défense de vos droits en justice. Documentez ce refus par écrit.

Sécurité et archivage : vos obligations concrètes

Le RGPD impose des mesures techniques et organisationnelles pour protéger les données (art. 32). Pour les bons de visite, cela signifie :

**Pas de bons papier dans un tiroir non verrouillé** : les données doivent être protégées contre l'accès non autorisé
**Pas de fichiers Excel sur un poste partagé** sans protection par mot de passe
**Pas d'envoi par email non chiffré** de listes de signataires ou de bons de visite en clair

En cas de violation de données (piratage, perte d'un ordinateur contenant des bons de visite, envoi accidentel à un tiers), vous avez 72 heures pour en notifier la CNIL (art. 33 RGPD), et potentiellement informer les personnes concernées si le risque est élevé (art. 34 RGPD).

Bon de visite numérique : une conformité RGPD facilitée

Un logiciel de bon de visite numérique comme Visito apporte une réponse concrète à ces obligations :

**Archivage automatique sécurisé** : chaque bon est conservé dans un espace chiffré, accessible uniquement depuis votre tableau de bord
**Certificat de signature** : preuve horodatée de l'identité du signataire et de la date de signature (SHA-256), exploitable en justice
**Cloisonnement par agence** : aucun croisement possible entre les données de différentes agences
**Traçabilité complète** : date d'envoi, date de signature, adresse IP — autant d'éléments utiles en cas de litige

La question de la durée de conservation reste à définir contractuellement (dans vos CGU ou votre politique de confidentialité) — mais l'outil assure la sécurité technique du stockage.

Ce qu'il faut retenir

Le bon de visite n'est pas qu'un document de mise en relation commerciale : c'est aussi un traitement de données personnelles soumis au RGPD. Trois points sont non négociables :

**Informer le signataire** au moment de la collecte (finalité, durée, droits)
**Conserver les bons** pendant une durée proportionnée au risque de litige — ni trop court (vous perdez la preuve), ni trop long (vous violez le principe de minimisation)
**Sécuriser l'archivage** pour éviter toute violation susceptible d'entraîner une sanction CNIL

La valeur juridique du bon de visite repose sur sa signature et son archivage. La conformité RGPD en est le complément indispensable : un bon conservé sans les bonnes précautions pourrait être contesté en justice, ou générer une sanction administrative distincte.