RGPD et cookies sur un site immobilier WordPress : formulaires, traceurs et durées de conservation

Obligations légales · Par la rédaction de Plain Hooks · Publié le 2026-11-09

Un ordinateur portable ouvert sur un bureau clair, à côté d'un écran, d'une lampe et d'une petite plante, devant une fenêtre — Photo : Norbert Levajsics, CC0, via Wikimedia Commons.

Le site d'une agence immobilière collecte beaucoup plus de données personnelles qu'un site vitrine ordinaire : demandes d'estimation avec l'adresse exacte d'un logement, alertes par e-mail sur des critères de recherche, dossiers de candidature locative, numéros de téléphone. C'est aussi un site qui charge volontiers des cartes, des visites virtuelles et des vidéos hébergées ailleurs. Deux ensembles de règles s'appliquent : le RGPD pour les données, et l'article 82 de la loi Informatique et Libertés pour les cookies et traceurs.

Cet article résume les positions publiées par la CNIL et par l'administration en novembre 2026. Il ne remplace pas l'avis de votre délégué à la protection des données ou d'un avocat. Aucune extension n'est recommandée ici, et aucun lien n'est sponsorisé.

Commencez par l'inventaire

Avant de choisir un bandeau de cookies, ouvrez votre site dans une fenêtre de navigation privée, puis les outils de développement du navigateur (onglet « Réseau » et onglet « Stockage »). Notez chaque domaine extérieur contacté au chargement d'une page d'accueil, d'une fiche de bien et de la page contact, et chaque cookie déposé avant toute action de votre part. Sur un site d'agence typique, on trouve :

une carte interactive (services de cartographie en ligne) sur les fiches et la page contact ;
des vidéos ou visites virtuelles intégrées depuis une plateforme tierce ;
un outil de statistiques ;
des polices de caractères chargées depuis un service externe ;
parfois un pixel publicitaire ajouté un jour pour une campagne et jamais retiré.

Cette liste est votre point de départ : chaque élément est soit supprimé, soit rendu conforme.

Les règles sur les cookies, en clair

La fiche « Gérer les cookies et autres traceurs sur le site internet d'une entreprise » (Service Public Entreprendre) reprend les principes fixés par la CNIL :

les traceurs non nécessaires (publicité, réseaux sociaux, la plupart des statistiques) ne sont déposés qu'après un consentement exprimé par un acte positif ;
le bandeau permet d'accepter, de refuser et de choisir par finalité, et le refus doit être aussi simple que l'acceptation : un bouton « Tout refuser » au même niveau que « Tout accepter » ;
continuer à naviguer ne vaut pas consentement ;
l'internaute peut revenir sur son choix à tout moment, aussi simplement qu'il l'a donné, ce qui suppose un lien permanent vers les réglages (en pied de page, par exemple) ;
l'éditeur doit pouvoir prouver que le consentement a été recueilli.

Un bandeau qui ne propose qu'un bouton « OK », ou qui cache le refus derrière un lien « Paramétrer », ne respecte pas ces règles. Le texte de référence est la page de la CNIL sur les cookies et autres traceurs.

Les statistiques peuvent se passer de consentement, sous conditions

La CNIL admet qu'un outil de mesure d'audience soit exempté de consentement s'il sert uniquement à produire des statistiques anonymes pour le compte exclusif de l'éditeur, sans recoupement avec d'autres traitements, sans transmission de données non anonymes à des tiers et sans suivi de la navigation d'un site à l'autre. Plusieurs solutions du marché peuvent être configurées ainsi ; d'autres non, notamment quand le fournisseur réutilise les données pour son propre compte. Demandez à votre prestataire la preuve que sa solution, telle que vous l'avez configurée, entre dans l'exemption. Pour une agence, les questions utiles (quelles fiches sont vues, d'où viennent les visiteurs, quels formulaires sont envoyés) trouvent presque toujours leur réponse dans une mesure exemptée.

Cartes et vidéos : le chargement au clic

Une carte ou une vidéo intégrée contacte le service tiers dès l'affichage de la page, et ce service peut déposer ses propres traceurs. La solution la plus propre consiste à afficher d'abord une image statique (une capture de carte, la vignette de la vidéo) avec un bouton « Afficher la carte » ; le contenu tiers ne se charge qu'au clic, qui vaut alors consentement pour ce service précis. Bonus : la page est plus rapide, comme l'explique notre article sur la performance. Pour les polices, hébergez-les simplement sur votre propre serveur : le thème les servira sans contacter personne.

Les formulaires : informer, limiter, conserver raisonnablement

Ne demander que l'utile

Un formulaire d'estimation n'a pas besoin de la date de naissance ni de la situation familiale. Le RGPD impose la minimisation : chaque champ doit servir la demande. Marquez clairement les champs facultatifs.

L'information au moment de la collecte

Sous chaque formulaire, une mention courte indique qui traite les données (l'agence), pourquoi (répondre à la demande, établir l'estimation), combien de temps elles sont conservées, et comment exercer ses droits, avec un lien vers la politique de confidentialité. La fiche de l'administration sur les obligations RGPD des entreprises en rappelle le contenu.

La prospection

Le formulaire d'estimation est souvent la porte d'entrée d'une relation commerciale. Pour envoyer ensuite à un particulier des e-mails sur d'autres biens ou services, il faut son consentement préalable, recueilli par une case non pré-cochée et distincte de l'envoi du formulaire. Les alertes « nouveaux biens correspondant à ma recherche », demandées par l'internaute lui-même, doivent comporter dans chaque envoi un lien de désinscription qui fonctionne.

Les durées de conservation

Fixez-les et appliquez-les. Pour des données de prospects, la CNIL retient couramment trois ans à compter du dernier contact émanant de la personne. Les candidatures locatives non retenues n'ont pas à être gardées des années. WordPress ne supprime rien tout seul : les extensions de formulaires qui stockent les envois dans la base les gardent indéfiniment par défaut. Réglez la suppression automatique dans l'extension si elle le permet, ou désactivez le stockage si les demandes partent déjà dans votre logiciel métier.

Ce que WordPress fournit déjà

Réglages → Confidentialité désigne la page de politique de confidentialité et propose un guide qui rassemble les suggestions de texte des extensions installées (en anglais pour beaucoup : à adapter, pas à copier).
Outils → Exporter les données personnelles et Outils → Effacer les données personnelles traitent les demandes d'accès et d'effacement pour les données que WordPress et les extensions compatibles connaissent, à partir d'une adresse e-mail.
Les commentaires, souvent inutiles sur un site d'agence, peuvent être fermés dans Réglages → Discussion : autant de données en moins.

La sécurité fait partie du RGPD

Le RGPD exige des mesures de sécurité adaptées. Pour un site qui reçoit des adresses de logements et des numéros de téléphone, cela veut dire au minimum : mises à jour régulières du cœur, du thème et des extensions, comptes nominatifs avec des rôles limités, double authentification pour les administrateurs, et sauvegardes testées. Nos guides en anglais sur la double authentification et la sauvegarde et la restauration détaillent ces étapes. En cas de fuite de données, l'agence a 72 heures pour notifier la CNIL lorsque la violation présente un risque pour les personnes.

En résumé

Inventoriez tout ce que le site charge et dépose.
Supprimez le superflu, hébergez vos polices, chargez cartes et vidéos au clic.
Gardez une mesure d'audience exemptée, ou recueillez un vrai consentement.
Réduisez les formulaires, informez sous chacun, fixez des durées de conservation.
Rédigez une politique de confidentialité qui décrit votre site réel, et liez-la depuis le pied de page, à côté des mentions légales.