Incident de sécurité chez Snexi : ce que les professionnels de l’immobilier doivent vérifier

Une cyberattaque touchant Snexi, spécialiste des états des lieux et diagnostics immobiliers, rappelle brutalement aux agences et administrateurs de biens qu’une partie de leur risque numérique se situe désormais chez leurs prestataires. Lorsqu’un partenaire traite des données de locataires, propriétaires, bailleurs ou prospects, un incident chez lui peut rapidement devenir un sujet RGPD pour l’agence elle-même.

Des données personnelles potentiellement concernées

Snexi a confirmé avoir été victime d’un incident informatique début septembre. Selon les informations communiquées à la suite de l’attaque, certaines données personnelles ont pu être concernées, notamment des noms, prénoms, adresses électroniques, coordonnées postales et numéros de téléphone.

L’entreprise a indiqué avoir engagé les démarches nécessaires, notamment auprès de la CNIL. Elle précise également que les environnements concernés ne contenaient pas de données bancaires ou financières.

Pour les professionnels de l’immobilier, le sujet est particulièrement sensible. Les prestations d’état des lieux, de diagnostic ou de gestion nécessitent fréquemment la transmission d’informations relatives aux occupants, aux propriétaires ou aux biens. Même lorsqu’une agence n’est pas directement victime d’une intrusion, elle peut donc être concernée par les conséquences d’un incident survenu chez un prestataire.

Le RGPD oblige aussi à surveiller ses sous-traitants

Le règlement général sur la protection des données ne s’arrête pas aux outils internes de l’agence. Lorsqu’un professionnel confie le traitement de données personnelles à un prestataire, il doit s’assurer que celui-ci présente des garanties suffisantes en matière de sécurité et de conformité.

En cas de violation de données, le sous-traitant doit informer le responsable de traitement concerné. Celui-ci doit ensuite évaluer la nature de l’incident, les données touchées, les personnes potentiellement concernées et le niveau de risque.

Selon les cas, cette analyse peut conduire à documenter l’incident, à notifier la CNIL ou à informer directement les personnes concernées lorsque le risque est suffisamment élevé. Il ne s’agit donc pas d’un sujet uniquement technique : la direction de l’agence, le responsable RGPD ou le DPO doivent être capables de réagir rapidement.

Pour les administrateurs de biens, la vigilance est d’autant plus importante que les dossiers manipulés peuvent contenir des informations nombreuses et sensibles : identité, coordonnées, documents locatifs, justificatifs, informations contractuelles ou éléments liés à l’occupation du logement.

Ce que les agences devraient vérifier dès maintenant

L’incident Snexi est l’occasion de vérifier trois points très concrets.

Premièrement, cartographier les prestataires qui accèdent aux données clients. Logiciel métier, signature électronique, état des lieux, diagnostic, diffusion d’annonces, emailing, stockage de documents, outils de prospection ou de gestion : la liste peut être longue.

Deuxièmement, relire les clauses de sous-traitance. Les contrats doivent préciser les engagements du prestataire en matière de sécurité, de confidentialité, d’information en cas d’incident et d’assistance au responsable de traitement.

Troisièmement, limiter les données transmises. Lorsqu’un prestataire n’a besoin que d’une partie des informations pour exécuter sa mission, il est inutile de lui transmettre davantage. La minimisation des données reste l’un des principes fondamentaux du RGPD.

Les agences doivent également s’assurer qu’elles disposent d’un processus interne clair : qui doit être prévenu en cas d’incident ? Qui contacte le prestataire ? Qui analyse le risque ? Qui décide d’une éventuelle notification à la CNIL ? Sans procédure préparée à l’avance, les premières heures sont souvent perdues.

La cybersécurité devient un véritable sujet métier

La digitalisation de l’immobilier a considérablement amélioré la productivité des agences, mais elle a aussi multiplié les échanges de données entre logiciels, portails et prestataires externes.

Dans ce contexte, la cybersécurité ne peut plus être considérée comme un simple sujet informatique. Elle devient progressivement un enjeu de responsabilité professionnelle, de conformité et de confiance client.

L’affaire Snexi illustre surtout une réalité : une agence peut avoir des outils correctement sécurisés et rester exposée par l’intermédiaire de son écosystème de partenaires. Les directions d’agence ont donc tout intérêt à intégrer la sécurité des prestataires dans leurs critères de sélection et leurs audits réguliers.

Pour les professionnels de l’immobilier, le bon réflexe consiste désormais à traiter chaque prestataire manipulant des données personnelles comme un maillon à part entière de leur propre dispositif de sécurité.

Sources : informations communiquées à la suite de l’incident Snexi ; recommandations de la CNIL relatives aux violations de données personnelles et aux relations entre responsables de traitement et sous-traitants.