Règlement (UE) 2016/679, article 5.1 c)

DPO externalisé pour les agences immobilières et administrateurs de biens

La question centrale du secteur n'est pas celle de la sécurité des dossiers mais celle de leur contenu : quelles pièces une agence peut-elle exiger d'un candidat locataire, et combien de temps peut-elle conserver celles des candidats qu'elle n'a pas retenus. Le principe de minimisation de l'article 5.1 c) du règlement (UE) 2016/679 y rencontre une pratique professionnelle qui, historiquement, demande beaucoup.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Le dossier du candidat locataire : ce qui peut être demandé

La liste des pièces qu'un bailleur ou son mandataire peut exiger d'un candidat à la location, et de sa caution, est fixée par voie réglementaire en droit français. Cette liste est limitative : une pièce qui n'y figure pas ne peut pas être exigée, quelle que soit l'utilité qu'on lui prête pour apprécier la solvabilité.

L'articulation avec le règlement est directe. Une collecte que le droit national interdit ne peut pas être nécessaire à l'exécution du contrat ni à une obligation légale au sens de l'article 6, et elle contrevient au principe de minimisation de l'article 5.1 c). La conséquence pratique est que le formulaire de dossier de location est le premier document à revoir : c'est lui qui détermine ce qui entre dans le système d'information, et ce qui y entre n'en ressort pas spontanément.

La collecte d'une pièce interdite n'est par ailleurs pas régularisée par l'accord du candidat : celui-ci se trouve dans la situation de déséquilibre où le consentement n'est pas libre, et où la remise spontanée d'une pièce ne vaut pas autorisation de la conserver.

Ce que deviennent les dossiers non retenus

Une annonce attractive produit des dizaines de dossiers complets, contenant pièces d'identité, avis d'imposition et bulletins de salaire. Un seul candidat est retenu. La finalité pour laquelle les autres dossiers ont été collectés — l'attribution du logement — est éteinte dès l'attribution, et l'article 5.1 e) du règlement impose alors leur suppression.

Deux pratiques maintiennent pourtant ces dossiers en base. La conservation « au cas où » le candidat retenu se désiste, qui est admissible pour une durée courte et définie, si elle est annoncée au candidat. Et la constitution d'un vivier de candidats pour les biens à venir, qui est un traitement distinct, avec sa finalité propre, son information et sa durée : il suppose que le candidat en ait été informé et puisse s'y opposer, et il ne justifie pas de conserver l'intégralité des justificatifs financiers.

Gestion locative, copropriété et pluralité des rôles

L'agence qui gère un bien pour le compte d'un bailleur agit sur instruction de celui-ci pour les traitements liés au bail : elle est sous-traitante au sens de l'article 28. Elle est en revanche responsable du traitement pour ses propres fichiers de prospection, sa comptabilité et la gestion de son personnel, et pour l'activité de transaction qu'elle exerce en son nom.

Le syndic de copropriété occupe une position encore différente : il traite les données des copropriétaires pour l'exécution d'un mandat défini par la loi et par le règlement de copropriété. La question la plus fréquente y porte sur la diffusion — liste des copropriétaires, état des impayés, procès-verbaux — dont la communication est encadrée et ne peut pas devenir une publication générale au sein de l'immeuble.

Prospection de vendeurs et estimation en ligne

La prospection de propriétaires repose sur des sources variées : formulaires d'estimation, données foncières publiques, annonces entre particuliers. L'origine des données commande l'obligation d'information : lorsqu'elles n'ont pas été collectées auprès de la personne, l'article 14 du règlement impose de l'informer dans un délai raisonnable, et au plus tard lors de la première communication avec elle.

Le formulaire d'estimation en ligne mérite une attention particulière : il est présenté comme un service rendu, et il est en réalité un outil de collecte de prospects. Les deux finalités doivent être annoncées distinctement, et l'obtention de l'estimation ne peut pas être subordonnée à l'acceptation d'être démarché, sous peine de vicier le consentement à la prospection.

Questions fréquentes

Une agence peut-elle demander les relevés de compte d'un candidat locataire ?

Les pièces exigibles d'un candidat locataire et de sa caution sont fixées par une liste réglementaire limitative en droit français, dont les relevés de compte bancaire ne font pas partie. Une collecte que le droit national interdit ne peut être nécessaire au sens de l'article 6 du règlement (UE) 2016/679 et méconnaît le principe de minimisation de l'article 5.1 c). La remise spontanée de la pièce par le candidat ne régularise pas sa conservation.

Combien de temps conserver les dossiers des candidats non retenus ?

La finalité s'éteint à l'attribution du logement. Une conservation courte et annoncée, couvrant l'hypothèse d'un désistement, est admissible. Au-delà, la conservation suppose une finalité distincte de vivier, portée à la connaissance du candidat, assortie d'une durée définie, et qui ne justifie pas de garder l'intégralité des justificatifs financiers.

Un syndic peut-il diffuser la liste des copropriétaires débiteurs ?

La communication d'informations aux copropriétaires est encadrée par le régime de la copropriété et répond à des finalités précises, notamment la tenue de l'assemblée générale. Un affichage général dans les parties communes ou une diffusion élargie excède cette finalité et porte une atteinte disproportionnée à la vie privée des personnes concernées.

Une agence immobilière doit-elle désigner un délégué à la protection des données ?

L'activité ne relève pas mécaniquement de l'article 37.1 du règlement : elle n'implique ni suivi régulier et systématique à grande échelle, ni traitement à grande échelle de données de l'article 9. La désignation reste souvent volontaire. Elle est alors notifiée à l'autorité de contrôle et produit les mêmes obligations qu'une désignation obligatoire, notamment quant à l'indépendance du délégué.

Ce que ce régime déclenche ailleurs

Les écarts du secteur portent tous sur la durée : le registre est le document où cette durée se fixe traitement par traitement, et devient opposable.

Les durées de conservation au registre

Obligations déclaratives et minimisation, canaux de réservation et intermédiaires, fidélité, vidéoprotection, wifi client et durées de conservation.

Hôtellerie

Protection renforcée des mineurs, base légale des traitements scolaires, outils numériques et edtech en sous-traitance, résultats et orientation, information des familles.

Éducation

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.