Par Gérard Haas, Anne Charlotte Andrieux et Théo Renaudie
La CNIL vient de publier le nouveau référentiel destiné à la mise en œuvre du Règlement général pour la protection des données concernant la gestion locative. Les agents immobiliers mais également les bailleurs professionnels et les plateformes en ligne sont concernés. En voici un résumé.
La CNIL a publié son référentiel adopté le 6 mai 2021 relatif aux « Traitements de données à caractère personnel mis en œuvre dans le cadre de la gestion locative ».
La Commission en précise le champ, il s’agit ici de s’adresser aux bailleurs professionnels, aux agences de gestion locative ainsi qu’aux agents immobiliers assurant les opérations d’entrée et de sortie des locations pour le compte du bailleur. Précision bienvenue, ce référentiel s’adresse également aux plateformes en ligne proposant des services relatifs à la gestion locative.
Autrement précisé, ce référentiel ne s’adresse pas aux bailleurs sociaux ni aux locations saisonnières qui répondent à des particularités non détaillées ici.
Bien que ce référentiel n’ait pas de valeur contraignante, dans la mesure où il vient de la CNIL qui est également l’institution qui contrôle le respect du RGPD, on ne saurait que trop conseiller aux acteurs concernés de s’y conformer au maximum. La CNIL précise d’ailleurs que ce référentiel est une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD).
Selon l’organisation retenue pour la gestion locative, il est parfois difficile pour les acteurs de déterminer s’ils sont responsables de traitement ou sous-traitants.
La CNIL apporte des précisions selon le type de gestion :
Dans le cas où le gestionnaire fait appel à un prestataire pour réaliser certaines tâches tel l’appel des loyers, le quittancement ou la rédaction du bail : ce prestataire sera un sous-traitant aux termes du RGPD avec toutes les obligations qui en découlent (contractualisation de la sous-traitance, sécurité, confidentialité, etc.).
Le RGPD impose au responsable de traitement qu’il formalise et justifie les objectifs poursuivis par ses traitements. Il ne s’agit pas de collecter des informations « au cas où », mais d’être à même d’expliciter en amont et d’informer les personnes concernées des finalités du traitement.
A ce titre, la CNIL entrevoit quatre finalités de la gestion locative :
La CNIL en profite pour rappeler le principe : il n’est possible de collecter des données que dans le cadre d’une finalité précise exposée, et les données collectées pour une finalité ne peuvent être réutilisées pour une autre finalité incompatible sans l’accomplissement des formalités imposées par le RGPD (information, consentement, etc.).
Les bases légales correspondant à chacun de ces finalités ont été précisées sous forme de tableau par la CNIL.
La CNIL rappelle que le principe de minimisation des données impose que seules soient collectées et traitées les données nécessaires à la poursuite des finalités.
Dans son référentiel, la CNIL expose ainsi les données considérées comme pertinentes pour les finalités de la gestion locative.
Attention : dans le cas où une personne fournirait trop d’informations ou des documents supplémentaires non pertinents : le responsable de traitement doit en assurer la suppression et/ou rendre les documents à la personne concernée afin de rester en conformité à la réglementation.
À ce stade, les données sont traitées à des fins de prospection, la CNIL considère que la durée de conservation adéquate est de trois (3) ans à compter du dernier contact des personnes avec le gestionnaire.
À ce stade, les données sont traitées le temps d’apprécier la solvabilité du candidat, la CNIL considère que la durée de conservation adéquate est de trois (3) mois pour les candidats non retenus.
Concernant le candidat retenu, les données peuvent être conservées pendant :
Les annexes au décret n° 2015-1437 du 5 novembre 2015 listent précisément les pièces justificatives qui peuvent être demandées aux candidats à la location et à leurs éventuels garants.
Une fois le locataire choisi, des données complémentaires liées à la relation financière avec le locataire deviennent pertinentes.
Elles sont soumises aux mêmes durées de conservation :
Les données n’étant ici nécessaires et recueillies que pour permettre de libérer le locataire, il n’y a normalement aucune conservation nécessaire sauf le temps nécessaire à la validation par le propriétaire/bailleur en cas de gestion déléguée ou semi-déléguée.
* * *
Le Cabinet HAAS Avocats est fort d’une expertise de plus de 20 ans en droit des nouvelles technologies.
Nous accompagnons tous les professionnels dans leur démarche de conformité au RGPD.
Que ce soit en appui du DPO ou en qualité de DPO externalisé le Cabinet Haas réalise tout type de mission en lien avec la protection des données personnelles au sein de deux départements spécialisés sur ces questions : le département Protection des données et le département cyber sécurité. Contactez-nous ici.