Un dossier de location contient parmi les données personnelles les plus sensibles qu'un particulier confie à un inconnu : identité, adresse, employeur, revenus, parfois situation familiale. Dès qu'un bailleur ou une agence les collecte, il devient responsable de traitement au sens du RGPD, avec des obligations précises.
1. Ne collecter que le nécessaire
C'est le principe de minimisation. Il rejoint une règle propre à la location : seules les pièces de la liste légale peuvent être demandées, et d'autres sont expressément interdites. Demander un relevé de compte ou une carte Vitale est à la fois contraire à la loi sur la location et à la minimisation des données.
2. Une finalité claire, une base légale
Les données servent à étudier une candidature, c'est-à-dire à prendre des mesures précontractuelles à la demande de la personne. Elles ne doivent pas être réutilisées pour autre chose : prospection commerciale, revente de listes, constitution d'un fichier de « mauvais payeurs » sans cadre légal.
3. Limiter la durée de conservation
Un dossier n'a pas vocation à rester indéfiniment dans une boîte e-mail ou un dossier partagé :
- pour le candidat retenu, les pièces sont conservées le temps nécessaire à la conclusion et à l'exécution du bail, dans les limites des obligations légales applicables ;
- pour les candidats non retenus, les pièces doivent être supprimées rapidement après la décision. Si vous souhaitez les garder pour proposer un autre logement, demandez-leur leur accord.
Fixez une durée en interne, écrivez-la, et appliquez-la.
4. Sécuriser les dossiers
Les risques les plus courants sont banals : pièces jointes envoyées à de mauvaises personnes, dossiers laissés dans des boîtes e-mail partagées, copies sur des clés USB ou des téléphones personnels. Les bonnes pratiques :
- réserver l'accès aux personnes qui en ont besoin ;
- éviter la circulation des pièces par e-mail ordinaire ;
- stocker dans un espace protégé, avec traçabilité des consultations ;
- prévoir ce qui se passe quand un collaborateur quitte l'agence.
5. Informer les candidats
Chaque candidat doit savoir qui traite ses données, pourquoi, combien de temps, et comment exercer ses droits : accès, rectification, effacement, opposition. Ces informations tiennent en quelques lignes à placer sur le formulaire de candidature ou dans le message d'invitation à déposer son dossier.
6. Encadrer ses sous-traitants
Si vous utilisez un outil pour gérer ou analyser les dossiers, ce prestataire est un sous-traitant : un contrat (ou accord de traitement) doit définir ce qu'il peut faire des données, les mesures de sécurité, et le sort des données en fin de relation. Vérifiez aussi où elles sont hébergées. Les transferts hors de l'Union européenne demandent des garanties supplémentaires.
LocaCheck héberge les données en France. Les conditions du traitement qu'il opère pour votre compte sont décrites dans la page Traitement des données.
7. Que faire en cas d'incident ?
Si un dossier est perdu, envoyé à la mauvaise personne ou piraté, il s'agit d'une violation de données. Selon sa gravité, elle doit être consignée dans un registre interne et peut devoir être notifiée à la CNIL et aux personnes concernées dans un délai court. Mieux vaut avoir su à l'avance qui s'en occupe.
Checklist rapide
- 1Je ne demande que les pièces de la liste légale.
- 2J'ai une durée de conservation écrite, et je supprime les dossiers non retenus.
- 3Les accès sont limités et tracés.
- 4Mes candidats sont informés de leurs droits.
- 5Mes sous-traitants sont encadrés par un contrat.
- 6Je sais quoi faire en cas d'incident.