Votre agence conditionne la visite à l’envoi de vos trois derniers relevés bancaires détaillés, de votre carte Vitale et d’un extrait de casier judiciaire, puis garde votre dossier des mois après avoir loué à un autre candidat. Cette double pression — fournir toujours plus pour être retenu, puis perdre toute trace de ses pièces — est l’expérience ordinaire de la recherche locative dans les zones tendues. Elle est pourtant doublement irrégulière : la loi enferme les pièces exigibles dans une liste fermée, et le droit des données limite leur conservation à trois mois en base active pour les candidats écartés. Une agence sanctionnée à 400 000 euros par la CNIL, sanction confirmée par le Conseil d’État, l’a appris à ses dépens après avoir exposé les dossiers de plusieurs dizaines de milliers de candidats. Cet article décrit d’abord les seules pièces que le bailleur et son mandataire peuvent exiger, puis les documents interdits et l’amende préfectorale qui les sanctionne, avant d’expliquer combien de temps votre dossier peut être conservé, comment obtenir sa destruction et par quelles voies — préfet, CNIL et tribunal — faire cesser l’abus et réparer votre préjudice.
I. Ce que l’agence ou le bailleur peut exiger — et garder — de votre dossier
A. Les seules pièces autorisées : une liste fermée, pas un inventaire à la carte
Le principe est simple et il protège les deux parties : avant la signature du bail, le bailleur ne peut réclamer que les pièces figurant sur une liste fermée. L’article 1er du décret n° 2015-1437 du 5 novembre 2015 dispose que « pouvant être exigées par le bailleur de chacun des candidats à la location figure en annexe 1 », en renvoyant à l’article 22-2 de la loi du 6 juillet 1989. Tout document qui ne figure pas dans ces annexes est donc, par construction, une pièce dont la demande est irrégulière. Cette liste fermée s’applique au candidat comme à sa caution, et elle exclut en revanche les demandes d’attribution de logements sociaux relevant de l’article L. 441-1 du code de la construction et de l’habitation, qui obéissent à leurs propres règles.
Concrètement, l’annexe autorise d’abord une pièce d’identité en cours de validité comportant la photographie du titulaire, à choisir parmi la carte nationale d’identité, le passeport, le permis de conduire ou le document de séjour pour un candidat étranger. Elle autorise ensuite une seule pièce justificative de domicile, par exemple les trois dernières quittances de loyer ou l’attestation du précédent bailleur indiquant que le locataire est à jour, l’attestation d’hébergement ou le dernier avis de taxe foncière. Elle autorise enfin les documents d’activité professionnelle et de ressources, dont les trois derniers bulletins de salaires, les justificatifs de versement d’indemnités, de retraites, de pensions ou de prestations sociales et familiales des trois derniers mois, ou l’attestation de simulation d’aide au logement. Le service public rappelle que le locataire et la caution peuvent fournir une copie, que le bailleur peut exiger la présentation de l’original, et que les montants doivent être convertis en euros et les documents traduits en français.
Deux précisions pratiques évitent la plupart des litiges. D’abord, le bailleur ne peut demander qu’une seule pièce par catégorie : réclamer à la fois les trois quittances, la taxe foncière et une attestation d’assurance pour « vérifier le domicile » dépasse le cadre. Ensuite, l’État met à disposition le téléservice DossierFacile pour le locataire et son pendant pour le propriétaire : déposer les seuls justificatifs autorisés dans un dossier labellisé coupe court aux demandes sauvages par message ou par courriel, et fige la preuve de ce qui a été transmis. Quand une agence refuse DossierFacile et réclame des pièces hors liste par téléphone, ce refus de passer par le cadre officiel est déjà un signal d’alerte.
B. Les documents interdits : relevés bancaires détaillés, carte Vitale, casier et vie privée
La CNIL dresse la liste des documents que ni l’agence ni le propriétaire ne peuvent demander : « livret de famille », « carte Vitale », « relevés de compte bancaire », contrat de mariage ou jugement de divorce, ou encore « extrait de casier judiciaire ». Chacun de ces exemples correspond à un contentieux réel : le relevé de compte détaillé qui révèle les habitudes de vie alors qu’un justificatif de ressources suffit, la carte Vitale qui expose le numéro de sécurité sociale, le livret de famille ou le jugement de divorce qui livrent la situation matrimoniale, l’extrait de casier qui transforme une candidature locative en enquête de moralité. La photographie d’identité hors pièce officielle, le dossier médical, la carte d’assuré social ou l’attestation de l’employeur détaillant la nature du contrat au-delà de la solvabilité relèvent de la même logique : si la pièce n’est pas dans le décret, son exigence est fautive.
La sanction est double et les agences la sous-estiment souvent. Sur le terrain du bail, l’article 22-2 de la loi du 6 juillet 1989 punit les manquements d’« une amende administrative, prononcée par le représentant de l’Etat dans le département, dont le montant ne peut être supérieur à 3 000 € pour une personne physique et à 15 000 € pour une personne morale ». Le même article verrouille la procédure : « L’amende ne peut être prononcée plus d’un an à compter de la constatation des faits », et seulement après que l’intéressé a été informé de la possibilité de présenter ses observations. Le texte de la loi du 6 juillet 1989 interdit aussi, en préalable au contrat, d’imposer la cosignature d’un ascendant ou d’un descendant du candidat : exiger que le père ou la fille se porte caution parce que le dossier « serait plus solide » est donc doublement irrégulier quand il s’ajoute à des pièces hors liste.
Sur le terrain des données, la même exigence abusive constitue un traitement illicite au sens du règlement général sur la protection des données. L’article 6 du règlement n’autorise un traitement de candidature que s’il est nécessaire à l’exécution du futur contrat ou « à l’exécution de mesures précontractuelles », et le considérant 39 exige que les données restent « limitées à ce qui est nécessaire » pour la seule appréciation de la solvabilité. Un relevé bancaire intégral ou un casier judiciaire n’est ni adéquat ni limité à l’appréciation de la solvabilité : le manquement locatif et le manquement RGPD se cumulent, et le candidat peut les invoquer ensemble, devant le préfet pour l’amende comme devant la CNIL et le juge pour les données.
II. Faire effacer son dossier et sanctionner l’agence qui exige trop ou garde tout
A. Trois mois pour les candidats écartés : la conservation limitée éprouvée par le contentieux SERGIC
Obtenir le logement ne clôt pas le sujet, et l’échec de la candidature ne l’efface pas non plus : les pièces restent dans les serveurs de l’agence, de l’administrateur de biens ou de la plateforme de dépôt. Le règlement européen tranche par son article 5, tel que rappelé par le Conseil d’État dans l’affaire SERGIC : les données doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées », et le considérant 39 ajoute qu’elle doit rester « limitée au strict minimum ». La finalité d’un dossier de candidature, c’est l’appréciation de la solvabilité puis, pour le candidat retenu, la gestion du bail : une fois le choix arrêté, conserver l’intégralité des dossiers écartés en base active, accessibles à tous les négociateurs, excède cette finalité.
La CNIL a chiffré cette limite dans son référentiel de gestion locative, qui distingue les rôles — bailleur, candidat, mandataire et sous-traitant — et fixe des durées de référence : les données de prospection antérieures à la candidature se conservent trois ans après le dernier contact, pour les données collectées au stade de l’appréciation de la solvabilité des candidats, la référence est de « trois (3) mois en base active », tandis que le dossier du candidat retenu suit la durée du contrat jusqu’à la clôture des comptes, puis un archivage intermédiaire de trois ans en gestion directe ou de cinq ans en gestion déléguée, calé sur les prescriptions applicables. Autrement dit : trois mois après le refus, votre dossier de candidat écarté n’a plus à figurer dans le logiciel courant de l’agence ; passé ce délai, il doit être supprimé ou, pour les seules pièces utiles à un éventuel contentieux, trié puis placé dans un archivage à accès restreint, et non maintenu en ligne.
Le contentieux SERGIC donne à cette règle un visage chiffré. La formation restreinte de la CNIL avait sanctionné l’administrateur de biens par sa délibération n° SAN-2019-005 du 28 mai 2019, pour des manquements aux articles 5 et 32 du règlement, avec une amende de 400 000 euros assortie d’une publication. Le Conseil d’État, le 4 novembre 2020, a rejeté le recours : un défaut de sécurité permettait « à des tiers non autorisés d’accéder, au moyen d’une simple modification de liens URL, à plusieurs centaines de milliers de documents téléchargés par plusieurs dizaines de milliers de candidats », parmi lesquels « des bulletins de salaires, des avis d’imposition, des justificatifs d’identité ou des actes de mariage ou de divorce ». Sur la durée, la haute juridiction a jugé que la société conservait les dossiers « sans qu’aucune solution d’archivage intermédiaire, qui aurait permis de conserver les données nécessaires à la gestion d’un éventuel contentieux, n’ait été mise en place », alors même qu’elle invoquait la prescription des actions en discrimination : garder six ans de dossiers en base active au nom d’un contentieux hypothétique, sans tri ni archivage dédié, caractérise l’excès. La « sanction pécuniaire d’un montant de 400 000 euros », représentant moins de 1 % du chiffre d’affaires 2017 de la société et 4 % du plafond, accompagnée d’une « publication pendant une durée de deux ans » pour avertir les candidats exposés, a été jugée proportionnée.
Deux enseignements pratiques en découlent pour votre dossier. D’abord, la sécurité du portail de dépôt engage l’agence : l’article 32 du règlement lui impose « les mesures techniques et organisationnelles appropriées » au regard du risque, et un espace candidat accessible par simple modification d’adresse web, sans authentification réelle, viole cette exigence, comme l’a retenu la CNIL avant validation par le juge administratif. Le Conseil d’État a validé ces contrôles en ligne sur le fondement de l’article 44 de la loi du 6 janvier 1978, devenu son article 19, et la procédure de sanction sur son article 45, devenu l’article 20. Si vous constatez que vos pièces sont accessibles à un tiers ou que l’agence vous transmet par courriel non sécurisé des dossiers d’autres candidats, conservez la preuve : captures datées, en-têtes du message, adresse d’accès. Ensuite, l’argument de la discrimination, souvent brandi pour tout garder, ne justifie pas tout : l’agence peut archiver de façon restreinte ce qui sert sa défense, elle ne peut pas maintenir votre dossier complet en consultation courante pendant des années. Quand vous demandez l’effacement, visez donc les deux manquements ensemble, sécurité et durée, car leur cumul a déjà fondé une sanction de 400 000 euros confirmée définitivement.
Vos droits d’exécution sont directs. L’article 17 du règlement vous donne droit à « l’effacement dans les meilleurs délais », notamment quand vos données sont « plus nécessaires au regard des finalités » ni utiles, ou en cas de « traitement illicite », ce qui couvre à la fois le dossier du candidat écarté après trois mois et toute pièce interdite collectée dès l’origine. L’article 21 ajoute le droit de vous opposer « tenant à sa situation particulière », auquel le responsable ne peut résister qu’en démontrant des motifs légitimes et impérieux. Pour un aperçu complet de la démarche d’accès préalable, qui sert souvent à obtenir d’abord la copie de ce que l’agence détient avant d’exiger l’effacement, notre analyse du droit d’accès quand l’organisme ne répond pas, entre plainte CNIL, juge et réparation détaille chaque étape. Écrivez à l’agence en visant le bon destinataire : le bailleur mandant et l’agence mandataire sont en principe responsables du traitement, tandis que la plateforme de dépôt agit comme sous-traitant et doit vous renvoyer vers eux tout en exécutant leurs instructions ; adressez votre demande aux deux, par écrit, avec la liste précise des pièces à supprimer et un délai d’un mois.
B. La procédure qui aboutit : mise en demeure, préfet, plainte CNIL, juge et réparation
Quand l’agence maintient sa demande ou refuse d’effacer, l’ordre des démarches conditionne le résultat. Commencez par une mise en demeure écrite, adressée au bailleur et à l’agence, qui cite la pièce exacte refusée ou exigée, le fondement — décret du 5 novembre 2015 et article 22-2 de la loi du 6 juillet 1989 pour l’interdit, articles 5, 6, 17 et 21 du règlement pour la conservation et l’effacement — et qui fixe un délai d’un mois pour détruire les pièces et confirmer par écrit la destruction, avec la liste des destinataires à qui elles auraient été transmises. Joignez la preuve de l’exigence abusive : annonce mentionnant la pièce, courriel ou message de l’agent, formulaire de dépôt, récépissé DossierFacile. Cette lettre n’est pas une formalité : elle établit la mauvaise foi en cas de maintien, elle interrompt l’argument de l’erreur, et la CNIL comme le juge l’examinent en premier. Rappelez que les agents de la CNIL peuvent constater les manquements directement en ligne, y compris sur des documents rendus accessibles par imprudence, contrôle validé par le Conseil d’État qui a rejeté la demande de nullité des constatations opérées sur le site de l’agence.
À défaut de régularisation, deux voies administratives se complètent. D’un côté, signalez au préfet l’exigence de pièces hors liste : l’amende de 3 000 ou 15 000 euros, proportionnée à la gravité et enfermée dans un délai d’un an après constatation, frappe le bailleur personne physique comme l’agence personne morale, et la procédure contradictoire préalable oblige l’auteur à s’expliquer. De l’autre, adressez une plainte à la CNIL : l’article 77 du règlement reconnaît à toute personne concernée le droit d’adresser une « réclamation auprès d’une autorité de contrôle ». Votre plainte doit joindre la mise en demeure et sa réponse ou son absence, la liste des pièces litigieuses, les dates de dépôt et de demande d’effacement, et tout indice de diffusion ou d’accès anormal. La CNIL peut contrôler en ligne comme sur place, mettre en demeure puis sanctionner, et ses amendes, pour les violations des principes de base comme la minimisation ou la limitation de la conservation, s’apprécient au regard de critères légaux : nature, gravité et durée, nombre de personnes affectées, négligence, coopération et catégories de données. Le montant doit rester, selon l’article 83, à chaque fois « effectives, proportionnées et dissuasives », et la formation restreinte peut y ajouter la publication, comme les deux ans infligés à SERGIC pour avertir les dizaines de milliers de candidats exposés.
La voie judiciaire, enfin, répare votre préjudice propre. L’article 79 ouvre à chaque personne concernée un « droit à un recours juridictionnel effectif », et l’article 82 ouvre la « réparation du préjudice subi », matériel comme moral, contre le responsable du traitement ou le sous-traitant. Concrètement, le candidat dont le dossier complet a circulé sans nécessité, qui a perdu le logement faute d’avoir fourni une pièce interdite, ou dont les données sont restées des années en base active, peut saisir le tribunal judiciaire pour faire ordonner la suppression sous astreinte et obtenir des dommages et intérêts : perte de chance d’obtenir le logement, temps passé à reconstituer un dossier conforme, trouble lié à l’exposition de pièces de vie privée comme un jugement de divorce ou des bulletins de salaire. Dirigez l’action contre le responsable du traitement — bailleur et agence mandataire — en mettant en cause la plateforme quand son défaut de sécurité a permis l’accès, et chiffrez chaque poste avec pièces : refus écrit du bailleur, attestations de recherches restées vaines, factures d’hébergement temporaire. Les juges écartent les demandes symboliques non documentées et accueillent les préjudices prouvés, même modestes, dès lors que la violation est établie.
Le message vaut aussi dans l’autre sens, pour le bailleur et l’agence qui veulent sélectionner vite sans s’exposer. Limitez le formulaire de candidature aux annexes du décret, refusez par écrit les pièces spontanées hors liste que certains candidats ajoutent « pour rassurer », purgez tous les trimestres les dossiers écartés depuis plus de trois mois, cloisonnez l’archivage contentieux avec des habilitations restreintes, sécurisez le portail par une authentification réelle et journalisez les accès. Le coût de ces mesures est dérisoire face à l’alternative : d’un côté 15 000 euros d’amende préfectorale par manquement au décret, de l’autre une sanction CNIL qui a atteint 400 000 euros dans un dossier de gestion locative ordinaire, avant dommages et intérêts judiciaires. Une agence qui applique la liste fermée, détruit à trois mois et prouve sa sécurité instruit plus vite, loue plus sereinement et ne craint ni le préfet ni la CNIL.
Conclusion : cinq réflexes pour un dossier conforme et effaçable
Retenez l’essentiel. Votre agence ne peut exiger que les pièces des annexes du décret du 5 novembre 2015, une seule par catégorie, et jamais le livret de famille, la carte Vitale, vos relevés bancaires détaillés, votre contrat de mariage ou votre casier judiciaire. Toute exigence hors liste expose le bailleur et l’agence à 3 000 ou 15 000 euros d’amende préfectorale dans l’année de la constatation. Votre dossier de candidat écarté ne reste en base active que trois mois ; au-delà, il doit être supprimé ou archivé de façon restreinte, et le portail qui l’héberge doit être réellement sécurisé, comme l’a jugé définitivement le Conseil d’État dans l’affaire SERGIC à 400 000 euros. En cas de refus d’obtempérer, la mise en demeure chiffrée et datée ouvre la plainte CNIL et l’action en suppression et en réparation devant le juge. Conservez chaque preuve dans un dossier dédié, car la prescription d’un an de l’amende préfectorale et les délais de la plainte CNIL courent pendant que l’agence temporise. En cas de doute sur une pièce, repartez de l’article 1er du décret et de ses annexes : tout ce qui n’y figure pas est exigé à tort. Appliquez ces cinq réflexes dans l’ordre — trier les pièces, passer par DossierFacile, exiger la destruction écrite à trois mois, signaler au préfet l’interdit maintenu, saisir la CNIL puis le juge — et votre recherche de logement cessera d’alimenter des bases dont vous ignorez tout.
Besoin d’un avis rapide sur votre dossier
Vous constituez un dossier de location en matière de numérique et données personnelles et une agence vous réclame des pièces interdites ou conserve vos données après un refus. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier et vos preuves. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.