Votre candidature pour un appartement parisien vient d’être refusée, mais l’agence conserve votre dossier complet : pièce d’identité, bulletins de salaire, avis d’imposition, contrat de travail, parfois des documents que vous n’auriez jamais dû fournir. Quelques semaines plus tard, vous découvrez que vos pièces circulent encore, que le bailleur les a transmises à un tiers ou que l’agence les réutilise pour un autre bien. Cette situation soulève une question directe : combien de temps une agence ou un bailleur peut-il garder votre dossier de location après un refus, et comment obtenir son effacement, saisir la CNIL et être indemnisé en 2026 ?
La réponse combine deux corps de règles. Le droit locatif fixe une liste fermée de pièces exigibles et sanctionne toute demande hors liste par une amende administrative. Le règlement général sur la protection des données encadre chaque traitement : collecte limitée au nécessaire, durée de conservation courte pour les candidats écartés, droit à l’effacement et réparation du préjudice en cas de violation. Cet article distingue ce que l’agence pouvait demander, ce qu’elle doit détruire après le refus et les recours concrets qui s’offrent à vous, avec les textes, les positions officielles de la CNIL et la jurisprudence applicable.
I. Ce que l’agence et le bailleur pouvaient collecter avant le refus
A. Une liste fermée de pièces, des documents interdits et une amende en cas de dépassement
Le point de départ est une règle locative simple : le bailleur ne peut pas demander n’importe quel document au candidat ni à sa caution. L’article 22-2 de la loi du 6 juillet 1989 dispose que « La liste des pièces justificatives pouvant être exigées du candidat à la location ou de sa caution par le bailleur, […] est définie par décret en Conseil d’Etat, pris après avis de la Commission nationale de concertation. » Le même article ajoute une interdiction souvent ignorée : « le bailleur ne peut imposer la cosignature d’un ascendant ou d’un descendant du candidat à la location » Autrement dit, exiger qu’un parent se porte caution imposée d’office est prohibé, même si le candidat peut proposer librement un garant de son choix.
Cette liste figure dans le décret du 5 novembre 2015, dont l’article 1er précise que « La liste des pièces justificatives […] pouvant être exigées par le bailleur de chacun des candidats à la location figure en annexe 1. » Les annexes détaillent quatre familles de documents : une pièce d’identité en cours de validité avec photographie, un justificatif de domicile, des justificatifs d’activité professionnelle et des justificatifs de ressources. Pour les ressources d’un salarié, le décret vise notamment les trois derniers bulletins de salaire et le dernier avis d’imposition ; pour un indépendant, les deux derniers bilans ou une attestation de ressources de l’exercice en cours délivrée par un comptable. Chaque famille fonctionne en alternative interne : fournir un document de chaque famille suffit, et l’agence ne peut pas cumuler plusieurs justificatifs de la même famille pour écarter un dossier.
En miroir, plusieurs documents courants sont interdits. La CNIL vise notamment la copie du livret de famille, la carte Vitale, les relevés de compte bancaire, un contrat de mariage ou un jugement de divorce, ou encore un extrait de casier judiciaire : ni les agences ni les propriétaires ne peuvent exiger ces documents des candidats. Cette liste recoupe les pièces les plus fréquemment exigées dans la pratique : relevés de compte détaillés permettant de reconstituer la vie privée, carte Vitale ou carte de sécurité sociale, dossier médical, photo d’identité en dehors du titre d’identité, attestation de bonne tenue des comptes bancaires, ou encore des informations sur l’état de santé et les antécédents judiciaires. Le service-public officiel confirme la sanction : toute pièce non autorisée réclamée par le propriétaire ou l’agence expose son auteur à une amende de 3 000 euros, portée à 15 000 euros pour une personne morale. Le texte de loi le prévoit mot pour mot : l’article 22-2 dispose que « Les manquements au présent article sont punis […] dont le montant ne peut être supérieur à 3 000 € pour une personne physique et à 15 000 € pour une personne morale. » La loi du 6 juillet 1989 encadre la procédure : « est proportionné à la gravité des faits constatés », « ne peut être prononcée plus d’un an à compter de la constatation des faits » et « a été informé de la possibilité de présenter ses observations dans un délai déterminé » Conservez donc la preuve de la demande illicite, car le délai d’un an court à partir de la constatation des faits et la phase contradictoire suppose des pièces datées.
Cette exigence de pièces strictement nécessaires rejoint l’obligation de diligence de l’agent immobilier, sans jamais l’autoriser à dépasser la liste. La cour d’appel de Paris a jugé le 5 juin 2026, dans une affaire opposant un bailleur à l’agence No Limit Immobilier (RG 25/05404), que l’agent devait vérifier sérieusement la solvabilité de la candidate avant la signature : la production d’un simple registre de TVA postérieur au bail ne démontrait pas des vérifications sérieuses, et l’absence de caution ou de garantie bancaire caractérisait un manquement à l’obligation de conseil et de vérification. La cour d’appel de Rennes a retenu une logique comparable le 12 mai 2026 (RG 24/00160) en relevant que l’agence avait collecté les seuls éléments nécessaires pour apprécier la situation des candidats, notamment leurs ressources, ce qui fondait la régularité de la sélection lorsque la collecte restait proportionnée. La leçon pour votre dossier est double : l’agence doit contrôler la solvabilité, mais uniquement à partir des pièces autorisées ; toute pièce hors liste collectée à ce stade est à la fois une infraction locative et une violation du principe de minimisation des données exposé ci-après.
B. Des rôles RGPD précis : qui est responsable, qui est sous-traitant et ce que vous auriez dû recevoir
Le dossier de location est un traitement de données personnelles au sens du règlement européen 2016/679 (RGPD) : chaque collecte, chaque copie, chaque transmission et chaque conservation de vos pièces constitue une opération soumise à ses principes. Le premier réflexe consiste à identifier les parties. Le bailleur qui décide de mettre son bien en location et définit les pièces qu’il veut voir est responsable du traitement. L’agence immobilière qui reçoit les dossiers, présélectionne les candidats et organise les visites agit le plus souvent comme sous-traitant du bailleur lorsqu’elle n’agit que sur ses instructions, ou comme responsable distinct lorsqu’elle décide elle-même des finalités et des moyens, par exemple en alimentant son propre fichier de prospects. Le référentiel de la CNIL sur la gestion locative, adopté par la délibération du 6 mai 2021, illustre cette répartition : lorsque le mandat confie le choix du locataire au professionnel, le propriétaire ne devrait en principe recevoir que les dossiers présélectionnés pour arrêter son choix final, et non l’ensemble des candidatures En pratique, demandez à l’agence une copie du mandat de gestion et l’identité du responsable du traitement : la réponse détermine à qui adresser la demande d’effacement et contre qui diriger une plainte ou une action en réparation.
Le traitement doit reposer sur une base légale et rester limité au nécessaire. l’article 6 du règlement subordonne la licéité du traitement à l’existence d’au moins une base légale, parmi lesquelles le consentement, l’exécution de mesures précontractuelles, le respect d’une obligation légale ou l’intérêt légitime poursuivi par le responsable. Pour un dossier de location, la base la plus solide est l’exécution de mesures précontractuelles prises à votre demande, combinée à l’obligation légale issue de la liste fermée des pièces ; l’intérêt légitime ne peut pas servir à collecter des pièces interdites. Surtout, l’article 5 du règlement impose la minimisation et la limitation de la conservation, dans les termes rappelés par le Conseil d.État le 6 décembre 2023 : « Les données à caractère personnel doivent être : […] c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ; […] e) conservées sous une forme permettant […] pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées […] (limitation de la conservation) ; […] ». Toute pièce hors décret viole par construction le principe de minimisation, et toute conservation au-delà du nécessaire viole la limitation de conservation.
Le référentiel de la CNIL en tire une conséquence opérationnelle que peu de candidats connaissent : si des candidats transmettent spontanément des pièces allant au-delà de la réglementation, l’organisme doit supprimer ou renvoyer ces pièces superflues pour rester conforme Autrement dit, si vous avez transmis spontanément un relevé de compte ou si l’agence l’a exigé, l’organisme ne peut pas le garder « au cas où » : il doit le détruire ou vous le renvoyer. De même, la collecte avant la visite est bornée : la CNIL admet que les professionnels informent dès ce stade les candidats des conditions de ressources et leur demandent de préparer les documents à fournir après la visite en cas de candidature, mais le dépôt du dossier n’intervient qu’après la visite. Une agence qui conditionne la visite à l’envoi préalable du dossier complet inverse l’ordre prévu et collecte des données de candidats qui ne postuleront jamais.
Vous auriez dû recevoir une information complète au moment de la collecte. l’article 12 du règlement exige une information concise, transparente et accessible, en des termes clairs et simples, ainsi que des réponses effectives aux demandes d’exercice des droits, et le référentiel rappelle que la durée de conservation, ou les critères permettant de la déterminer, fait partie des informations dues aux personnes concernées. Vérifiez les mentions remises avec le dossier : identité du responsable, finalités, base légale, destinataires, durée de conservation et droits. Leur absence ne rend pas la collecte automatiquement illicite, mais elle constitue un manquement distinct, utile dans une plainte, et elle prive l’agence de l’argument selon lequel vous auriez été informé de la conservation. Pour limiter les transmissions, utilisez le téléservice officiel DossierFacile, qui permet de déposer les seuls justificatifs autorisés et de les adresser au bailleur sans multiplier les copies par courriel ; la CNIL elle-même renvoie vers ce service sur sa page consacrée à la location. Si votre litige porte plus largement sur l’exercice de vos droits d’accès et d’effacement, notre analyse du droit d’accès quand l’organisme ne répond pas détaille la plainte CNIL et le recours au juge.
II. Après le refus : faire effacer votre dossier, faire sanctionner et obtenir réparation
A. Exiger l’effacement dans les délais : trois mois en base active, réponse sous un mois, puis plainte à la CNIL
Une fois le logement attribué à un autre candidat, votre dossier n’a plus à rester dans les fichiers de l’agence. Le référentiel de la CNIL fixe des durées de référence : les données de solvabilité des candidats écartés ne restent en principe en base active que « trois mois en base active ». Trois mois, pas trois ans : passé ce délai, les pièces des candidats écartés doivent être supprimées de la base active ou anonymisées de façon irréversible, la simple suppression des noms et prénoms ne suffisant pas car elle ne constitue qu’une pseudonymisation. À titre de comparaison, les données de prospection préalables (identification, coordonnées, critères de recherche) se conservent trois ans à compter du dernier contact, et les données du locataire retenu se conservent en base active pendant la durée du contrat, jusqu.à la clôture de ses comptes, avec ensuite un archivage intermédiaire. Ne laissez pas l’agence appliquer le délai de trois ans prévu pour la prospection à votre dossier de solvabilité : ce sont deux finalités distinctes, avec deux durées distinctes, et seule la durée de trois mois couvre les pièces sensibles du candidat refusé.
Le droit à l’effacement vous permet d’agir sans attendre l’expiration du délai. l’article 17 du règlement ouvre à toute personne le droit d’obtenir « dans les meilleurs délais » l’effacement des données la concernant, et impose au responsable de les effacer dans les mêmes délais, notamment lorsqu’elles ne sont plus nécessaires au regard des finalités de la collecte. Un dossier de candidat écarté entre exactement dans ce cas : la finalité d’appréciation de la solvabilité est éteinte dès l’attribution du logement à un tiers. Adressez une demande écrite au responsable du traitement identifié, en visant l’article 17, en listant les pièces concernées et en demandant la suppression dans tous les systèmes, y compris les copies transmises au bailleur, ainsi que la confirmation écrite de l’effacement et la liste des destinataires informés. l’article 12 du règlement impose au responsable de répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception, prolongeable de deux mois pour les demandes complexes à condition de vous en informer dans le premier mois. Sans réponse dans ce délai, ou en cas de refus non motivé, vous pouvez saisir la CNIL par une plainte en ligne en joignant la demande, la preuve de réception et les pièces du dossier.
La plainte CNIL suit un chemin balisé et peut déboucher sur une sanction lourde. Après instruction, la formation restreinte peut prononcer un rappel à l’ordre, une injonction de mise en conformité, une limitation ou une interdiction de traitement et une amende administrative, en tenant compte de la nature des manquements, du nombre de personnes concernées, de la situation financière et des mesures correctrices adoptées. Le Conseil d’État contrôle ces sanctions et valide régulièrement les manquements de minimisation et de conservation excessive. Le 6 décembre 2023 (n° 467368, société Ubeeqo International), il a rejeté le recours contre une délibération de la CNIL qui avait prononcé « une amende administrative d’un montant de 175 000 euros à raison de plusieurs manquements au RGPD, et notamment, au principe dit de minimisation des données et aux règles relatives à leur conservation ». Sur la minimisation, l’arrêt du 6 décembre 2023 retient que « la formation restreinte de la CNIL a pu légalement estimer que la conservation de la totalité des données de géolocalisation des véhicules tous les 500 mètres n’était pas nécessaire au regard des finalités poursuivies et retenir l’existence d’un manquement aux dispositions du c) du 1. de l’article 5 du RGPD », et, sur la conservation, le même arrêt retient : « la formation restreinte de la CNIL a pu légalement estimer que la société Ubeeqo conservait les données de géolocalisation pour une durée excessive au regard des finalités poursuivies et retenir l’existence d’un manquement aux dispositions du e) du 1. de l’article 5 du RGPD ». Le raisonnement se transpose à un fichier locatif : conserver l’intégralité des dossiers de tous les candidats, avec relevés et pièces excédentaires, au-delà de trois mois, n’est pas nécessaire à la gestion locative. Le juge a aussi validé, dans le même arrêt, la proportionnalité d’une sanction de 175 000 euros au regard « de la nature des manquements retenus ainsi que du nombre d’utilisateurs concernés, soit 250 000 personnes », de l’activité, de la situation financière et des corrections apportées, ainsi que la publication de la décision. Pour un réseau d’agences qui mutualise des milliers de dossiers, l’échelle du fichier aggrave le risque au lieu de l’atténuer.
B. Prouver la faute, cumuler les sanctions et chiffrer votre réparation, y compris à Paris et en Île-de-France
La sanction administrative ne vous indemnise pas : elle punit l’organisme. Votre réparation suppose une action distincte, fondée sur l’article 82 du règlement : toute personne victime d’une violation obtient « réparation du préjudice subi », matériel ou moral, auprès du responsable du traitement ou du sous-traitant. Le responsable ayant participé au traitement répond du dommage causé par la violation ; le sous-traitant n’en répond qu’en cas de manquement à ses obligations propres ou d’action hors des instructions licites du responsable. L’organisme ne s’exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable. Concrètement, dirigez l’action contre le bailleur et l’agence en expliquant le rôle de chacun : le bailleur répond de la collecte excessive qu’il a décidée ou laissé faire, l’agence répond de la conservation et des diffusions qu’elle a opérées hors instruction, et chacun doit démontrer sa propre absence de faute.
Le dossier probatoire se construit dès le premier échange et conditionne tout. Conservez l’annonce, les courriels et messages exigeant les pièces, la liste des documents transmis avec leurs dates, les accusés de réception, la demande d’effacement et la réponse ou l’absence de réponse dans le délai d’un mois, ainsi que tout indice de diffusion : relance commerciale d’une autre agence du réseau, proposition pour un autre bien fondée sur des pièces que vous n’aviez pas fournies pour ce bien, ou transmission de votre dossier à un tiers sans votre accord. Faites constater par commissaire de justice les pages et les fichiers encore accessibles, notamment un espace candidat ou un lien de partage toujours actif après le refus. Si l’agence oppose un motif légitime de conservation, exigez l’écrit qui le fonde : contrat, obligation légale précise ou décision de justice. Une conservation justifiée par de vagues raisons de preuve ou de statistique, sans durée définie, contredit la limitation de conservation et la position de la CNIL sur les durées en base active. Chiffrez ensuite le préjudice : temps passé à faire valoir vos droits, refus de location lié à la diffusion d’informations erronées ou excessives, démarchage subi, atteinte à la vie privée par la circulation de relevés bancaires ou de pièces familiales, et préjudice moral lié à la perte de maîtrise de vos données. Les juridictions indemnisent ces postes sur pièces, sans barème automatique : un chiffrage précis, daté et documenté vaut mieux qu’une demande forfaitaire.
À Paris et en Île-de-France, le contentieux présente des traits propres qui renforcent l’article sans changer le droit applicable. Le marché tendu multiplie les dossiers déposés pour un même bien, donc le volume de données conservées et le nombre de candidats écartés dont les pièces restent dans les fichiers. L’amende administrative de l’article 22-2 est prononcée par le préfet du département, soit à Paris le préfet de Paris, après procédure contradictoire ; adressez le signalement au représentant de l’État du lieu de situation du bien, en joignant la demande de pièces et les preuves datées. La CNIL siège à Paris et reçoit les plaintes en ligne, quel que soit le ressort. L’action en réparation relève du tribunal judiciaire du lieu du fait dommageable ou du domicile du défendeur, ce qui, pour un bien parisien géré par une agence francilienne, conduit le plus souvent devant le tribunal judiciaire de Paris ou celui du siège de l’agence. Préparez un dossier resserré : chronologie sur une page, pièces numérotées, demande d’effacement et preuve de réception, réponse de l’agence ou constat d’absence de réponse, et chiffrage poste par poste. Pour situer votre recours dans la stratégie locative globale, notre page consacrée au bail d’habitation à Paris présente l’accompagnement du cabinet sur le contentieux locatif.
Conclusion
Un dossier de location refusé ne devient pas un fichier permanent. La loi locative limite les pièces exigibles à une liste fermée et punit toute demande hors liste d’une amende pouvant atteindre 3 000 euros, portée à 15 000 euros pour une personne morale. Le RGPD ajoute trois verrous : collecte limitée au nécessaire, conservation des dossiers de solvabilité des candidats écartés limitée en principe à trois mois en base active, et effacement sans retard injustifié dès que la finalité est éteinte, avec réponse du responsable dans un délai d’un mois. La CNIL peut sanctionner la minimisation et la conservation excessive, comme le confirme l’arrêt du Conseil d’État du 6 décembre 2023, et le juge peut indemniser votre préjudice matériel et moral sur le fondement de l’article 82. La méthode tient en quatre gestes : identifier le responsable du traitement, exiger par écrit l’effacement avec confirmation et liste des destinataires informés, signaler au préfet toute pièce hors liste et saisir la CNIL en cas de maintien, puis chiffrer et réclamer la réparation sur pièces. Gardez chaque preuve, respectez les délais et ne laissez pas un refus de location se transformer en circulation durable de vos données.
Besoin d’un avis rapide sur votre dossier
Votre dossier de location est conservé après un refus, ou une agence vous réclame des pièces interdites en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier et vos preuves. Consultation téléphonique en 48 heures avec un avocat du cabinet. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.