La convocation à l’assemblée générale annuelle arrive dans votre boîte aux lettres, et l’enveloppe contient bien plus que l’ordre du jour : la copie intégrale d’assignations en justice où figurent vos dates et lieux de naissance, des précisions sur votre état de santé et celui de vos enfants, les noms de vos médecins, de vos témoins et de vos avocats. Le lendemain, tout l’immeuble connaît votre dossier. Dans un autre immeuble, le syndic affiche dans le hall la liste des copropriétaires en retard de charges, avec noms, lots et montants, ou diffuse à tous les résidents un courriel groupé où chaque adresse électronique reste visible. Ces situations ne relèvent pas de la simple maladresse de gestion : dès lors que des informations qui identifient une personne physique sont communiquées à des tiers sans base légale, le droit des données personnelles s’applique, avec ses interdictions, ses droits d’action et ses réparations.
La question se pose donc en deux temps. D’abord, ce que le syndic peut et ne peut pas diffuser : la loi lui impose de tenir une liste des copropriétaires et de transmettre des documents au conseil syndical, mais chaque transmission doit rester limitée à sa finalité. Ensuite, ce que vous pouvez faire quand la diffusion a déjà eu lieu : faire constater, exiger l’effacement, saisir la CNIL et demander au juge la cessation et la réparation. Le tribunal judiciaire d’Aix-en-Provence, dans un jugement du 5 août 2025, a condamné un syndic qui avait joint à une convocation d’assemblée générale des assignations contenant les données personnelles d’une famille entière, rappelant que l’information des copropriétaires doit se limiter à l’existence et à l’objet de l’instance et que tout dépassement constitue un traitement illicite.
I. Ce que le syndic peut et ne peut pas diffuser
A. Les transmissions autorisées par la loi, et leurs limites strictes
Le syndic n’est pas un simple mandataire libre de communiquer comme il l’entend : l’article 18 de la loi n° 65-557 du 10 juillet 1965 fixant le statut de la copropriété des immeubles bâtis dispose qu’il est chargé « d’assurer l’exécution des dispositions du règlement de copropriété et des délibérations de l’assemblée générale » et « d’administrer l’immeuble, de pourvoir à sa conservation, à sa garde et à son entretien », notamment en cas d’urgence (article 18 de la loi du 10 juillet 1965). Cette mission d’administration suppose nécessairement de traiter des données personnelles : la CNIL relève que le syndic est responsable de traitement lorsqu’un texte l’oblige à collecter ou à utiliser des données, par exemple pour la mise en place de l’accès en ligne aux documents dématérialisés ou pour l’établissement de la liste des copropriétaires (la gestion des données personnelles au sein d’une copropriété). Qui dit responsable de traitement dit obligations : informer les personnes des raisons du traitement, de sa durée et de leurs droits, et leur permettre d’exercer ces droits.
Première transmission prévue par la loi : la liste des copropriétaires. L’article 32 du décret n° 67-223 du 17 mars 1967 prévoit que « Le syndic établit et tient à jour une liste de tous les copropriétaires avec l’indication des lots qui leur appartiennent », en mentionnant « leur état civil ainsi que leur domicile réel ou élu », et en faisant « aussi mention de leur adresse électronique » (article 32 du décret du 17 mars 1967). Cette liste existe pour la gestion administrative de l’immeuble, pas pour être affichée dans le hall ou adressée à tout l’immeuble : elle est communiquée aux personnes qui doivent en connaître pour leur mission, et chaque usage détourné de cette finalité pose un problème de licéité.
Deuxième transmission prévue : celle qui va du syndic vers le conseil syndical. L’article 21 de la loi du 10 juillet 1965 dispose que « Dans tout syndicat de copropriétaires, un conseil syndical assiste le syndic et contrôle sa gestion », et que ce conseil « peut prendre connaissance, et copie, à sa demande, et après en avoir donné avis au syndic, de toutes pièces ou documents, correspondances ou registres se rapportant à la gestion du syndic » (article 21 de la loi du 10 juillet 1965). La CNIL précise que cette communication, imposée par la loi, n’est pas en elle-même contraire au règlement général sur la protection des données, tout en recommandant au syndic de rappeler aux membres du conseil syndical la confidentialité des informations reçues dans le cadre de leurs fonctions. De leur côté, les membres du conseil syndical ne peuvent utiliser ces données que dans le cadre du mandat confié et ne doivent communiquer aux autres copropriétaires que ce qui s’avère nécessaire.
Troisième situation : l’information de l’assemblée générale sur les procédures en cours. Quand le syndic est assigné en justice par un copropriétaire, les autres copropriétaires peuvent avoir un intérêt légitime à le savoir, parce que la procédure peut avoir des conséquences financières pour la copropriété. Mais le tribunal judiciaire d’Aix-en-Provence, le 5 août 2025 (RG 22/03891), fixe la limite avec netteté : cette information doit, en exécution des textes d’application de la loi sur la copropriété, être limitée à l’existence et à l’objet de l’instance. Dans cette affaire, le syndic avait annexé à la convocation de l’assemblée générale du 9 juin 2022 la copie de deux assignations délivrées à son encontre, l’une en annulation d’assemblée générale et l’autre en référé-expertise, avec l’ensemble des pièces : dates et lieux de naissance des époux, états de santé, noms et adresses des avocats, des témoins et des médecins, y compris pour deux enfants mineurs. Le tribunal juge que cette transmission dépasse largement l’existence et l’objet des deux instances et ne s’inscrit dans aucun des cas de licéité de l’article 6 du RGPD, faute de consentement. La leçon vaut pour toutes les convocations : informer, oui ; verser le dossier médical et l’état civil de l’adversaire à l’ensemble de l’immeuble, non.
Le cadre européen éclaire ces limites. L’article 5 du règlement (UE) 2016/679 du 27 avril 2016 impose une discipline de traitement : licéité, loyauté et transparence à l’égard de la personne concernée, collecte pour des finalités déterminées, explicites et légitimes sans réutilisation incompatible, données adéquates, pertinentes et limitées au nécessaire, et obligation pour le responsable de démontrer son respect de ces principes (règlement (UE) 2016/679, article 5). L’article 6 ajoute que le traitement n’est licite que si l’une des conditions prévues est remplie, à commencer par le consentement de la personne pour des finalités spécifiques, puis la nécessité d’exécuter un contrat ou de respecter une obligation légale pesant sur le responsable (règlement (UE) 2016/679, article 6). Chaque diffusion par le syndic doit donc pouvoir se rattacher à l’une de ces bases : consentement, contrat, obligation légale. La simple commodité de gestion n’en est pas une.
B. Les diffusions interdites : affichage des impayés, courriels groupés, prospection et caméras ouvertes à tous
L’affichage des impayés constitue le premier cas d’école. Placarder dans les parties communes la liste des débiteurs avec noms, numéros de lots et montants dus expose des données personnelles à des personnes qui n’ont pas à en connaître pour leur mission : ni les voisins, ni les visiteurs, ni les prestataires de passage. Le recouvrement des charges suit des voies prévues par la loi, de la mise en demeure à l’action en justice, et la pression par l’affichage public n’en fait pas partie. Une telle pratique cumule les risques : violation des principes de finalité et de minimisation de l’article 5 du RGPD, absence de base légale au sens de l’article 6, et atteinte à la vie privée sanctionnée par l’article 9 du code civil, selon lequel « Chacun a droit au respect de sa vie privée » et les juges peuvent « prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée » (article 9 du code civil). Lorsque l’affichage vise nommément une personne avec des mentions dévalorisantes, le terrain pénal de l’article 226-1 du code pénal peut également se rencontrer, ce texte punissant d’« un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui », notamment en fixant ou en transmettant « sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé » (article 226-1 du code pénal).
Les courriels groupés forment le deuxième cas fréquent. Adresser une information collective à tous les copropriétaires en laissant chaque adresse électronique visible de tous les destinataires, c’est communiquer à chacun les données personnelles des autres. Si l’article 32 du décret de 1967 prévoit que la liste mentionne l’adresse électronique du copropriétaire, cette inscription administrative n’autorise pas pour autant sa diffusion : tout envoi collectif doit respecter les principes du RGPD. En pratique, les envois collectifs doivent passer par des destinataires en copie invisible ou par un espace sécurisé en ligne, et la rediffusion par un membre du conseil syndical d’informations reçues dans le cadre de son mandat, au-delà du nécessaire, engage sa propre responsabilité. La CNIL le formule sans détour : les membres du conseil syndical ne doivent communiquer d’informations obtenues dans leurs missions à d’autres copropriétaires que si cela s’avère nécessaire.
La prospection commerciale du syndic constitue le troisième débordement. Quand le syndic exerce aussi une activité d’achat, de vente ou d’administration de biens, la tentation existe d’utiliser le fichier de la copropriété pour proposer ses autres services. La CNIL s’y oppose : la finalité de prospection n’est pas compatible avec la finalité initiale de gestion administrative et financière, et la prospection par voie électronique nécessite le consentement des copropriétaires. Vos coordonnées collectées pour recevoir vos appels de charges ne peuvent donc pas servir à vous adresser des offres commerciales sans votre accord préalable, et toute opposition de votre part doit être respectée.
Les caméras dont les images sont ouvertes à tout l’immeuble forment le quatrième cas. Quand l’assemblée générale vote l’installation d’une caméra de vidéoprotection dans le hall pour la sécurité des personnes et des biens, les images enregistrées ne peuvent pas être rendues accessibles à l’ensemble des habitants : seules les personnes compétentes désignées, par exemple le syndic ou des membres du conseil syndical, peuvent les consulter, et uniquement en cas de nécessité, notamment après un incident ou un dépôt de plainte. Pour les caméras installées par un copropriétaire ou un voisin qui filment les parties communes ou la propriété d’autrui, le juge des référés ordonne la suppression dès lors que le contrôle de proportionnalité fait pencher la balance vers l’atteinte à la vie privée : le tribunal judiciaire de Marseille, le 17 janvier 2025, a ainsi condamné des voisins à retirer six caméras à vue plongeante sur la propriété de la demanderesse et sur les parties communes, retenant que le passage de deux à six appareils ne se justifiait par aucune nécessité de sécurité (RG 23/00982). Si votre copropriété est concernée par un dispositif de caméras, les règles pour contester une caméra installée dans les parties communes s’appliquent en complément de ce qui suit.
Enfin, les transmissions à des tiers extérieurs obéissent à une règle simple rappelée par la CNIL : l’obligation de confidentialité du syndic ne peut être levée que dans trois situations, lorsqu’une loi ou un règlement l’oblige ou l’autorise à communiquer, lorsque les personnes concernées donnent leur accord, ou dans le cadre d’une procédure pour l’exercice de leur défense en matière judiciaire ou disciplinaire. Hors de ces cas, un organisme tiers, une association d’usagers ou un prestataire ne peut pas obtenir du syndic les données des copropriétaires. Le principe posé par l’article 1er de la loi n° 78-17 du 6 janvier 1978 donne le cap d’ensemble : « L’informatique doit être au service de chaque citoyen », et « Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques » (loi n° 78-17 du 6 janvier 1978).
II. Vos recours quand la diffusion a déjà eu lieu
A. Agir vite et utile : constater, mettre en demeure, exercer vos droits et saisir la CNIL
La première heure compte, parce que la preuve d’une diffusion s’efface vite : une affiche se décolle, un courriel se supprime, un extranet se corrige. Faites établir un constat par huissier de justice de l’affichage dans le hall, conservez l’enveloppe de convocation avec son contenu et la date de réception, sauvegardez le courriel groupé avec ses en-têtes et la liste des destinataires visibles, photographiez l’écran de l’extranet où vos données restent accessibles. Dans l’affaire jugée à Aix-en-Provence, les demandeurs avaient produit un procès-verbal de constat d’huissier du 5 août 2022, leurs plaintes pénale et CNIL, et des attestations : c’est cet ensemble qui a permis au tribunal de caractériser la faute et le préjudice. Adressez ensuite au syndic une mise en demeure par lettre recommandée avec accusé de réception : retrait immédiat de l’affichage, suppression du fichier diffusé, effacement de vos données des espaces accessibles aux tiers, et engagement de ne pas renouveler la diffusion. Ce courrier servira de point de départ des délais et de preuve de la persistance du manquement si le syndic ne réagit pas.
Exercez parallèlement vos droits auprès du syndic en tant que responsable de traitement. Le droit d’accès vous permet d’obtenir la confirmation que des données vous concernant sont traitées et d’en recevoir copie ; le droit d’effacement, prévu à l’article 17 du RGPD, vous permet d’obtenir du responsable l’effacement de vos données dans les meilleurs délais, notamment lorsqu’elles ont fait l’objet d’un traitement illicite (règlement (UE) 2016/679, article 17). Le droit d’opposition vous permet de vous opposer à un usage de vos données, par exemple la prospection commerciale ou une diffusion non nécessaire. Le syndic doit vous répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, ce délai pouvant être prolongé de deux mois pour les demandes complexes, à condition de vous en informer dans le premier mois (règlement (UE) 2016/679, article 12, paragraphe 3). Toute absence de réponse ou réponse dilatoire dans ce délai constitue déjà un manquement que la CNIL pourra relever.
La plainte auprès de la CNIL forme l’étape suivante. Elle s’effectue en ligne sur le site de l’autorité, après avoir exercé vos droits auprès du syndic : joignez la mise en demeure, la preuve de la diffusion, la réponse du syndic ou la preuve de son silence, et l’inventaire précis des données concernées, en distinguant les données courantes, comme l’état civil et le domicile, des données sensibles, comme la santé, qui bénéficient d’une protection renforcée. La CNIL peut mettre en demeure le syndic, prononcer des sanctions, et ses constatations pèseront ensuite devant le juge judiciaire : dans le jugement d’Aix-en-Provence, le tribunal relève que l’absence de mesures techniques et organisationnelles pour limiter l’accès des tiers constituait une faute, point que la plainte CNIL des demandeurs avait documenté. Pour comprendre le rôle de chaque acteur avant d’écrire, le site du service public décrit les missions du syndic de copropriété, et l’analyse publiée par Village de la justice sur le rappel de la CNIL détaille les transmissions autorisées entre syndic, conseil syndical et copropriétaires.
B. Obtenir du juge la cessation, l’effacement et la réparation
Le juge judiciaire peut être saisi en référé pour faire cesser rapidement l’atteinte. Sur le fondement de l’article 9 du code civil, et par la voie du référé qui permet de prescrire les mesures conservatoires ou de remise en état qui s’imposent pour prévenir un dommage imminent (article 835 du code de procédure civile), le juge peut ordonner le retrait de l’affichage, la suppression des caméras ou la désactivation de l’accès litigieux, sous astreinte, et allouer une provision sur le préjudice. L’urgence se caractérise sans peine quand la diffusion est en cours : chaque jour d’affichage dans le hall ou de maintien en ligne aggrave l’atteinte. Le référé de Marseille du 17 janvier 2025 l’illustre pour les caméras, avec une suppression ordonnée sous astreinte et 5 000 euros au titre de l’article 700 du code de procédure civile pour la demanderesse, plus 1 200 euros pour le syndicat des copropriétaires intervenant.
Au fond, l’action en responsabilité repose sur deux fondements complémentaires. D’une part, l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). D’autre part, l’article 82 du RGPD, qui ouvre directement le droit à réparation : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant, le responsable ne pouvant s’exonérer qu’en prouvant que le fait dommageable ne lui est nullement imputable (règlement (UE) 2016/679, article 82). Le jugement d’Aix-en-Provence articule les deux : la diffusion non consentie, sans finalité légitime, constitue une faute, et cette faute a nécessairement causé aux époux un préjudice moral fait de tracas, d’animosité au sein de la résidence et d’anxiété médicalement constatée, justifiant 1 000 euros de dommages et intérêts pour chacun des deux époux. Le tribunal écarte en revanche toute indemnisation propre aux enfants en bas âge, faute de préjudice moral spécifique établi à leur égard : la réparation suit le préjudice prouvé de chaque personne, pas une somme automatique par membre du foyer.
Outre les dommages et intérêts, le juge ordonne les mesures qui remettent les données à leur place. L’effacement d’abord : à Aix-en-Provence, le syndic a été condamné à effacer de l’ensemble de ses fichiers, dans les deux mois de la signification, toutes les données de santé de la famille ainsi que les noms des médecins et des témoins, sous astreinte provisoire de 50 euros par jour de retard pendant trois mois. La notification ensuite : l’article 19 du RGPD prévoit que le responsable notifie à chaque destinataire des données toute rectification, tout effacement ou toute limitation du traitement, et le tribunal a condamné le syndic à notifier par tous moyens à l’ensemble des copropriétaires destinataires l’effacement des données, dans le même délai de deux mois et sous la même astreinte (règlement (UE) 2016/679, article 19). S’y ajoutent les dépens, 1 500 euros au titre de l’article 700 du code de procédure civile et l’exécution provisoire de plein droit. Retenez la méthode : demander au juge, dans le même acte, la cessation sous astreinte, l’effacement avec périmètre précis, la notification aux destinataires et la réparation chiffrée et justifiée par pièces, certificats médicaux et attestations à l’appui.
Deux précisions ferment le tableau. D’abord, la voie pénale reste ouverte pour les diffusions les plus graves : outre la plainte simple, les faits de captation ou de transmission d’images ou de paroles privées sans consentement relèvent de l’article 226-1 du code pénal, et le dépôt de plainte, comme l’ont fait les demandeurs aixois dès le 27 mai 2022, fige la chronologie. Ensuite, les délais de prescription et de conservation doivent être surveillés : conservez vos preuves pendant toute la durée des procédures, parallèlement devant la CNIL et devant le juge, car l’une n’interrompt pas les délais de l’autre. Une diffusion par le syndic n’est jamais une fatalité de la vie collective : informer la copropriété de l’existence d’un litige est permis, livrer votre vie privée à l’immeuble ne l’est pas, et le juge sait faire la différence.
Conclusion
Le syndic tient la liste des copropriétaires, transmet les documents au conseil syndical et informe l’assemblée des procédures qui concernent l’immeuble, mais chacune de ces missions s’arrête où commence votre vie privée : la diffusion doit rester limitée à sa finalité, proportionnée à son objet et fondée sur le consentement, le contrat ou la loi. Affichage des impayés dans le hall, pièces judiciaires versées en annexe d’une convocation, adresses électroniques exposées dans un courriel groupé, fichier détourné à des fins commerciales, images de vidéoprotection ouvertes à tout l’immeuble : tous ces gestes ont en commun de communiquer à des tiers des données qu’ils n’avaient pas à recevoir, et le tribunal judiciaire d’Aix-en-Provence a montré, le 5 août 2025, que cette faute se paie en effacement sous astreinte, en notification aux destinataires et en dommages et intérêts. Face à une diffusion, la conduite utile tient en quatre réflexes : constater par huissier, mettre en demeure par écrit, exercer vos droits d’accès, d’effacement et d’opposition dans le délai d’un mois, puis saisir la CNIL et le juge avec un dossier chiffré et documenté. La vie collective mérite l’information, pas l’exposition.