Votre candidature pour un logement vient d’être écartée, ou elle est restée sans réponse, et pourtant l’agence conserve l’intégralité de votre dossier : pièce d’identité, bulletins de salaire, avis d’imposition, justificatifs de domicile, parfois même des documents que vous aviez fournis en trop. Des mois plus tard, vos données circulent encore dans ses fichiers, sont transmises au bailleur ou resservent à alimenter ses listes de prospects. Cette situation est fréquente sur un marché locatif tendu, où chaque annonce attire des dizaines de dossiers. Elle est pourtant strictement encadrée : la conservation de vos pièces après un refus obéit à des durées précises, et le candidat évincé dispose de leviers concrets pour exiger la restitution et la suppression de ses données, saisir la Commission nationale de l’informatique et des libertés (CNIL) et obtenir réparation devant le juge.
L’actualité récente donne à ce réflexe un poids particulier. Le 21 juillet 2026, la formation restreinte de la CNIL a prononcé une amende de 300 000 euros contre une société qui avait laissé sans suite des centaines de demandes d’effacement émanant majoritairement de candidats, comme le relate le communiqué de la CNIL publié le 9 septembre 2026. La décision rappelle que le droit à l’effacement n’est pas une formule de politesse : l’organisme doit traiter la demande et informer la personne du sort réservé à ses données dans le délai légal d’un mois. Ce qui vaut pour des candidats à un emploi vaut pour des candidats à un logement, avec des durées de conservation que la CNIL a chiffrées dans son référentiel de gestion locative du 6 mai 2021.
Cet article distingue les rôles avec précision : le candidat à la location est la personne concernée ; l’agence immobilière et le bailleur, selon la répartition prévue au mandat de gestion, sont responsables du traitement, seuls ou conjointement ; le logiciel de gestion locative ou la plateforme de dépôt agit comme sous-traitant ; le propriétaire bailleur qui reçoit des dossiers est destinataire. Le contrat en cause est le bail d’habitation envisagé, qui n’a jamais été signé, ce qui change tout : une fois la finalité de sélection éteinte, la plupart des données n’ont plus de raison d’être conservées. Sont exclus de ce propos la réputation en ligne, la diffamation et la propriété intellectuelle, qui relèvent d’autres régimes.
I. Après un refus, l’agence ne peut pas tout garder : durées, pièces superflues et destinataires
A. Trois durées couperets : trois ans de prospection, trois mois pour les candidats écartés, durée du bail pour le candidat retenu
Le règlement général sur la protection des données (RGPD) pose le principe : vos données ne doivent pas être gardées plus longtemps que nécessaire à la finalité qui justifiait leur collecte. La finalité qui justifiait la collecte de votre dossier — apprécier votre solvabilité pour un logement précis — disparaît avec le refus ou l’abandon de votre candidature. La CNIL a traduit ce principe en chiffres dans son référentiel relatif à la gestion locative : pour les données collectées au stade de l’appréciation de la solvabilité des candidats à la location, une conservation de trois mois en base active est en principe adéquate. Passé ce délai, le dossier du candidat non retenu doit sortir de la base active : suppression, ou à tout le moins anonymisation irréversible, et information de la personne.
Deux autres durées du même référentiel méritent d’être connues pour situer votre cas. Les données collectées avant toute candidature, à des fins de prospection — identité, coordonnées, critères de recherche — peuvent être conservées trois ans à compter du dernier contact avec l’organisme. Autrement dit, si vous aviez seulement laissé vos coordonnées pour être alerté des biens disponibles, l’agence peut les garder trois ans après votre dernier échange, sauf opposition de votre part. À l’inverse, pour le candidat retenu devenu locataire, la durée adéquate en base active court pendant toute la durée contractuelle jusqu’à la clôture des comptes, suivie d’un archivage intermédiaire de trois ans en gestion directe, délai de prescription des actions en matière de baux, ou de cinq ans en gestion déléguée, délai de prescription civile. Ces chiffres montrent la logique d’ensemble : chaque durée colle à une finalité et à une prescription, jamais à une conservation par défaut. Retenez aussi la distinction entre base active et archivage intermédiaire : passé trois mois, vos pièces ne doivent plus être accessibles aux négociateurs ni servir à une nouvelle sélection. Seul un archivage verrouillé, justifié par un contentieux en cours ou une obligation légale précise, peut subsister, dans la limite des prescriptions de trois ou cinq ans. Une agence qui continue d’exploiter votre dossier « au cas où » après le refus méconnaît à la fois la durée et la finalité. Si elle vous oppose que vos pièces restent nécessaires à sa défense en cas de litige sur la sélection, exigez la preuve d’un contentieux individualisé et en cours : seul un tel litige justifie un archivage verrouillé, jamais une conservation systématique par précaution.
Concrètement, si votre candidature a été refusée en juin, vos bulletins de salaire et votre avis d’imposition n’ont plus à figurer dans les fichiers actifs de l’agence en octobre. Si l’agence vous oppose un motif vague — amélioration du service, preuve en cas de litige futur, constitution d’un vivier — ce motif doit être confronté au principe de minimisation : les données doivent rester limitées à ce qui est nécessaire au regard des finalités, selon le principe de « minimisation des données ». Un vivier de candidats au logement n’est pas une finalité qui autorise la conservation de pièces de solvabilité détaillées. Seules des coordonnées de prospection, avec une information claire et un droit d’opposition effectif, peuvent subsister dans la limite des trois ans.
B. Pièces superflues à renvoyer, diffusion au bailleur limitée aux présélectionnés et sécurité du dossier
Beaucoup de candidats joignent spontanément plus que le nécessaire : relevés de compte complets, carte Vitale, livret de famille, contrat de mariage, extrait de casier judiciaire. La page de la CNIL consacrée aux justificatifs de location est explicite : les agences comme les propriétaires ne peuvent pas demander la copie du livret de famille, la carte Vitale, les relevés de compte bancaire, un contrat de mariage ou un jugement de divorce, ni un extrait de casier judiciaire. Pour la liste complète des pièces autorisées et interdites et le cas particulier de la caution, lisez notre dossier consacré aux documents interdits, au garant et aux recours immédiats : le présent article traite uniquement du sort de votre dossier après un refus ou une absence de réponse. Le référentiel ajoute l’obligation qui en découle : lorsque le candidat transmet des pièces allant au-delà de ce que prévoit la réglementation, l’organisme doit procéder à la suppression ou au renvoi des pièces superflues. Autrement dit, l’agence ne peut pas prétexter que c’est vous qui les avez envoyées pour les garder : elle doit les détruire ou vous les retourner.
Cette liste fermée vient du décret n° 2015-1437 du 5 novembre 2015, dont le détail pour les candidats figure à l’annexe 1, pris en application de l’article 22-2 de la loi n° 89-462 du 6 juillet 1989, selon lequel « La liste des pièces justificatives pouvant être exigées du candidat à la location ou de sa caution par le bailleur, préalablement à l’établissement du contrat de location, est définie par décret en Conseil d’Etat ». Le même article punit les manquements d’une « amende administrative, prononcée par le représentant de l’Etat dans le département, dont le montant ne peut être supérieur à 3 000 € pour une personne physique et à 15 000 € pour une personne morale », proportionnée à la gravité des faits et prononcée dans l’année de leur constatation, selon la procédure de l’article 1-1 du décret : information sur les faits reprochés et le montant envisagé, deux mois pour présenter des observations, puis titre de perception recouvré comme une créance publique. Le candidat écarté peut donc signaler au préfet l’exigence de pièces interdites, en parallèle de ses démarches de protection des données : les deux voies se cumulent.
Un point méconnu concerne la circulation de votre dossier entre l’agence et le propriétaire. Le référentiel précise que si le mandat de gestion prévoit que le choix du locataire revient au professionnel, le propriétaire ne devrait en principe pas recevoir l’ensemble des dossiers des candidats : il peut seulement obtenir communication des dossiers présélectionnés pour effectuer le choix final. Si votre dossier complet — avec avis d’imposition et bulletins de salaire — a été transmis au bailleur alors que vous n’étiez pas présélectionné, ou diffusé à des tiers comme un assureur loyers impayés ou un prestataire de notation sans information préalable, cette diffusion excède la finalité initiale et peut fonder à elle seule une demande d’effacement et une plainte. La même vigilance vaut pour la caution dont la garantie n’a jamais été mobilisée : ses pièces suivent le sort du dossier du candidat.
La sécurité du dossier conservé engage aussi la responsabilité de l’agence. L’article 32 du RGPD impose au responsable du traitement et au sous-traitant des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque. Des pièces d’identité et des bulletins de salaire conservés dans une boîte mail partagée sans contrôle d’accès, transmis en clair ou laissés accessibles à tout le personnel de l’agence caractérisent un manquement à cette obligation. En cas de fuite — envoi du dossier à un mauvais destinataire, piratage de la messagerie de l’agence, mise en ligne accidentelle — l’agence doit en outre notifier la violation à la CNIL et, lorsque le risque est élevé pour vos droits, vous en informer directement. Pour limiter ces risques en amont, deux téléservices publics méritent d’être utilisés systématiquement : Dossier Facile, qui permet de déposer les seuls justificatifs autorisés dans un dossier vérifié, et le filigrane de documents, qui appose une mention limitant la réutilisation de vos pièces en cas de détournement.
II. Contraindre l’agence à effacer et obtenir réparation : CNIL, préfet et juge
Contre qui diriger vos demandes ? L’agence qui collecte les dossiers, choisit le logiciel et organise la sélection est responsable du traitement. Le bailleur qui lui a confié un mandat de gestion peut être responsable conjointement ou destinataire selon la répartition des rôles : le référentiel invite à vérifier le mandat pour savoir qui décide quoi. Quant au logiciel de gestion locative ou à la plateforme de dépôt, il agit comme sous-traitant : son intervention est régie par un contrat qui le lie au responsable du traitement et définit l’objet et la durée du traitement (article 28 du RGPD). En pratique, adressez votre demande à l’agence et au bailleur ensemble : l’un ne pourra pas se défausser sur l’autre, et le sous-traitant devra exécuter la suppression sur instruction du responsable.
A. La procédure d’effacement pas à pas : demande écrite, délai d’un mois, plainte à la CNIL et leçon de la sanction de septembre 2026
Le traitement de vos données de candidature repose en principe sur l’exécution de mesures précontractuelles prises à votre demande : le RGPD déclare licite le traitement nécessaire à l’exécution du contrat ou de mesures précontractuelles prises à votre demande (article 6, paragraphe 1, point b, du RGPD). Une candidature refusée éteint cette base : sans contrat et sans autre fondement — le consentement, rarement pertinent ici, ou une obligation légale de conservation, inexistante pour un dossier de candidat écarté — la conservation devient illicite. Vous pouvez alors exercer votre « droit à l’effacement » : toute personne peut obtenir l’effacement de ses données dans les meilleurs délais, notamment lorsqu’elles ne sont plus nécessaires à leur finalité ou proviennent d’un traitement illicite (article 17 du RGPD).
Rédigez une demande précise, adressée à l’agence et, si vous l’identifiez, au bailleur : identité, logement visé, date de la candidature, refus ou absence de réponse, liste des pièces à supprimer et à vous restituer, demande d’attestation écrite de suppression, et, à titre conservatoire, opposition à toute diffusion ultérieure. Envoyez-la en recommandé avec accusé de réception ou par courriel avec accusé, en conservant la preuve du dépôt. L’organisme doit vous répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Ce délai d’un mois est un couperet : la sanction prononcée contre la société EXTIA montre qu’informer tardivement, ou pas du tout, constitue un manquement autonome. Dans cette affaire, sur 265 demandes d’effacement reçues en 2024 et émanant majoritairement de candidats, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de façon satisfaisante : 12 demandes n’avaient pas été traitées du tout, 166 personnes n’avaient pas été informées des suites et 27 avaient été informées hors délai. La formation restreinte a jugé que la suppression automatique des données ne dispensait pas d’informer les candidats, et l’antériorité de deux rappels à l’ordre a pesé dans le quantum de 300 000 euros (délibération SAN-2026-010 du 21 juillet 2026, communiquée le 9 septembre 2026).
Avant même de demander l’effacement, vous pouvez exiger l’inventaire : toute personne peut obtenir la confirmation que des données la concernant sont traitées et y accéder (article 15 du RGPD). Cette demande d’accès contraint l’agence à lister ce qu’elle détient sur vous : pièces du dossier, notes internes de solvabilité, historique des transmissions au bailleur. Elle révèle souvent des conservations tues : doublons dans plusieurs boîtes mail, dossiers transmis à un assureur, copies gardées par un négociateur parti avec ses fichiers. Chaque élément inventorié nourrit ensuite la demande d’effacement et, en cas de litige, la preuve du manquement.
Sans réponse complète dans le mois, saisissez la CNIL en ligne en joignant votre demande et la preuve de son envoi. La CNIL peut rappeler l’organisme à ses obligations, le mettre en demeure de se conformer, puis sa formation restreinte peut prononcer un rappel à l’ordre, une injonction de mise en conformité assortie d’une astreinte « dont le montant ne peut excéder 100 000 € par jour de retard », et « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total », plafonds « portés, respectivement, à 20 millions d’euros et 4 % » dans les cas les plus graves (article 20 de la loi n° 78-17 du 6 janvier 1978). Le Conseil d’État contrôle ces sanctions de près : le 26 avril 2022, il a rejeté le recours d’une société condamnée à une amende de 250 000 euros avec injonction de mise en conformité sous astreinte de 500 euros par jour de retard à l’issue d’un délai de trois mois, validant l’articulation entre manquement à l’information des personnes et manquement à la sécurité (Conseil d’État, 10e chambre, 26 avril 2022, n° 449284, dispositif : « La requête de la société Optical Center est rejetée »). En cas d’urgence — si l’agence s’apprête à transmettre votre dossier complet à des tiers ou si vos pièces circulent déjà — le président de la formation restreinte peut prononcer une injonction provisoire assortie d’une astreinte pouvant atteindre 100 000 euros par jour de retard, après procédure contradictoire. Cette mesure cesse au plus tard lorsque la formation restreinte statue au fond : elle offre au candidat un levier rapide, sans attendre l’issue d’une procédure de sanction complète.
Pour une agence qui ignore une demande d’effacement de candidat, la gradation est donc lisible : mise en demeure, injonction sous astreinte, puis amende.
B. Devant le juge : effacement sous astreinte, réparation du préjudice et sanction pénale du détournement
La voie judiciaire complète utilement la plainte à la CNIL : elle seule permet d’obtenir l’effacement sous astreinte et des dommages-intérêts. Le RGPD ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82 du RGPD). Le droit français complète ce fondement : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Le RGPD garantit à chacun un recours juridictionnel effectif lorsqu’il estime que ses droits ont été violés. Saisissez le tribunal judiciaire du lieu de votre domicile ou du siège de l’agence, en référé si l’urgence le justifie — diffusion en cours de votre dossier, risque d’usurpation d’identité — ou au fond pour l’effacement et l’indemnisation : demandez l’effacement des données et la restitution des pièces sous astreinte, la cessation de toute diffusion, et l’indemnisation de vos préjudices — temps perdu, démarches, anxiété liée à la circulation de vos pièces d’identité, risque avéré d’usurpation d’identité si le dossier a fuité, voire perte d’une autre location lorsque la diffusion fautive vous a desservi. Chiffrez chaque poste avec pièces : courriers, constats d’huissier de la présence prolongée de vos données, attestations, échanges avec l’agence.
Le dossier de candidature détourné de sa finalité peut aussi relever du droit pénal. Le fait « de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-18 du code pénal). Une fausse annonce destinée à récolter des dossiers complets, la réutilisation de vos bulletins de salaire à des fins commerciales ou leur revente à des tiers caractérisent ce type de collecte déloyale : conservez l’annonce, les messages et les métadonnées, et déposez plainte. La constitution de partie civile devant le juge pénal permet alors de joindre réparation et sanction dans la même instance.
Prévenir vaut mieux qu’effacer : la CNIL déconseille d’envoyer le moindre document personnel avant d’avoir vérifié la réalité de l’annonce et du bien, tant le risque d’utilisation frauduleuse des pièces est élevé. Méfiez-vous des visites conditionnées à l’envoi préalable d’un dossier complet, des interlocuteurs qui refusent toute visite physique et des demandes de pièces interdites dès le premier contact : ces signaux annoncent souvent une fausse annonce destinée à récolter des dossiers. Transmettez vos pièces par un canal tracé, ne communiquez jamais d’originaux, apposez un filigrane sur les copies sensibles et conservez chaque accusé de dépôt : en cas de litige ultérieur sur la conservation, ces preuves feront la différence entre une affirmation et une démonstration.
Quelques réflexes pratiques ferment le dispositif. Photographiez ou exportez l’annonce et les conditions de dépôt avant qu’elles ne disparaissent, et exigez dès le dépôt la notice d’information de l’agence : identité du responsable du traitement, finalités, durées, destinataires, droits et voie de réclamation. Si vous étiez garant d’un candidat évincé, exercez les mêmes droits pour vos propres pièces : la caution non mobilisée suit le sort du dossier principal. Si l’agence avait exigé des pièces interdites, signalez-le au préfet au titre de l’article 22-2, dont l’amende peut atteindre 15 000 euros pour une personne morale. À Paris et en Île-de-France, où la tension locative multiplie les dépôts de dossiers complets avant même la visite — pratique que la CNIL déconseille en phase de recherche — ces réflexes sont particulièrement utiles : le tribunal judiciaire de Paris connaît régulièrement de ce contentieux, la CNIL siège à Paris et reçoit les plaintes en ligne, et les agences parisiennes, souvent mandataires de bailleurs multiples, doivent pouvoir justifier pour chaque dossier transmis au-delà des présélectionnés la base exacte de cette diffusion. Lorsque le litige touche aussi le bail lui-même — contestation du congé, loyers, état des lieux — notre page dédiée au contentieux du bail d’habitation à Paris présente l’accompagnement du cabinet dans ces litiges locatifs.
Conclusion : un refus doit éteindre le dossier, pas le prolonger
Un refus de candidature éteint la finalité qui justifiait la collecte de vos pièces : passé trois mois en base active, le dossier du candidat non retenu n’a plus sa place dans les fichiers de l’agence, et les pièces superflues doivent être supprimées ou renvoyées sans attendre. La demande d’effacement écrite, la réponse exigible sous un mois, la plainte à la CNIL armée par la sanction de 300 000 euros du 21 juillet 2026, le signalement au préfet pour les pièces interdites et l’action judiciaire en effacement sous astreinte et en réparation forment une chaîne cohérente : chaque étape documente la suivante. Ne laissez pas un dossier refusé devenir un dossier conservé par habitude : exigez sa suppression, faites-la attester, et si l’agence persiste, faites constater et agir.
Besoin d’un avis rapide sur votre dossier
Votre candidature à une location a été refusée et l’agence conserve votre dossier malgré votre demande de suppression ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la stratégie d’effacement, de signalement et de réparation adaptée à votre situation. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page https://kohenavocats.fr/formulaire-de-contact/.