Vous avez repéré un appartement, l’agence vous plaît, la visite est prévue demain. Puis le courriel arrive : avant toute visite, transmettez votre dossier complet, avec vos trois derniers relevés de compte bancaire, une copie de votre carte Vitale, un extrait de casier judiciaire et, pour faire bonne mesure, votre livret de famille. Vous tenez à ce logement, le marché est tendu, et vous hésitez à envoyer des documents qui racontent votre santé, vos dépenses et votre vie de famille à un inconnu. Cette hésitation est fondée : la loi interdit à l’agence et au bailleur d’exiger ces pièces, et le droit des données personnelles vous donne des moyens concrets de refuser, de faire détruire ce que vous avez déjà transmis, de saisir la CNIL et de demander réparation au juge.
La situation la plus courante se joue en deux temps. Au stade de la simple visite, on vous réclame déjà des justificatifs financiers détaillés. Au stade du dossier, on ajoute des pièces qui n’ont aucun lien avec votre capacité à payer le loyer. Dans les deux cas, le réflexe à adopter est le même : vérifier si le document figure sur la liste fermée fixée par le décret, et s’il n’y figure pas, le refuser par écrit tout en gardant la preuve de l’exigence abusive. Cet article explique d’abord ce que l’agence peut légalement demander et ce qu’elle ne peut jamais exiger, puis comment contester pas à pas, de la lettre de refus jusqu’à la plainte devant la CNIL et l’action en réparation devant le tribunal.
I. Ce que l’agence peut exiger pour votre dossier, et rien de plus
A. Une liste fermée : identité, domicile, activité professionnelle et ressources
Le point de départ est une règle simple, posée par l’article 22-2 de la loi du 6 juillet 1989 : « La liste des pièces justificatives pouvant être exigées du candidat à la location ou de sa caution par le bailleur, préalablement à l’établissement du contrat de location, est définie par décret en Conseil d’Etat ». Le texte applicable est le décret du 5 novembre 2015, dont les annexes énumèrent limitativement les documents autorisés. Tout ce qui n’y figure pas ne peut pas être exigé, ni par le bailleur ni par l’agence qui agit pour son compte.
Pour l’identité, le décret prévoit « Une pièce justificative d’identité en cours de validité, comportant la photographie du titulaire parmi les documents suivants : 1. Carte nationale d’identité française ou étrangère. 2. Passeport français ou étranger. 3. Permis de conduire français ou étranger. » S’y ajoute, pour le candidat étranger, le document justifiant du droit au séjour, notamment la carte de séjour temporaire ou la carte de résident. Une seule pièce de cette catégorie suffit : on ne peut pas vous demander à la fois la carte d’identité et le passeport.
Pour le domicile, le décret n’autorise qu’« Une seule pièce justificative de domicile parmi les documents suivants », par exemple les trois dernières quittances de loyer ou, à défaut, l’attestation du précédent bailleur, l’attestation sur l’honneur de l’hébergeant, ou le dernier avis de taxe foncière. Pour l’activité professionnelle, un ou plusieurs documents parmi une liste qui couvre le contrat de travail ou de stage, l’extrait K ou K bis de moins de trois mois, la carte d’étudiant ou le certificat de scolarité. Pour les ressources, le décret cite notamment « Le dernier ou avant-dernier avis d’imposition ou de non-imposition », les « Trois derniers bulletins de salaires », les justificatifs de versement des indemnités, retraites, pensions et prestations sociales des trois derniers mois, ou encore le titre de propriété et le dernier avis de taxe foncière. Le même article 22-2 ajoute une protection souvent ignorée des candidats : « En préalable à l’établissement du contrat de location, le bailleur ne peut imposer la cosignature d’un ascendant ou d’un descendant du candidat à la location ». Si l’agence vous impose votre père ou votre fille comme garant, elle sort du cadre légal, même si votre dossier financier est solide. Pour la caution personne physique, le décret exige la même pièce d’identité avec photographie, avec ses propres justificatifs de domicile, d’activité et de ressources : la caution ne peut pas non plus se voir réclamer un relevé bancaire ou une carte Vitale.
Deux conséquences pratiques découlent de cette liste fermée. D’abord, la charge de la preuve est inversée dans les faits : ce n’est pas à vous de justifier pourquoi vous refusez un document, c’est à l’agence de montrer où ce document figure dans le décret. Ensuite, toute exigence hors liste expose son auteur à une sanction administrative. Le même article 22-2 prévoit que « Les manquements au présent article sont punis d’une amende administrative, prononcée par le représentant de l’Etat dans le département, dont le montant ne peut être supérieur à 3 000 € pour une personne physique et à 15 000 € pour une personne morale. » Cette amende prononcée par le préfet existe indépendamment de l’action devant la CNIL et de l’action en réparation : trois voies distinctes peuvent donc être mobilisées à partir des mêmes faits.
B. Les documents interdits et le principe de minimisation des données
La CNIL le dit sans détour : « la copie du livret de famille », « la carte Vitale », les relevés de compte bancaire, « un jugement de divorce » ou encore « un extrait de casier judiciaire » : la liste donnée par la Commission est explicite. Elle rappelle aussi la sanction : exiger un justificatif non autorisé expose le bailleur ou l’agence à une amende administrative de 3 000 euros, portée à 15 000 euros pour une personne morale. Chacun de ces documents interdits raconte quelque chose que le bailleur n’a pas à connaître : la carte Vitale révèle la santé, le relevé bancaire expose les habitudes de consommation et les dons, le casier judiciaire concerne la répression, le livret de famille et le jugement de divorce relèvent de la vie familiale. C’est précisément pour cela que le régime des pièces d’identité obéit à la même logique : même une simple photocopie de carte d’identité ne peut être conservée sans limite ni utilisée hors de son objet.
Le référentiel de la CNIL consacré à la gestion locative va plus loin et donne la grille que les professionnels sont censés appliquer. Son point 26 écarte les « documents bancaires », dont la « copie de relevé de compte bancaire », ainsi qu’« une carte d’assuré social », « un extrait de casier judiciaire », « un dossier médical » ou « un contrat de mariage », jugés en principe non pertinents pour apprécier la solvabilité. Le point 28 tire la conséquence qui vous intéresse directement : le point 28 impose à l’organisme la « suppression ou au renvoi des pièces superflues » adressées par un candidat allé trop loin. Autrement dit, si vous avez déjà envoyé votre relevé bancaire sous la pression, l’agence ne peut pas le garder dans un tiroir « au cas où » : elle doit le supprimer ou vous le renvoyer.
Cette exigence découle du règlement général sur la protection des données, dont l’article 5 impose, comme le rappelle la décision du Conseil d’État rendue sur une sanction de la CNIL, que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». La finalité ici est l’appréciation de votre solvabilité, pas l’inventaire de votre vie. Le même article 5 ajoute la limitation de la conservation : les données doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées […] (limitation de la conservation) ». La CNIL en déduit des durées concrètes dans son référentiel : « trois (3) mois en base active » pour les données de solvabilité des candidats, tandis que les simples coordonnées de prospection peuvent être gardées « à compter du dernier contact » pour les simples coordonnées de prospection. Un dossier de candidat écarté conservé pendant des années, réutilisé pour d’autres biens ou transmis au propriétaire sans filtre, viole donc à la fois la liste fermée du décret et le RGPD.
Reste la question du moment : peut-on vous réclamer le dossier complet avant même la visite ? La CNIL distingue la phase de recherche, où seules vos coordonnées et vos critères suffisent, de l’appréciation de la solvabilité, qui suppose que vous ayez vu le bien et décidé de candidater. Conditionner la visite à l’envoi des bulletins de paie et de l’avis d’imposition collecte des données qui ne sont pas encore nécessaires. Le décret du 5 novembre 2015 ne prévoit aucune dérogation pour les marchés tendus : même à Paris, l’agence ne peut ajouter une pièce à la liste. En pratique, donnez votre nom et un moyen de contact pour obtenir la visite, et réservez les justificatifs financiers au dépôt de candidature. Si l’agence refuse la visite sans dossier financier complet, notez ce refus par écrit : il caractérise une collecte excessive dès le premier stade et nourrira votre contestation.
II. Contester l’exigence abusive, faire détruire vos documents et obtenir réparation
A. Refuser par écrit, exiger l’accès et l’effacement de votre dossier
Le refus oral ne suffit jamais : seule une trace écrite vous permettra ensuite de saisir la CNIL ou le juge. Envoyez à l’agence, de préférence par courriel avec accusé de réception ou par lettre recommandée, un message en trois points. D’abord, refusez le document hors liste en citant le décret : indiquez que le relevé bancaire, la carte Vitale, le casier judiciaire ou le livret de famille ne figurent pas parmi les pièces autorisées et que vous fournissez à la place les pièces prévues, par exemple l’avis d’imposition et les trois derniers bulletins de salaire. Ensuite, si vous avez déjà transmis une pièce abusive, exigez sa suppression immédiate ainsi que celle de toute copie, en vous appuyant sur le point 28 du référentiel CNIL qui impose à l’organisme de supprimer ou renvoyer les pièces superflues. Enfin, demandez la liste exacte des données conservées sur vous, leurs destinataires et leur durée de conservation.
Ce troisième point mobilise vos droits d’accès et d’effacement. Le règlement européen prévoit à son article 12 que le responsable du traitement vous informe de façon « concise, transparente, compréhensible et aisément accessible ». L’article 15 vous donne « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel », selon la formule reprise par le tribunal judiciaire de Rennes. Concrètement, l’agence doit vous répondre dans un délai d’un mois et vous dire si elle détient votre relevé bancaire, à qui elle l’a transmis, notamment au bailleur, et combien de temps elle compte le garder. L’article 17 ajoute le droit à l’effacement : « le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais », rappelé par la Cour de cassation, en particulier lorsque « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ». Un relevé bancaire exigé pour un bien déjà attribué à un autre candidat n’est plus nécessaire à aucune finalité : son effacement s’impose.
Vous pouvez également vous opposer à tout usage commercial de vos coordonnées. L’article 21 du règlement dispose, selon la formule reprise par la cour d’appel de Paris, que le candidat dispose du « droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière », y compris contre un traitement fondé sur l’intérêt légitime de l’agence. Si l’agence conserve votre dossier pour vous proposer d’autres biens alors que vous n’avez rien demandé, exercez cette opposition par écrit et exigez la suppression. Conservez chaque envoi, chaque réponse et chaque relance : captures du portail de candidature, courriels exigeant les pièces, accusés de réception. Sans ces preuves, votre contestation restera une affirmation contre une dénégation.
Un exemple jugé à Paris montre ce qui attend les demandes mal documentées ou trop tardives. Dans un jugement du 13 février 2025, le tribunal judiciaire de Paris a statué sur un homme qui réclamait l’accès à des données collectées lors d’un stage effectué de septembre 2002 à février 2003, soit plus de vingt ans auparavant. Le tribunal a relevé que la société « indique ne plus détenir de données », qu’« il n’est versé aux débats aucun élément de preuve rendant plausible que la société […] conserverait de telles données », et a donc « DÉBOUTE » le demandeur « de l’ensemble de ses demandes » (jugement RG 21/07085). La leçon vaut pour votre dossier de location : agissez dans les semaines qui suivent l’exigence abusive, pendant que les pièces existent encore dans les systèmes de l’agence, et constituez dès le départ un dossier de preuves daté. Attendre des années, c’est laisser l’agence répondre qu’elle ne détient plus rien, sans que le juge puisse vérifier. Le même jugement parisien rappelle que l’article 82 n’indemnise que le demandeur qui démontre un préjudice certain en lien causal avec une violation prouvée, pièces à l’appui.
B. Saisir la CNIL, le préfet et le tribunal pour sanctionner et être indemnisé
Si l’agence maintient son exigence ou garde vos pièces malgré votre demande d’effacement, la plainte devant la CNIL devient l’étape suivante. L’article 77 du règlement ouvre à toute personne le droit d’adresser une « réclamation auprès d’une autorité de contrôle » si elle estime que le traitement de ses données viole le règlement. En France, cette autorité est la CNIL, saisie en ligne après une première démarche restée sans réponse auprès de l’organisme. Joignez à votre plainte la demande de pièces de l’agence, votre refus écrit, votre demande d’effacement et l’absence de réponse ou le refus : la CNIL instruit d’autant plus vite que le dossier est complet. Ses pouvoirs vont de la mise en demeure à la sanction pécuniaire. La décision du Conseil d’État rappelle que la formation restreinte peut prononcer une amende « ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent », plafonds « portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires » pour les manquements les plus graves. L’article 83 du règlement prévoit pour les violations des principes de base et des droits des personnes des « amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent ».
Que ces montants européens s’appliquent aussi aux manquements constatés en France, le Conseil d’État l’a confirmé dans une affaire très parlante pour votre sujet. Par une décision du 6 décembre 2023, il a validé une amende de 175 000 euros prononcée par la CNIL contre une société de location de véhicules, « à raison de plusieurs manquements au RGPD, et notamment, au principe dit de minimisation des données et aux règles relatives à leur conservation », puis a tranché : « La requête de la société Ubeeqo International est rejetée. » La société géolocalisait ses véhicules et conservait les données bien au-delà du nécessaire ; le juge administratif a jugé la sanction proportionnée. Une agence qui exige systématiquement des relevés bancaires et des cartes Vitale à chaque candidat, puis conserve ces dossiers sans limite, s’expose au même raisonnement : collecte excessive et conservation excessive, les deux manquements sanctionnés dans cette affaire.
En parallèle, deux autres voies existent et peuvent se cumuler. D’abord le signalement au préfet, puisque l’article 22-2 de la loi de 1989 punit l’exigence de pièces hors liste d’une amende administrative de 3 000 euros pour une personne physique et 15 000 euros pour une personne morale. Ensuite l’action devant le tribunal judiciaire pour obtenir réparation. L’article 79 du règlement garantit à chacun le « droit à un recours juridictionnel effectif », et l’article 82 ajoute que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », comme le rappelle le tribunal judiciaire de Paris. Le préjudice moral se prouve par l’atteinte à la vie privée : exposition de vos dépenses bancaires, de votre santé ou de votre situation familiale à une agence puis à un bailleur inconnus, stress d’une candidature conditionnée à l’envoi de pièces intimes, perte de chance d’obtenir le logement après un refus discriminatoire fondé sur des informations que l’agence n’aurait jamais dû détenir. Chiffrez ce préjudice avec des éléments concrets : attestations, échanges écrits, preuve que le bien a été attribué après votre refus de transmettre la pièce interdite.
Attention enfin à ne pas confondre les terrains. Si l’agence refuse votre dossier en raison de votre origine, de votre nom ou de votre situation familiale révélée par les pièces abusives, la discrimination s’ajoute à la violation des données et relève aussi du Défenseur des droits et du juge pénal. Si le litige porte uniquement sur le montant du loyer ou l’état du logement, le juge des contentieux de la protection reste compétent mais le RGPD n’y change rien. Et si votre différend concerne votre réputation en ligne ou une marque, il ne s’agit plus de protection des données : chaque régime a ses règles et ses preuves. Pour votre dossier de location, restez sur le triptyque qui fonctionne : la liste fermée du décret, la minimisation du RGPD et des preuves écrites datées. Gardez une copie de chaque pièce envoyée, notez les dates de vos demandes et des réponses de l’agence, et ne transmettez jamais un document sensible par messagerie non sécurisée. Un dossier locatif bien tenu vaut autant devant la CNIL que devant le tribunal : il transforme votre parole en démonstration.
En résumé, un dossier de location se limite à l’identité, au domicile, à l’activité et aux ressources listés par le décret de 2015. Le relevé bancaire, la carte Vitale, le casier judiciaire, le livret de famille, le contrat de mariage et le jugement de divorce n’ont rien à y faire, et l’agence doit détruire ce que vous lui avez transmis par erreur. Refusez par écrit, exigez l’accès et l’effacement dans le mois, puis saisissez la CNIL et le tribunal si l’organisme persiste. Les sanctions existent, le Conseil d’État les confirme, et le juge judiciaire indemnise le préjudice moral dès lors qu’il est prouvé. Dans un marché tendu, connaître cette liste fermée, c’est reprendre la main : vous candidatez avec un dossier solide et légal, et c’est l’agence, pas vous, qui doit justifier ses exigences.
Besoin d’un avis rapide sur votre dossier
Votre agence ou votre bailleur exige un relevé bancaire, votre carte Vitale ou votre casier judiciaire pour un dossier de location, ou conserve vos pièces après un refus. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la réponse à apporter, pièce par pièce.
Consultation téléphonique : 80 EUR TTC. Joignez le cabinet au 06 46 60 58 22 ou écrivez via la page contact du cabinet en joignant la demande de pièces et vos échanges avec l’agence.