Votre dossier de location est prêt : pièce d’identité, trois bulletins de salaire, dernier avis d’imposition, quittances de loyer. L’agence ou le bailleur vous réclame en plus vos relevés de compte des trois derniers mois, une copie de votre carte Vitale, parfois votre livret de famille ou un extrait de casier judiciaire. Vous craignez de perdre le logement si vous refusez, et de livrer votre vie privée si vous acceptez. La loi tranche ce dilemme : la liste des pièces exigibles est fermée, les documents les plus intrusifs sont interdits, leur conservation est limitée dans le temps, et plusieurs recours permettent de refuser, d’exiger l’effacement et d’obtenir réparation. Ce guide répond point par point : ce que le bailleur et l’agence peuvent exiger et rien d’autre, quels documents refuser et combien de temps vos données peuvent être conservées, comment exiger le retrait et l’effacement, puis comment saisir le préfet, la CNIL et le juge.
I. Une liste fermée : ce que le bailleur et l’agence peuvent exiger, et rien d’autre
A. Quatre familles de pièces, fixées par décret, différentes pour le candidat et pour la caution
Le point de départ est l’article 22-2 de la loi du 6 juillet 1989, dans sa version en vigueur : « La liste des pièces justificatives pouvant être exigées du candidat à la location ou de sa caution par le bailleur, préalablement à l’établissement du contrat de location, est définie par décret en Conseil d’Etat, pris après avis de la Commission nationale de concertation. » Le bailleur, et l’agence qui agit pour son compte, ne puisent donc pas dans une liste indicative : ils appliquent une liste réglementaire, et tout document qui n’y figure pas ne peut pas être exigé. Le décret du 5 novembre 2015 organise cette liste en deux annexes. Son article 1er dispose : « La liste des pièces justificatives, prévue […] pouvant être exigées par le bailleur de chacun des candidats à la location figure en annexe 1. » Puis : « La liste des pièces justificatives, prévue […] pouvant être exigées par le bailleur des cautions du candidat à la location figure en annexe 2. » Candidat et caution relèvent donc de deux listes distinctes, et la caution ne peut pas se voir réclamer les pièces du candidat au-delà de sa propre liste. Le détail figure à l’annexe I du décret, consacrée au candidat et à l’annexe II, consacrée à la caution.
Pour la caution, la liste retient une logique comparable mais resserrée : pièce d’identité en cours de validité avec photographie, justificatif de domicile récent, documents attestant de l’activité professionnelle et justificatifs de ressources propres au garant. Le bailleur ne peut donc pas exiger de votre garant son relevé de compte ou sa carte Vitale, pas plus qu’il ne peut vous imposer un garant au sein de votre famille : la loi du 6 juillet 1989 dispose qu’« En préalable à l’établissement du contrat de location, le bailleur ne peut imposer la cosignature d’un ascendant ou d’un descendant du candidat à la location. » Cette interdiction vise la pratique qui consistait à exiger la signature d’un parent en plus du dossier, y compris quand le candidat présentait déjà des garanties suffisantes. Si l’agence vous réclame à la fois un dossier excédant les listes et la cosignature d’un proche, elle cumule deux manquements distincts au même article, chacun passible de l’amende administrative prévue par l’article 22-2.
L’annexe 1, applicable au candidat, retient quatre familles de pièces. Pour l’identité, une seule pièce en cours de validité comportant la photographie du titulaire : carte d’identité, passeport, permis de conduire, ou document justifiant du droit au séjour pour le candidat étranger. Pour le domicile, un seul justificatif : trois dernières quittances de loyer ou attestation du précédent bailleur, attestation sur l’honneur de l’hébergeant, attestation d’élection de domicile, ou dernier avis de taxe foncière. Pour la situation professionnelle, un ou plusieurs justificatifs selon le statut : contrat de travail ou de stage, extrait K ou K bis de moins de trois mois, carte d’étudiant ou certificat de scolarité, copie de la carte professionnelle pour une profession libérale. Pour les ressources, un ou plusieurs documents : dernier ou avant-dernier avis d’imposition, trois dernières fiches de paie, justificatifs de versement des indemnités, retraites, pensions et prestations des trois derniers mois, titre de propriété ou avis de taxe foncière, attestation de simulation d’aide au logement. La fiche officielle service-public.fr consacrée au futur locataire reprend ces listes et précise que le bailleur encourt une amende pouvant aller jusqu’à 3 000 euros, ou 15 000 euros s’il s’agit d’une personne morale, lorsqu’il réclame un justificatif non autorisé. Trois règles pratiques complètent le dispositif : les pièces produites peuvent être des copies, elles sont rédigées ou traduites en français avec les montants convertis en euros, et les originaux doivent pouvoir être présentés à la demande du bailleur. Présenter un original à la visite ne signifie donc jamais le laisser : la copie suffit au dossier.
La CNIL ajoute une distinction chronologique décisive, exposée sur sa page consacrée à la location d’un bien immobilier. Au stade de la simple recherche, avant toute visite, la collecte de données sur votre situation professionnelle ou financière n’est pas pertinente : l’agence peut seulement demander votre identité, vos coordonnées et vos critères de recherche. C’est après la visite, quand vous devenez candidat et déposez un dossier, que le bailleur devient légitime à demander les pièces du décret. Concrètement, un formulaire en ligne qui exige vos bulletins de salaire avant même la visite, ou une plateforme qui conditionne la prise de rendez-vous à l’envoi de votre avis d’imposition, collecte des données sans finalité légitime à ce stade. Pour limiter les envois dispersés, le téléservice DossierFacile permet de déposer une seule fois les justificatifs autorisés et de transmettre un dossier vérifié aux bailleurs, ce qui réduit les copies en circulation.
B. Les documents interdits, la minimisation et des durées de conservation limitées
La même page de la CNIL énonce les documents qui ne peuvent pas être demandés : la CNIL énumère les documents prohibés : copie du livret de famille, de la carte Vitale, de relevés de compte bancaire, du contrat de mariage ou du jugement de divorce, extrait de casier judiciaire Relevé bancaire, carte Vitale, livret de famille, contrat de mariage, jugement de divorce, casier judiciaire, dossier médical, photographie d’identité hors pièce d’identité : tous ces documents révèlent votre vie familiale, votre santé, vos opinions ou vos antécédents, sans lien nécessaire avec l’appréciation de votre capacité à payer le loyer. Le fondement européen de cette interdiction est le principe de minimisation de l’article 5 du règlement général sur la protection des données : les données doivent être « limitées à ce qui est nécessaire », ce que le règlement nomme la minimisation des données. La finalité légitime du bailleur est d’apprécier la solvabilité du candidat et de sécuriser le contrat, pas de connaître le détail de vos dépenses, votre situation matrimoniale ou votre état de santé. Un relevé de compte qui affiche vos abonnements, vos dons, vos soins ou vos déplacements dépasse manifestement ce qui est nécessaire, alors que les trois bulletins de salaire et l’avis d’imposition suffisent à établir le niveau de ressources.
Le même article 5 limite la conservation : les données doivent être conservées sous une forme identifiante seulement le temps nécessaire à la finalité poursuivie. Le référentiel de la CNIL sur la gestion locative, adopté le 6 mai 2021, traduit cette exigence en durées concrètes : trois ans à compter du dernier échange pour les données de prospection, trois mois en base active pour les données collectées au stade de l’appréciation de la solvabilité des candidats, puis, pour le candidat retenu devenu locataire, la durée du contrat jusqu’à la clôture des comptes, suivie d’un archivage intermédiaire de trois à cinq ans selon le mode de gestion. Un candidat évincé dont le dossier complet dort encore dans les serveurs de l’agence dix-huit mois plus tard, ou une plateforme qui conserve les pièces de tous les visiteurs d’une annonce, méconnaît cette limitation. La sécurité suit la même logique : les données doivent être traitées avec « une sécurité appropriée », à l’aide de mesures techniques et organisationnelles adaptées. Bulletins de salaire, avis d’imposition, pièces d’identité et actes de famille exigent des accès restreints, des mots de passe robustes et une traçabilité, jamais un espace de stockage ouvert.
L’affaire jugée par le Conseil d’État le 4 novembre 2020 montre le prix de ces manquements pour un professionnel de l’immobilier. À la suite d’un signalement révélant un défaut de sécurité, la CNIL avait constaté que de simples modifications de liens URL permettaient à des tiers non autorisés d’accéder « à plusieurs centaines de milliers de documents téléchargés par plusieurs dizaines de milliers de candidats à la location de logement, tels que des bulletins de salaires, des avis d’imposition, des justificatifs d’identité ou des actes de mariage ou de divorce », et que ces données étaient conservées pendant une durée excessive sans archivage intermédiaire. La formation restreinte avait prononcé une amende de 400 000 euros, « représentant moins de 1% de son chiffre d’affaires pour l’année 2017 et 4% du plafond des sanctions », accompagnée d’une publication pendant deux ans pour son effet dissuasif et pour informer les personnes exposées. Le Conseil d’État a rejeté le recours contre cette sanction (Conseil d’État, 10e et 9e chambres réunies, 4 novembre 2020, n° 433311). Pour le candidat, l’enseignement est double : vos pièces de location comptent parmi les données les plus exposées en cas de faille, et le juge administratif valide des sanctions lourdes quand la sécurité et la conservation sont négligées. Notre analyse de la sanction de la CNIL contre une entreprise, entre mise en demeure, amende et injonction détaille la gradation des mesures et les moyens de les contester.
II. Refuser, exiger l’effacement, puis saisir le préfet, la CNIL et le juge
A. Dire non par écrit, exiger le retrait et l’effacement, garder les preuves
Le premier réflexe est d’opposer un refus écrit, précis et calme. Répondez par courriel à la demande, indiquez que le document réclamé ne figure pas dans les listes du décret du 5 novembre 2015, joignez les pièces autorisées correspondantes et proposez le dossier vérifié DossierFacile. Cette réponse écrite a trois vertus : elle démontre votre bonne foi si le bailleur prétend que votre dossier est incomplet, elle fige la preuve de la demande abusive, et elle ouvre le délai de réponse du professionnel. Ne transmettez jamais la pièce interdite « pour débloquer le dossier » en comptant la faire supprimer ensuite : une fois envoyés, vos relevés de compte ou votre carte Vitale peuvent être copiés, transférés à plusieurs collaborateurs, conservés dans une messagerie ou aspirés par une plateforme, et l’effacement ultérieur ne réparera jamais la diffusion déjà intervenue. Si vous avez déjà transmis un document interdit, exigez sans attendre son retrait du dossier, sa suppression de tous les supports et la confirmation écrite de cette suppression, en visant le droit à l’effacement.
Ce droit à l’effacement est prévu à l’article 17 du règlement général sur la protection des données : « l’effacement, dans les meilleurs délais », de ses données personnelles, avec une obligation corrélative du responsable du traitement Deux motifs visent directement votre situation : des données devenues inutiles au regard de leur finalité, ce qui couvre le dossier du candidat évincé après le choix du locataire, et un traitement illicite des données, ce qui couvre la pièce interdite collectée en violation du décret et du principe de minimisation. Adressez votre demande au bailleur et à l’agence, par courriel puis par lettre recommandée avec accusé de réception si la première demande reste sans réponse, en listant chaque document à supprimer et chaque support visé : dossier de candidature, messagerie, plateforme de dépôt, archives. Le responsable du traitement doit vous informer des mesures prises « dans un délai d’un mois » à compter de la réception de la demande, ce délai pouvant être prolongé de deux mois pour les demandes complexes. L’absence de réponse dans ce délai, ou un refus non motivé, constitue un manquement distinct qui renforcera vos recours.
Conservez méthodiquement chaque preuve : l’annonce ou le formulaire exigeant la pièce interdite, le courriel ou le SMS de l’agent qui la réclame, votre refus écrit et les pièces autorisées que vous avez proposées, la demande d’effacement et son accusé de réception, les captures datées de l’espace candidat, puis l’éventuelle réponse ou le silence gardé. Si le logement vous échappe après votre refus, notez la chronologie : date de la demande abusive, date de votre refus, date de l’attribution à un autre candidat. Ces éléments serviront devant le préfet pour établir le manquement, devant la CNIL pour documenter la plainte, et devant le juge pour prouver la violation et chiffrer le préjudice. Parallèlement à l’effacement, exercez votre droit d’accès : demandez la copie de l’ensemble des données détenues sur vous, la liste de leurs destinataires et la durée de conservation appliquée. La comparaison entre cette copie et les pièces que vous aviez transmises révèle les collectes indirectes, comme les notes internes de notation du candidat ou les vérifications opérées auprès de tiers, et prépare la contestation des traitements invisibles. Si l’agence ou le bailleur refuse aussi de vous communiquer la copie de vos propres données, notre guide sur le refus de copie de vos données personnelles et les recours devant la CNIL et le juge décrit la demande d’accès et ses suites.
B. Le préfet et l’amende, la CNIL et la plainte, le juge et la réparation
Le premier recours institutionnel est le signalement au préfet du département où se situe le logement. L’article 22-2 de la loi du 6 juillet 1989 dispose : « Les manquements au présent article sont punis d’une amende administrative, prononcée par le représentant de l’Etat dans le département, dont le montant ne peut être supérieur à 3 000 € pour une personne physique et à 15 000 € pour une personne morale. » Le décret du 5 novembre 2015 organise la procédure : « En cas de manquement […] le préfet informe le bailleur de son intention de prononcer une amende à son encontre. Cette information mentionne les faits reprochés et le montant de l’amende envisagé. L’intéressé est mis à même de présenter ses observations dans le délai de deux mois ». Puis : « Au terme de ce délai, le préfet peut émettre un titre de perception, recouvré comme en matière de créances étrangères à l’impôt et au domaine. » Adressez au préfet un courrier précis avec vos preuves : la demande de pièce interdite, votre refus, la persistance de l’exigence. Cette voie présente deux avantages : elle ne nécessite ni avocat ni frais de procédure, et l’amende, proportionnée à la gravité des faits, frappe directement le professionnel, bailleur comme agence. À Paris et en Île-de-France, où la tension locative rend les candidats particulièrement vulnérables aux exigences abusives, le signalement suit le même circuit : préfet du département du bien convoité, pièces jointes complètes, chronologie claire.
Agissez vite : l’article 22-2 précise que « L’amende ne peut être prononcée plus d’un an à compter de la constatation des faits. » Conservez donc la preuve de la date de la demande abusive et adressez votre signalement sans attendre : ce délai d’un an court à compter des faits, pas de votre courrier, et une exigence ancienne mais documentée reste sanctionnable tant que l’année n’est pas écoulée. Le cumul des voies reste possible : le signalement au préfet ne suspend ni la plainte devant la CNIL ni l’action devant le juge, et chaque procédure avance à son rythme avec ses propres preuves.
Le deuxième recours est la plainte devant la CNIL, qui contrôle le respect du règlement européen. L’article 77 de ce règlement prévoit que le droit d’introduire une réclamation auprès de la CNIL, en particulier au titre d’une violation commise en France. La plainte se dépose en ligne sur le service de plainte de la CNIL, après avoir exercé vos droits directement auprès du bailleur ou de l’agence : joignez votre demande d’effacement, la réponse ou le silence gardé, et les preuves de la collecte excessive. L’autorité instruit, peut mettre en demeure le professionnel, prononcer une sanction pécuniaire publique comme dans l’affaire jugée en 2020, et vous informe de l’issue de votre réclamation. La plainte CNIL n’exclut aucun autre recours : elle peut être menée en parallèle du signalement au préfet et de l’action devant le juge, et les constatations de l’autorité pèsent lourd dans la suite du dossier.
Le troisième recours est l’action devant le juge pour faire cesser la violation et obtenir réparation. L’article 79 du règlement ouvre un recours effectif devant le juge en cas de violation de ses droits. Vous pouvez demander au tribunal judiciaire d’ordonner la suppression des documents illicites sous astreinte, et l’article 82 fonde la réparation : toute personne victime d’« un dommage matériel ou moral » peut obtenir « réparation du préjudice subi » Les préjudices indemnisables se chiffrent pièce par pièce : la perte de chance d’obtenir le logement après un refus fondé sur une pièce interdite, les mois de recherche et d’hébergement temporaire supplémentaires, le préjudice moral lié à l’exposition de données bancaires, familiales ou de santé, et le temps consacré aux démarches d’effacement. Produisez la chronologie complète, les échanges écrits, l’attestation du refus de dossier et, si la faille de sécurité est établie, tout élément montrant la diffusion de vos documents. Le précédent de 2020, avec 400 000 euros d’amende confirmés pour des documents de candidats accessibles par simple modification d’adresse et conservés trop longtemps, donne la mesure de la gravité que les autorités et les juges attachent à ces dossiers : un bailleur ou une agence qui persiste à exiger votre relevé bancaire ou votre carte Vitale s’expose au cumul du signalement préfectoral, de la sanction de la CNIL et de la condamnation judiciaire.
En conclusion, la règle est simple : seuls les documents des listes du décret du 5 novembre 2015 peuvent être exigés, au seul stade de la candidature, et jamais avant la visite. Le relevé de compte, la carte Vitale, le livret de famille, le contrat de mariage, le jugement de divorce et le casier judiciaire sont exclus, vos données de candidat non retenu ne se conservent pas indéfiniment, et leur sécurité incombe au professionnel qui les détient. Refusez par écrit en proposant les pièces autorisées, exigez l’effacement dans le mois, conservez chaque preuve, puis saisissez le préfet pour l’amende, la CNIL pour la sanction et le juge pour la suppression et la réparation. Un dossier de location solide n’a jamais exigé le sacrifice de votre vie privée.