La porte de votre location s’ouvre avec un code à six chiffres, différent pour chaque occupant, modifié à distance par le bailleur ou la conciergerie. Pratique pour les arrivées tardives et le ménage entre deux séjours, ce boîtier enregistre aussi, à chaque ouverture, qui entre et à quelle heure. Ces journaux d’accès restent consultables depuis une application, parfois pendant des mois, par des personnes que vous n’avez jamais rencontrées.
La question n’est pas le confort du code, mais le sort de ces traces. Qui peut consulter vos heures d’entrée et de sortie ? Pendant combien de temps sont-elles conservées ? Pouvez-vous exiger leur effacement, ou refuser le dispositif ? Cet article décrit le cadre applicable : le journal d’accès constitue un traitement de données personnelles, le bailleur ou la conciergerie qui l’exploite en répond comme responsable, l’éditeur de la serrure intervient comme sous-traitant, et le contrat de location ne permet pas tout. La première partie expose les règles qui encadrent la collecte et la conservation ; la seconde détaille vos droits concrets et vos recours, de la demande de copie jusqu’à la réparation devant le juge.
I. La serrure à code crée un traitement de données personnelles strictement encadré
A. Un journal d’accès nominatif, un responsable identifié et des données limitées au nécessaire
Un code d’ouverture attribué à une personne identifiée, associé à l’horodatage de chaque entrée, se rapporte à une personne physique identifiable. Peu importe que le code soit un pseudonyme ou un numéro : dès lors que le bailleur ou la conciergerie peut relier ce code à un occupant, il s’agit de données à caractère personnel, et leur enregistrement, leur consultation comme leur conservation forment un traitement soumis au règlement européen sur la protection des données.
Ce traitement doit d’abord reposer sur une base légale. Le règlement prévoit que le traitement n’est licite que si au moins une des conditions qu’il énumère est remplie, parmi lesquelles le consentement, l’exécution du contrat et, pour ce qui nous intéresse, l’intérêt légitime du responsable ou d’un tiers, qui ne suffit que si les intérêts, les libertés et les droits fondamentaux de la personne concernée ne prévalent pas, avec une vigilance accrue lorsque cette personne est un enfant. Le texte de l’article 6 du règlement détaille ces conditions. La sécurisation du logement et la gestion des interventions constituent des intérêts légitimes envisageables, mais la balance avec votre vie privée s’apprécie concrètement : surveiller en continu les allées et venues des occupants, contrôler leurs horaires ou recompter les nuitées à des fins de facturation annexe ne pèse pas le même poids que la protection contre les intrusions. Quant au consentement, il suppose un choix réel et libre, ce qu’une case cochée pour obtenir les clés d’un logement réservé depuis des semaines permet rarement de garantir.
La finalité doit en outre être déterminée avant toute collecte, et non reconstruite après coup pour justifier un historique déjà constitué. Sécuriser les accès, organiser les interventions du ménage ou établir la réalité d’une occupation en cas de litige sur l’état des lieux sont des finalités distinctes, qui n’appellent ni les mêmes données ni les mêmes durées : la preuve d’un passage litigieux peut exiger la conservation brève d’un événement précis, tandis que le contrôle continu des horaires n’est l’accessoire d’aucune d’elles. Le responsable doit donc documenter ce qu’il poursuit, et le locataire est fondé à lui demander de le formuler : une finalité vague comme la sécurité générale, sans précision sur les événements conservés ni sur leur durée, ne satisfait pas à l’exigence de finalités déterminées et explicites. C’est aussi l’objet du registre des traitements que tout responsable autre qu’une petite structure occasionnelle doit tenir : y figureront le boîtier, les catégories de personnes concernées, les destinataires et la durée de conservation, autant d’éléments que la demande d’accès permettra ensuite de vérifier.
Le contenu collecté doit ensuite rester mesuré. Le texte impose que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». Concrètement, enregistrer chaque ouverture avec l’identité de l’occupant, sept jours sur sept et vingt-quatre heures sur vingt-quatre, dépasse ce qui suffit à sécuriser une porte : un journal d’événements de sécurité, une durée de conservation courte et des codes temporaires par séjour répondent au même besoin avec une collecte moindre. La conservation, elle, est bornée par la même logique : les données doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Garder l’historique complet des entrées d’anciens locataires, des mois après leur départ, n’a plus de lien avec la finalité initiale.
La sanction prononcée contre un loueur de véhicules en autopartage illustre cette exigence. La formation restreinte de la Commission nationale de l’informatique et des libertés lui avait infligé une amende de 175 000 euros, notamment pour conservation excessive des données de géolocalisation relevées tous les 500 mètres et conservées pour chaque contrat de location. Saisi du recours, le Conseil d’État a jugé, le 6 décembre 2023, que « la conservation de la totalité des données de géolocalisation des véhicules tous les 500 mètres n’était pas nécessaire au regard des finalités poursuivies » et a rejeté la requête de la société. La géolocalisation d’une voiture et le journal d’une serrure ne sont pas identiques, mais le raisonnement vaut pour tout historique de déplacements ou de passages : conserver l’intégralité des traces, pour tous les occupants et sans tri, expose à la même censure dès lors que la finalité invoquée ne l’exige pas.
Reste à savoir qui répond du traitement. Le bailleur qui choisit la serrure, attribue les codes et consulte l’historique, ou la conciergerie qui gère les arrivées et conserve les journaux pour son compte, agit comme responsable du traitement. L’éditeur qui héberge les données sur ses serveurs et fournit l’application de pilotage agit comme sous-traitant. Cette répartition n’est pas théorique : le règlement exige que le traitement par un sous-traitant soit encadré par un contrat qui lui impose de n’agir que sur instruction documentée du responsable du traitement. Un bailleur qui laisse l’éditeur exploiter les journaux à ses propres fins, sans contrat ni instruction, manque à cette obligation. La sécurité suit la même répartition : le responsable du traitement comme le sous-traitant doivent mettre en œuvre les mesures techniques et organisationnelles propres à garantir un niveau de sécurité adapté au risque, ce qui vise ici les codes conservés par défaut, l’absence de chiffrement, les comptes administrateurs partagés ou l’application qui affiche l’historique sans authentification sérieuse. Enfin, le dispositif devrait être conçu pour collecter peu : le règlement impose au responsable de mettre en œuvre, dès la détermination des moyens, des mesures destinées à appliquer les principes de protection des données, par exemple la minimisation. Choisir une serrure qui journalise chaque passage en permanence, alors qu’un modèle à codes temporaires sans historique centralisé existe, va à l’encontre de cette exigence.
Le paramétrage offre presque toujours une solution moins intrusive : codes à usage unique ou limités à la durée du séjour, désactivation de l’historique centralisé au profit d’un simple journal d’incidents conservé quelques jours sur le boîtier lui-même, comptes d’administration nominatifs plutôt que partagés, désassociation automatique du code et de l’identité à la fin du contrat. Lorsque le bailleur conserve malgré tout une journalisation complète et permanente alors que ces réglages existent, ce choix technique devient une pièce du dossier : il démontre que la collecte excédentaire résulte d’une décision et non d’une contrainte.
B. Ce que le bailleur et la conciergerie peuvent imposer, et où s’arrêtent leurs droits
Le contrat de location donne au bailleur des prérogatives, pas une licence de surveillance. La loi lui impose de « D’assurer au locataire la jouissance paisible du logement » et lui interdit de s’opposer aux aménagements du locataire dès lors qu’ils ne transforment pas la chose louée. Une serrure connectée installée par le bailleur pour sécuriser le bien et organiser les remises de clés entre dans la gestion normale ; le même boîtier utilisé pour vérifier à quelle heure le locataire rentre, relever ses absences ou lui reprocher des allées et venues tardives heurte cette obligation de jouissance paisible, car le logement cesse d’être un lieu où l’occupant vit à l’abri des regards.
Le droit commun de la vie privée confirme cette limite. Le code civil dispose que « Chacun a droit au respect de sa vie privée » et permet aux juges, sans préjudice de la réparation, de prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, y compris en référé en cas d’urgence. Les heures auxquelles une personne entre chez elle et en sort relèvent de cette intimité : elles révèlent ses habitudes de vie, ses horaires de travail, parfois ses relations. Un tiers n’a pas à en disposer sans raison précise et proportionnée.
Une décision récente rendue à propos d’un œilleton numérique illustre où les juges placent le curseur. Le 18 juin 2026, le juge des référés du tribunal judiciaire de Bobigny, saisi par des voisins qui se plaignaient d’être filmés sur leur palier, a relevé que la Commission, interrogée par courrier du 19 septembre 2024, avait indiqué à propos de ces dispositifs « de ne l’activer que lorsqu’une personne sonne afin de ne pas filmer en permanence et que les images ne soient pas enregistrées ». Constatant qu’aucun abonnement d’enregistrement n’avait été souscrit et que l’application ne s’activait qu’à la sonnette, le juge a estimé le dispositif licite et rejeté les demandes. Le raisonnement se transpose utilement : ce qui a sauvé l’œilleton, c’est l’absence d’enregistrement permanent. Une serrure qui conserve en continu l’historique nominatif des passages se situe exactement du côté que la Commission déconseille et que le juge a pris soin d’écarter. Chaque situation reste toutefois appréciée sur ses propres pièces, et un enregistrement bref et justifié par un incident précis ne se juge pas comme une journalisation systématique.
La location de courte durée gérée par une conciergerie concentre ces difficultés. Les codes y changent à chaque voyageur, le ménage et la maintenance disposent de leurs propres accès, et l’historique s’accumule séjour après séjour sur les serveurs de l’éditeur. Le voyageur qui reçoit son code la veille de son arrivée ignore le plus souvent que ses entrées seront horodatées, qui les consultera et pendant combien de temps elles resteront attachées à son nom, à son numéro de téléphone ou à sa réservation. L’information due dès la réservation ou la remise des clés conditionne la loyauté de la collecte : un traitement dont la personne concernée découvre l’existence en lisant l’application du boîtier ou en recevant une remarque sur ses horaires part d’une base fragile, quelle que soit la finalité invoquée ensuite. Pour le bailleur qui confie son bien à une conciergerie, la vigilance porte sur le mandat : qui attribue les codes, qui accède à l’historique, que devient-il à la fin du contrat de gestion, et que prévoit le contrat avec l’éditeur de la serrure sur ces points.
Lorsque la serrure équipe la porte d’un immeuble ou un accès aux parties communes, un acteur supplémentaire entre en scène : le syndicat des copropriétaires, qui décide des équipements communs en assemblée générale. Le tribunal judiciaire de Paris a ainsi eu à connaître, le 24 janvier 2025, d’un litige portant sur l’installation d’un interphone avec digicode et badges d’accès votée en assemblée générale, preuve que ces dispositifs d’accès relèvent d’une décision collective et non d’une initiative individuelle. Pour le locataire, la conséquence pratique est simple : si le boîtier appartient aux parties communes, il faut vérifier le vote qui l’a autorisé et le règlement qui encadre son usage, en plus des règles de protection des données.
Sur le plan répressif, la mise en œuvre irrégulière d’un traitement de données personnelles expose à des poursuites. Aux termes du code pénal, « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». La qualification pénale appartient au parquet puis au juge, et chaque élément doit être établi ; il ne s’agit pas d’affirmer qu’une serrure mal paramétrée constitue automatiquement un délit, mais de mesurer que l’exploitation d’un journal d’accès hors des règles n’est pas une simple négligence commerciale sans conséquence.
II. Vos droits concrets : copie, effacement, opposition, plainte et réparation
A. Obtenir la copie de votre journal, exiger l’effacement et vous opposer
Le premier réflexe consiste à demander des comptes par écrit au responsable du traitement, c’est-à-dire en pratique au bailleur ou à la conciergerie qui vous a remis le code, dont les coordonnées figurent dans le bail, le livret d’accueil ou les mentions de l’application. Le règlement vous donne « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel », ainsi que les finalités, les catégories de données, les destinataires et la durée de conservation envisagée. Le responsable « fournit une copie des données à caractère personnel faisant l’objet d’un traitement ». Appliqué à la serrure, ce droit porte sur vos propres passages enregistrés, les finalités déclarées, la liste des personnes ou services destinataires de l’historique et la durée pendant laquelle il est gardé. Les modalités pratiques de cette demande d’accès, de la formulation au contenu de la copie, sont détaillées dans notre analyse consacrée au droit d’accès et à la copie de vos données personnelles, qui décrit point par point ce que le responsable doit vous remettre.
Ce droit d’accès a des bornes, qu’une décision du Conseil d’État permet de comprendre. Le 24 février 2022, la haute juridiction a jugé à propos du journal des connexions d’une application d’organisme social que les dispositions sur les destinataires « n’ont ni pour objet, ni pour effet d’autoriser une personne à connaître l’identité des agents publics ou des salariés ayant consulté les données à caractère personnel la concernant dans l’exercice de leurs fonctions ». Autrement dit, vous pouvez obtenir vos propres traces et les catégories de destinataires, mais pas nécessairement le nom de chaque salarié de la conciergerie qui a ouvert le journal, car le droit à la copie « ne porte pas atteinte aux droits et libertés d’autrui ». De la même façon, vous n’obtiendrez pas les passages des autres occupants du logement : leurs entrées sont leurs données, pas les vôtres.
L’effacement constitue le deuxième levier. Le règlement ouvre le droit d’obtenir du responsable l’effacement de ses données dans les meilleurs délais lorsque celles-ci ne sont plus nécessaires au regard des finalités, lorsque le consentement est retiré sans autre fondement, lorsque l’opposition triomphe ou lorsque le traitement est illicite. À la fin du bail ou du séjour, l’historique de vos passages n’est en général plus nécessaire à la sécurisation du logement : l’effacement peut alors être exigé, ainsi que la suppression du code nominatif qui vous était attribué. En cours de location, l’effacement des traces anciennes, au-delà d’une courte fenêtre de sécurité, se demande sur le même fondement dès lors que leur conservation n’est plus justifiée.
L’opposition forme le troisième levier, particulièrement adapté lorsque le traitement repose sur l’intérêt légitime du bailleur. Le texte donne à toute personne le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime, et le responsable doit alors cesser, sauf à démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts et droits. Une opposition motivée, par exemple l’utilisation du journal pour contrôler vos horaires ou la conservation d’un historique que rien ne justifie, oblige le responsable à justifier sa position au lieu de se retrancher derrière le règlement intérieur ou le manuel de la serrure.
La demande écrite gagne à être précise : identité et adresse du logement, code attribué et période concernée, confirmation de l’existence du traitement et de ses finalités, copie des données vous concernant, liste des destinataires, durée de conservation appliquée, puis, selon les cas, effacement des traces anciennes et limitation de la collecte future. Adressez-la au bailleur et, en copie, à la conciergerie lorsqu’elle gère les accès, par un moyen qui laisse une trace. L’absence de réponse, une réponse évasive ou un renvoi vers l’éditeur de la serrure sans autre précision constituent déjà des éléments : le responsable ne peut se défausser sur son sous-traitant, et c’est à lui qu’il appartient d’obtenir de l’éditeur les données demandées.
Rassemblez vos preuves dès le premier échange : le code qui vous a été attribué et son caractère nominatif, les captures de l’application affichant l’historique, les courriels où le bailleur évoque vos heures d’entrée, le bail et le livret d’accueil, les témoignages des autres occupants. Ces pièces serviront devant la Commission comme devant le juge, car c’est sur elles que s’apprécient la réalité du traitement, son ampleur et sa durée.
B. Saisir la Commission, faire cesser le dispositif et obtenir réparation
Si la demande amiable reste sans réponse ou si le responsable maintient une journalisation excessive, la plainte devant la Commission nationale de l’informatique et des libertés constitue la voie naturelle. Le règlement donne à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle lorsqu’elle considère que le traitement de ses données constitue une violation du texte. La plainte s’accompagne des pièces rassemblées : bail, code attribué, extraits de l’historique, échanges avec le bailleur ou la conciergerie. Les démarches pas à pas, depuis le signalement jusqu’aux suites possibles en l’absence de réponse, sont exposées dans notre guide pour déposer une plainte devant la Commission, la relancer et la contester, qui précise aussi l’articulation avec le recours devant le juge. La Commission dispose d’un pouvoir de sanction dissuasif : le Conseil d’État rappelle que les amendes pour violation des principes de base ou des droits des personnes doivent être « effectives, proportionnées et dissuasives », et l’affaire du loueur de véhicules, sanctionné à hauteur de 175 000 euros pour des manquements de même nature, montre que la conservation intégrale d’historiques de déplacements n’est pas traitée comme une peccadille.
Le juge peut être saisi en parallèle pour faire cesser le dispositif et réparer le préjudice. Le code civil permet au juge de prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, et le juge des référés statue sur ce fondement en cas d’urgence. La procédure suivie devant le tribunal de Bobigny en fournit le mode d’emploi : le juge y rappelle qu’il peut « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite ». Appliqué à la serrure, cela permet de demander la désactivation de la journalisation permanente, la suppression de l’historique conservé sans nécessité ou le remplacement des codes nominatifs par des codes temporaires, sous astreinte si besoin. La demande doit être précise et proportionnée : solliciter la coupure de tout enregistrement quand un journal bref de sécurité suffit, ou exiger le retrait du boîtier quand seule l’exploitation de l’historique pose problème, affaiblirait la demande au lieu de la renforcer.
La réparation du préjudice suit. Le règlement ouvre à toute personne qui subit un dommage matériel ou moral du fait d’une violation le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le préjudice moral, anxiété de se savoir suivi dans ses allées et venues, sentiment d’être contrôlé chez soi, dégradation des relations avec le bailleur, se prouve par les pièces et les témoignages, et s’ajoute au préjudice matériel éventuel. Le responsable comme le sous-traitant peuvent être attraits, et chacun répond pour le tout lorsque plusieurs acteurs participent au même traitement, ce qui permet d’agir contre le bailleur et la conciergerie, voire l’éditeur, sans avoir à démêler seul leurs contrats internes. Lorsque le traitement irrégulier s’accompagne d’une faute détachable du bailleur, la responsabilité civile de droit commun complète ce fondement européen.
La demande d’astreinte mérite le même soin : elle s’attache à une obligation précise, comme la désactivation de la journalisation permanente ou la suppression d’un historique identifié, et son montant reste proportionné à l’enjeu. Le juge qui ordonne une mesure de remise en état contrôle en effet son adéquation, et une demande excessive sur un point accessoire peut fragiliser l’ensemble. Enfin, l’existence d’une plainte devant la Commission n’interdit pas l’action devant le juge, et inversement : les deux voies se complètent, la première faisant constater le manquement par l’autorité de contrôle, la seconde le faisant cesser et indemnisant la victime. Les pièces réunies dès l’origine, copie du journal, échanges avec le responsable, constats et témoignages, irriguent les deux procédures.
En pratique, la chronologie utile tient en quatre temps. D’abord, documenter : conserver le code, photographier l’application et ses écrans d’historique, garder les messages qui révèlent l’exploitation des traces. Ensuite, écrire au responsable identifié pour demander la confirmation du traitement, la copie de vos données, puis l’effacement et la limitation de la collecte, en visant les fondements exposés plus haut. Puis, en l’absence de mise en conformité, déposer une plainte devant la Commission, qui instruira et pourra sanctionner. Enfin, saisir le juge des référés pour faire cesser le dispositif illicite et le juge du fond pour obtenir réparation, en articulant les fondements européens et nationaux. Chaque étape nourrit la suivante : la copie obtenue prouve l’ampleur du journal, le refus d’effacement caractérise la violation, la décision de la Commission éclaire le juge.
Une serrure connectée n’est ni interdite ni libre de tout cadre. Installée pour sécuriser un logement, paramétrée avec des codes temporaires, sans historique centralisé ni conservation au-delà du besoin, elle reste un équipement de gestion ordinaire. Exploitée pour suivre les occupants, conserver leurs passages des mois durant ou les contrôler à distance, elle devient un traitement de données personnelles excessif que le droit permet de contester, de faire cesser et de faire réparer. La frontière passe par trois questions simples : quelles données sont collectées, pour quelle finalité précise, et pendant combien de temps. Celui qui tient la serrure doit pouvoir y répondre ; à défaut, l’occupant dispose des moyens de l’y contraindre.