RGPD et dossier de location en agence : que faire à chaque étape de la candidature ?

par Thomas | Oct 12, 2026 | Agences

Négociateur d'agence immobilière examinant un dossier de candidature locative à l'écran, avec les étapes RGPD de la collecte à la suppression

Un dossier de candidature locative concentre en quelques pages l'identité, les revenus et la situation professionnelle d'un candidat et de ses garants. Pour une agence, le RGPD ne se joue donc pas dans une politique générale mais à chaque étape du dossier : sa demande, sa réception, sa vérification, sa transmission, puis sa suppression. Ce guide suit ce cycle de vie en s'appuyant sur le référentiel CNIL gestion locative et les textes officiels.

En bref

En gestion déléguée, l'agence immobilière est responsable du traitement des dossiers de candidature locative au sens du RGPD ; en gestion directe, c'est le propriétaire ; en gestion semi-déléguée, chacun l'est pour ses tâches. Le logiciel de candidatures est un sous-traitant au sens de l'article 28 du RGPD, et l'agence reste responsable.

Une agence ne peut demander au candidat et à son garant que les pièces de la liste limitative fixée par le décret n° 2015-1437 du 5 novembre 2015 ; avant la visite, la CNIL, dans sa fiche du 10 octobre 2025, limite les informations utiles à l'identité, aux coordonnées et aux critères de recherche.

La CNIL, dans son référentiel gestion locative du 6 mai 2021 (point 53), considère que 3 mois en base active sont en principe adéquats pour conserver les données de solvabilité d'un candidat non retenu et de ses garants.

Depuis l'arrêt SCHUFA de la CJUE du 7 décembre 2023 (C-634/21), un score locataire auquel l'agence accorde un rôle déterminant peut constituer une décision automatisée au sens de l'article 22 du RGPD ; le score doit donc rester une aide à la décision du négociateur.

La CNIL a sanctionné la société SERGIC d'une amende de 400 000 euros (délibération SAN-2019-005 du 28 mai 2019), notamment pour l'absence de purge des dossiers des candidats non retenus.

Au sens du RGPD, un dossier de candidature locative est l'ensemble des données personnelles qu'un candidat et ses garants transmettent pour louer un logement, notamment leur identité, leurs coordonnées, leur situation professionnelle et leurs revenus, traitées pour apprécier la candidature puis conclure le bail. La CNIL encadre ce traitement dans son référentiel relatif à la gestion locative, adopté par la délibération n° 2021-057 du 6 mai 2021.

Qui est responsable RGPD du dossier de candidature : l'agence, le propriétaire ou le logiciel ?

Le responsable du traitement d'un dossier de candidature dépend du mode de gestion, selon le point 14 du référentiel CNIL gestion locative du 6 mai 2021 : l'agence en gestion déléguée, le propriétaire en gestion directe, chacun pour ses tâches en gestion semi-déléguée. Le logiciel de candidatures est un sous-traitant (article 28 du RGPD) ; l'agence reste responsable.

Le référentiel CNIL relatif à la gestion locative (délibération n° 2021-057 du 6 mai 2021, publiée au JO du 27 mai 2021) a remplacé l'ancienne norme simplifiée NS-21. Ce référentiel vise les bailleurs professionnels, les professionnels de l'immobilier et les plateformes de gestion locative ; il exclut le logement social et la location saisonnière. Il n'est pas contraignant en lui-même, mais la CNIL l'utilise comme grille de lecture lors de ses contrôles. Pour les principes généraux du règlement, reportez-vous à notre page sur le RGPD pour les agences immobilières ; cet article se concentre sur le dossier de candidature.

Avec un logiciel de candidatures, un contrat de sous-traitance conforme à l'article 28 du RGPD est obligatoire. Il doit préciser l'objet, la durée, la finalité, les types de données, les instructions de l'agence, l'obligation de confidentialité, la notification des violations de données, le sort des données en fin de contrat et les modalités d'audit. Le RGPD n'impose pas un hébergement dans l'Union européenne, mais il encadre strictement les transferts hors de l'Union (chapitre V du RGPD).

Quelles informations une agence peut-elle demander à un candidat avant la visite ?

Avant la visite d'un logement, la CNIL considère que seules l'identité, les coordonnées et les critères de recherche du candidat sont nécessaires. Dans sa fiche du 10 octobre 2025 « Location d'un bien immobilier : quels justificatifs peut-on demander aux candidats ? », la CNIL déconseille de conditionner la visite à la remise de justificatifs financiers.

En pratique, un formulaire de prise de rendez-vous doit donc rester court. Demander un avis d'imposition ou des bulletins de salaire pour accepter une visite revient à collecter des données de solvabilité auprès de personnes qui ne déposeront peut-être jamais de dossier.

Quelles règles RGPD appliquer à la réception d'un dossier de location ?

À la réception d'un dossier de location, trois règles du RGPD s'appliquent : une base légale correcte, une information complète du candidat et la minimisation des pièces. La base légale n'est pas le consentement : selon le point 21 du référentiel CNIL, l'appréciation de la candidature relève des mesures précontractuelles (article 6.1.b du RGPD).

Base légale : mesures précontractuelles, pas consentement

Ce point 21 distingue plusieurs finalités. L'étude de la candidature et la conclusion du bail reposent sur des mesures précontractuelles. La proposition de biens analogues à un candidat repose sur l'intérêt légitime, ce qui ouvre au candidat un droit d'opposition. La transmission de statistiques aux observatoires des loyers repose sur une obligation légale. Présenter le consentement comme base légale du traitement de son dossier serait donc inexact et source de confusion.

Informer le candidat et ses garants

L'information prévue par l'article 13 du RGPD doit être délivrée au moment de la collecte, par exemple au moyen d'une notice jointe à la liste des pièces (point 64 du référentiel). Les garants, dont les données sont souvent transmises par le candidat, doivent être informés dans un délai raisonnable, d'un mois au maximum (point 66). La notice rappelle les droits d'accès, de rectification, d'effacement, de limitation et de portabilité ; le droit d'opposition ne concerne que les traitements fondés sur l'intérêt légitime (point 68).

Minimiser et traiter les pièces superflues

La liste des pièces exigibles est limitative : elle est fixée par le décret n° 2015-1437 du 5 novembre 2015 et tout le reste est interdit. Notre checklist des pièces à demander à un futur locataire détaille cette liste et les documents prohibés. Le référentiel ajoute que certaines pièces ne sont « en principe » pas pertinentes : documents bancaires, carte d'assuré social, casier judiciaire, dossier médical, contrat de mariage, certificat de concubinage (point 26). Si un candidat envoie spontanément ces documents, l'agence doit les supprimer ou les lui renvoyer (point 28), et non les classer dans le dossier.

Comment vérifier l'authenticité des pièces d'un dossier de location sans collecter plus de données ?

Lutter contre la fraude documentaire ne justifie pas de demander davantage de pièces au candidat locataire. La vérification de l'authenticité doit porter sur les seuls documents autorisés par le décret n° 2015-1437 du 5 novembre 2015, s'appuyer sur des outils publics, et le candidat doit être informé de ce contrôle dès la collecte de son dossier.

Plusieurs outils existent. Le service de vérification des avis d'impôt sur impots.gouv.fr permet de contrôler un avis à partir du numéro fiscal et de la référence de l'avis ; le code 2D-Doc figure sur les avis d'impôt depuis 2022 ; DossierFacile et FiligraneFacile proposent des dossiers et un filigrane apposé sur les pièces. Pour la méthode pas à pas, consultez notre guide pour vérifier un avis d'imposition et détecter la fraude documentaire. Le principe reste le même : on contrôle mieux, on ne collecte pas plus.

Un scoring locataire est-il légal au regard du RGPD ?

Un score de dossier locataire est compatible avec le RGPD s'il reste une aide à la décision et que le négociateur peut réellement s'en écarter. L'article 22 du RGPD encadre strictement les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets significatifs pour la personne, ce qui peut être le cas d'un refus de location.

Une telle décision n'est admise que dans trois cas, et la personne conserve alors le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. La Cour de justice de l'Union européenne (CJUE) a précisé la portée de l'article 22 du RGPD dans l'arrêt SCHUFA du 7 décembre 2023 (C-634/21) : le calcul d'un score constitue lui-même une décision au sens de l'article 22 lorsque le tiers qui l'utilise lui accorde un rôle déterminant.

Pour une agence, la conséquence est concrète. Le score ne doit pas trancher seul : le négociateur examine le dossier, peut retenir un candidat moins bien noté et le fait effectivement quand le dossier le justifie. Un refus automatique déclenché par un seuil, sans examen humain, expose l'agence. Les principes de lecture d'un dossier sont détaillés dans notre article sur la vérification de la solvabilité d'un locataire.

Quelles données du dossier transmettre au propriétaire et à l'assureur GLI ?

Le propriétaire ne doit recevoir que les informations du dossier nécessaires à sa décision, et l'assureur GLI peut être destinataire des données utiles. Ce principe de minimisation vaut pour chaque mode de gestion prévu par le référentiel CNIL : seulement le nécessaire en gestion déléguée (point 45), seulement les dossiers présélectionnés en gestion semi-déléguée (point 47).

Les assureurs de garantie loyers impayés figurent parmi les destinataires possibles (point 48 du référentiel). Pour comprendre leur rôle dans la sélection, voyez notre article sur l'assurance GLI.

La manière de transmettre compte autant que le contenu. L'article 32 du RGPD et le point 71 du référentiel attendent des mesures de sécurité adaptées : habilitations, journalisation, authentification robuste, chiffrement, sauvegardes et dépôt des pièces par un canal sécurisé. L'envoi de dossiers complets en pièces jointes par email non sécurisé est à éviter.

Combien de temps une agence peut-elle conserver un dossier de candidature ?

Pour un candidat non retenu, la durée de référence est de 3 mois en base active pour les données de solvabilité, durée que la CNIL juge « en principe adéquate ». Passé ce délai, les données sortent de la base active ; seuls les éléments nécessaires à un besoin justifié, comme un contentieux, peuvent être conservés en archivage intermédiaire, séparé et à accès restreint.

Les durées de conservation fixées au point 53 du référentiel sont les suivantes :

Candidat ou garant non retenu : 3 mois en base active, durée « en principe adéquate » pour les données de solvabilité.
Prospect : 3 ans après le dernier contact.
Locataire retenu en gestion directe : durée du bail jusqu'à la clôture des comptes, puis 3 ans d'archivage intermédiaire.
Locataire retenu en gestion déléguée : durée du bail jusqu'à la clôture des comptes, puis 5 ans d'archivage intermédiaire.

3 mois selon la CNIL, plus longtemps selon le Défenseur des droits ?

Le guide du Défenseur des droits « Louer sans discriminer », 3e édition de mai 2025 (p. 51), recommande de conserver les pièces pendant une « durée raisonnable pouvant dépasser trois mois », sans atteindre six ans, afin de pouvoir comparer dossier retenu et dossiers non retenus en cas d'enquête. Les deux recommandations se concilient : 3 mois en base active, puis uniquement les éléments nécessaires à la preuve, placés en archivage séparé à accès restreint, pour une durée justifiée et documentée. L'archivage intermédiaire n'est pas une base active prolongée : il est isolé, consulté seulement en cas de besoin et purgé à son terme.

Quelles sanctions la CNIL a-t-elle prononcées sur la gestion des candidatures locatives ?

La sanction de référence vise SERGIC, condamnée à 400 000 euros d'amende pour deux manquements : une faille de sécurité donnant accès aux documents des candidats et l'absence de purge des dossiers non retenus (délibération SAN-2019-005 du 28 mai 2019). Le Conseil d'État a rejeté son recours le 4 novembre 2020 (n° 433311).

Dans ce dossier, la CNIL a jugé que ces données ne pouvaient rester plus de 3 mois en base active, avant séparation logique ou archivage intermédiaire. L'argument d'une conservation de 6 ans pour pouvoir se défendre d'une action en discrimination n'a pas justifié leur maintien en base active. La sanction PAP (délibération SAN-2024-002 du 31 janvier 2024, 100 000 euros) portait sur la conservation, les mots de passe, l'information et la sous-traitance ; elle concerne un site d'annonces et non la gestion de candidatures, mais elle montre les mêmes points de vigilance.

Une agence immobilière doit-elle tenir un registre des traitements et réaliser une AIPD ?

Le registre des traitements est obligatoire pour une agence immobilière, même petite, car la CNIL considère que la gestion des candidatures locatives n'est pas une activité occasionnelle. L'analyse d'impact (AIPD) n'est pas automatique, mais le référentiel CNIL gestion locative indique que le responsable « paraît en principe devoir » la réaliser.

Ses points 74 et 75 rappellent que l'évaluation des candidats et la décision automatisée font partie des critères qui conduisent à une AIPD. Une agence qui utilise un score de dossier a donc tout intérêt à documenter son analyse : finalités, données collectées, place du négociateur dans la décision, durées et mesures de sécurité. Pour faire le point sur ces chantiers, vous pouvez vous appuyer sur notre audit de conformité RGPD.

Pourquoi limiter les données collectées réduit-il aussi le risque de discrimination ?

Moins une agence immobilière collecte de données sans lien avec la solvabilité du candidat, moins elle s'expose au soupçon d'avoir retenu un critère discriminatoire. Ce lien entre RGPD et non-discrimination est une lecture éditoriale, pas une doctrine officielle commune de la CNIL et du Défenseur des droits, mais il est très concret au quotidien.

Une information sur la situation familiale, l'état de santé ou le lieu de naissance qui n'a pas été demandée ne risque pas de peser sur une décision ni d'être reprochée à l'agence. À l'inverse, des pièces superflues conservées dans un dossier refusé peuvent alimenter une contestation. Pour les obligations propres à la non-discrimination, consultez notre article sur la non-discrimination dans la location.

Quelle place pour un outil de gestion des candidatures comme Greenloc ?

Un outil de gestion des candidatures peut faciliter ces étapes, sans transférer la responsabilité de l'agence. Sur Greenloc, le portail candidat ne demande que les pièces autorisées par le décret n° 2015-1437, les données des candidats sont hébergées en France et dans l'Union européenne, et les dossiers non retenus sont supprimés automatiquement après 3 mois. La vérification documentaire contrôle l'authenticité et la cohérence des pièces ; le score de dossier reste une aide à la décision, et le message de refus n'est envoyé au candidat qu'après la décision du négociateur. L'agence demeure responsable du traitement : information des candidats, registre, AIPD et contrat de sous-traitance restent de son ressort. Pour voir comment l'outil s'intègre à votre organisation, consultez la page dédiée aux agences immobilières.

Les points à vérifier dans votre agence

Vous avez identifié, pour chaque mandat, qui est responsable du traitement des dossiers : l'agence, le propriétaire ou les deux selon le mode de gestion.
Vous avez signé avec votre logiciel de candidatures un contrat de sous-traitance conforme à l'article 28 du RGPD.
Votre formulaire de prise de rendez-vous ne demande que l'identité, les coordonnées et les critères de recherche du candidat.
Votre liste de pièces correspond strictement au décret n° 2015-1437 du 5 novembre 2015.
Une notice d'information conforme à l'article 13 du RGPD accompagne la liste des pièces, et les garants sont informés dans le mois.
Les pièces non exigibles reçues spontanément sont supprimées ou renvoyées au candidat.
Vos négociateurs examinent chaque dossier et peuvent réellement s'écarter du score.
Les dossiers sont transmis au propriétaire et à l'assureur GLI par un canal sécurisé, et non en pièces jointes par email non sécurisé.
Les données des candidats non retenus sont purgées de la base active après 3 mois, et toute conservation au-delà est justifiée, séparée et documentée.
Le traitement des candidatures figure à votre registre des traitements, et la question de l'AIPD a été examinée et documentée.

Questions fréquentes

Combien de temps garder le dossier d'un candidat non retenu ?

La CNIL, dans son référentiel gestion locative du 6 mai 2021 (point 53), considère que 3 mois en base active sont en principe adéquats pour les données de solvabilité d'un candidat non retenu et de ses garants. Au-delà, seuls les éléments nécessaires à un besoin justifié, comme un contentieux, peuvent être archivés à part, avec un accès restreint.

Faut-il le consentement du candidat pour traiter son dossier de location ?

Non. Selon le point 21 du référentiel CNIL gestion locative du 6 mai 2021, l'étude de la candidature et la conclusion du bail reposent sur des mesures précontractuelles (article 6.1.b du RGPD), et non sur le consentement. L'agence doit en revanche informer le candidat dès la collecte, par exemple par une notice jointe à la liste des pièces.

Un score locataire est-il légal ?

Oui, s'il reste une aide à la décision. Depuis l'arrêt SCHUFA de la CJUE du 7 décembre 2023 (C-634/21), un score auquel l'utilisateur accorde un rôle déterminant peut constituer une décision automatisée au sens de l'article 22 du RGPD. Le négociateur de l'agence doit donc pouvoir s'écarter du score et le faire réellement.

Le propriétaire peut-il recevoir tous les dossiers ?

Pas forcément. Selon le référentiel CNIL gestion locative du 6 mai 2021, le propriétaire en gestion déléguée ne reçoit que les informations nécessaires à sa décision (point 45) ; en gestion semi-déléguée, il ne reçoit que les dossiers présélectionnés (point 47). L'envoi de dossiers complets en pièces jointes par email non sécurisé est à éviter.

Que faire des pièces non exigibles envoyées par un candidat ?

Le référentiel CNIL gestion locative du 6 mai 2021 demande de les supprimer ou de les renvoyer au candidat (point 28), et non de les classer dans le dossier. Selon le point 26, sont en principe non pertinents les documents bancaires, la carte d'assuré social, le casier judiciaire, le dossier médical, le contrat de mariage et le certificat de concubinage.

Une petite agence doit-elle tenir un registre des traitements ?

Oui. La CNIL indique que le registre des activités de traitement est obligatoire même pour une petite structure dès lors que le traitement n'est pas occasionnel, ce qui est le cas de la gestion des candidatures locatives. Une agence qui reçoit régulièrement des dossiers de candidature doit donc inscrire ce traitement à son registre, quelle que soit sa taille.

Quelle sanction la CNIL a-t-elle prononcée contre SERGIC ?

La CNIL a infligé à SERGIC une amende de 400 000 euros par la délibération SAN-2019-005 du 28 mai 2019, pour une faille de sécurité donnant accès aux documents des candidats et pour l'absence de purge des dossiers non retenus. Le Conseil d'État a rejeté le recours de la société le 4 novembre 2020 (n° 433311).

Sources

Faites le point sur votre service location en 5 minutes :

Audit gratuit