La Cnil publie son référentiel sur la gestion locative

La Cnil a adopté, le 6 mai, un nouveau référentiel, publié le 27 mai au Journal officiel, "relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de la gestion locative". Il s'agit en l'occurrence d'aider les organismes gestionnaires de logements à élaborer des traitements conformes au RGPD (règlement général sur la protection des données). Ce référentiel s'adresse aux personnes physiques ou morales qui, à titre professionnel, mettent en location un local à usage d'habitation ou à usage mixte professionnel et d'habitation, constituant la résidence principale du preneur. Le référentiel s'adresse également aux plateformes en ligne proposant des services relatifs à la gestion locative.

Des mesures à géométrie variable

En revanche, et "en raison de leurs particularités", le référentiel n'a pas vocation à s'appliquer aux traitements mis en œuvre par des organismes de droit public ou privé dans le cadre de la gestion d'un patrimoine immobilier à caractère social, ainsi qu'aux traitements mis en œuvre dans le cadre de locations saisonnières. Les bailleurs sociaux pourraient toutefois utilement s'inspirer de ses dispositions.

Comme il se doit pour ce type d'outil, le référentiel n'a pas de valeur contraignante. Il reste donc possible de s'en écarter au regard des conditions particulières tenant à la situation de l'organisme. Mais il pourra alors lui être demandé de justifier de l'existence d'un tel besoin et des mesures mises en œuvre afin de garantir la conformité des traitements à la règlementation en matière de protection des données à caractère personnel. De même, le document précise que les traitements mis en œuvre par les organismes louant un bien en gestion directe peuvent être moins susceptibles d'engendrer un risque pour les droits et libertés des personnes concernées. Dans ces conditions, des mesures moins strictes que celles présentées dans le référentiel peuvent donc être parfois suffisantes. Enfin, ce référentiel constitue une aide à la réalisation d'une analyse d'impact relative à la protection des données (AIPD), dans le cas où celle-ci est nécessaire.

"L'ensemble des traitements pendant toute la durée d'un contrat de bail"

En termes de champ d'application, le référentiel "a vocation à encadrer l'ensemble des traitements mis en œuvre pendant toute la durée d'un contrat de bail". Ceci recouvre plusieurs finalités, que la Cnil regroupe en quatre grandes thématiques. La première concerne les traitements visant à proposer des biens à louer, notamment pour l'analyse des critères des biens recherchés par d'éventuels locataires et l'envoi d'offres analogues de location. La seconde recouvre les opérations permettant de gérer la pré-contractualisation et la conclusion du contrat de bail : organisation des visites du logement, appréciation de la solvabilité des candidats à la location... La troisième correspond aux traitements relatifs à la gestion de la vie du contrat, dont notamment le suivi du paiement des loyers, les charges et dépôts de garantie, ou encore la gestion de l'occupation du logement. Enfin, la quatrième thématique correspond aux opérations relatives à la résiliation du contrat de bail, et notamment la fin de solidarité en cas de violences sur le conjoint ou sur un enfant résidant habituellement avec le titulaire du bail, ainsi qu'en cas de réduction du préavis.

Comme pour tous ses référentiels, la Cnil détaille ensuite différents aspects du traitement des données. C'est le cas des bases légales de chaque traitement, des données à caractère personnel concernées (en précisant notamment la nature des documents pouvant être collectés) ou encore des destinataires des informations collectées et des conditions d'accès aux informations, avec le cas particulier du transfert de données en dehors de l'Union européenne (a priori assez peu probable dans le cas d'une activité de gestion locative). Le référentiel s'attarde également sur les durées de conservation des données, qui vont de trois mois en base active (par exemple pour les données collectées au stade de l'appréciation de la solvabilité des candidats à la location) à cinq ans (par exemple pour les données du locataire collectées depuis la conclusion du bail jusqu'à sa résiliation, dans le cadre d'une gestion déléguée ou semi-déléguée). Enfin, le référentiel aborde aussi les questions relatives à l'information et aux droits des personnes, ainsi qu'aux mesures de sécurité à prendre "au regard des risques présentés par le traitement".