RGPD locataires : que garder, combien de temps, quoi détruire

Le dossier d’un locataire en place se conserve le temps du bail puis trois ans en archivage (cinq si tu passes par un mandataire) ; le dossier d’un candidat que tu n’as pas retenu, trois mois maximum ; et tout justificatif inutile à la décision doit être détruit ou renvoyé. C’est ce que pose le référentiel « gestion locative » de la CNIL.

Le RGPD fait peur parce qu’il sonne « entreprise du CAC 40 », alors qu’il s’applique aussi à toi, petit bailleur avec deux chambres à Rennes ou un studio à Toulouse. Dès que tu collectes la pièce d’identité, le bulletin de salaire et l’avis d’imposition d’un candidat, tu traites des données personnelles — et tu deviens responsable de traitement au sens de la réglementation.

La bonne nouvelle : les obligations concrètes tiennent en quelques règles simples. Pas besoin de désigner un délégué à la protection des données ni de tenir un registre digne d’une multinationale. Il faut surtout savoir ce que tu as le droit de garder, combien de temps, et comment réagir le jour où un ancien locataire t’écrit « supprimez toutes mes données ». Cet article te donne le tableau de rétention exact et le script de réponse prêt à l’emploi.

RGPD et location : pourquoi ça te concerne directement

Le règlement (UE) 2016/679, dit RGPD, encadre tout traitement de données personnelles. Une donnée personnelle, c’est tout ce qui permet d’identifier une personne : nom, adresse, numéro de téléphone, revenus, situation familiale. Quand tu sélectionnes un candidat puis gères un bail, tu manipules tout cela.

Ta base légale pour collecter ces données est double et solide : l’exécution du contrat de bail (et les démarches précontractuelles, comme l’étude de solvabilité) et, pour la sélection, ton intérêt légitime à louer à une personne solvable. Tu n’as donc pas besoin du « consentement » au sens RGPD pour demander un dossier — la loi t’y autorise déjà, dans les limites du décret encadrant les pièces que tu peux exiger.

Trois principes structurent tout le reste. La minimisation : tu ne collectes que ce qui est utile à la décision. La limitation de conservation : tu ne gardes pas indéfiniment. La sécurité : tu protèges les données contre la perte ou l’accès non autorisé. Pour t’aider, la CNIL a publié un référentiel dédié à la gestion locative (adopté le 6 mai 2021) qui sert de mode d’emploi à jour — c’est lui qui fixe les durées ci-dessous.

Le tableau de rétention : que garder et combien de temps

C’est le cœur du sujet. Le référentiel CNIL « gestion locative » donne des durées de référence selon le type de donnée et le statut de la personne. Voici la traduction opérationnelle pour un bailleur particulier qui gère lui-même (ce que la CNIL appelle la « gestion directe »).

Donnée / situation	Durée de conservation (base active)	Après cette période
Candidat non retenu (dossier de solvabilité)	3 mois maximum	Suppression
Candidat retenu / locataire en place	Durée du bail + jusqu’à la clôture des comptes	Archivage intermédiaire : 3 ans (gestion directe), 5 ans (gestion déléguée)
Justificatifs inutiles à la décision (pièces superflues)	À ne pas conserver	Renvoi ou destruction immédiate
Données prouvant la fin de solidarité / réduction de préavis	Le temps de valider la situation	Pas de conservation de principe par le bailleur
Litige en cours (impayé, dégradation, discrimination alléguée)	Le temps de la procédure	Limite : délai de prescription applicable

Trois points méritent une explication, parce que c’est là que les bailleurs se trompent.

Le candidat refusé, c’est trois mois, pas « au cas où ». Une fois la chambre attribuée, tu n’as plus de raison légitime de garder les dossiers des candidats écartés au-delà de trois mois. La CNIL considère « adéquate » une durée de trois mois en base active pour les données collectées au stade de l’appréciation de la solvabilité. Garder ces dossiers « pour la prochaine fois » sans base légale est une faute classique.

Le locataire en place : le bail, puis l’archivage. Pendant le bail, tu conserves le dossier en « base active ». À la sortie du locataire et la clôture de ses comptes (dépôt restitué, soldes réglés), tu bascules en archivage intermédiaire — un stockage à accès restreint, que tu ne consultes qu’en cas de besoin. La CNIL retient comme durée d’archivage le délai de prescription des actions liées au bail : trois ans quand tu gères toi-même. Ce délai de trois ans correspond à la prescription triennale prévue par la loi du 6 juillet 1989 pour les actions issues du contrat de bail. Si tu confies la gestion à un professionnel, la CNIL admet cinq ans (prescription civile de droit commun).

Le contentieux décale tout — mais dans la limite de la prescription. Si un litige est ouvert (impayé, dégradation, ou une accusation de discrimination à la sélection), tu peux conserver les pièces nécessaires comme preuve, le temps de la procédure et dans la limite du délai de prescription ou de forclusion. Ce n’est pas un blanc-seing pour tout garder : la conservation doit répondre à une nécessité réelle, justifiée.

Si tu jongles encore entre un classeur papier, des PDF sur ton ordinateur et des photos dans WhatsApp, c’est précisément là que les durées dérapent — on oublie ce qu’on a, donc on ne supprime jamais rien. Que tu sois en bail meublé ou en bail vide, centraliser les documents de chaque location au même endroit, avec une date claire, rend la purge des dossiers périmés bien plus simple. Plinthos stocke ces documents sur des serveurs situés dans l’Union européenne (Francfort), avec chiffrement en transit et au repos.

Justificatifs de revenus et copie de la pièce d’identité : le point sensible

Deux types de pièces concentrent la majorité des erreurs : les justificatifs de ressources et la copie de la carte d’identité.

Les justificatifs de revenus (bulletins de salaire, avis d’imposition, attestation employeur) servent à apprécier la solvabilité avant la signature. Une fois le candidat retenu et entré dans les lieux, leur utilité pour la décision a disparu. La logique de minimisation veut donc que tu ne les conserves pas par défaut au-delà de ce qui est nécessaire — et que tu détruises ceux des candidats refusés au terme des trois mois. Si tu estimes en avoir besoin plus longtemps (par exemple pour justifier ta sélection en cas de contestation), garde-les en archivage limité et documente pourquoi, plutôt que de tout conserver « par habitude ».

Les pièces superflues, elles, n’auraient jamais dû arriver chez toi. Si un candidat t’envoie spontanément un livret de famille, un relevé bancaire ou un extrait de casier — documents que tu n’as pas le droit d’exiger — la CNIL recommande de les renvoyer ou de les supprimer pour rester en conformité. Ne les classe pas « au cas où » : leur simple présence dans ton dossier est un risque.

La copie de la pièce d’identité demande de la nuance. Tu as le droit de vérifier l’identité d’un candidat et d’en conserver une copie parmi les documents nécessaires ; la CNIL admet même de garder ces copies en archivage pour te prémunir d’un contentieux, mais elle recommande de les anonymiser ou pseudonymiser dès que possible pour réduire ce qui est directement identifiant. En pratique, pour un petit bailleur, le réflexe le plus sûr est de ne garder une copie de CNI que le temps réellement utile : une copie d’identité égarée ou piratée est un terrain de fraude. Moins tu en gardes, moins tu exposes ton locataire — et toi-même.

Ce sujet rejoint celui de la sélection d’un locataire sans discriminer : la liste des pièces que tu peux demander est limitative, et le RGPD ajoute une couche — non seulement tu ne demandes que le permis, mais tu ne gardes que le nécessaire, le temps nécessaire.

Le script de réponse à une demande d’accès ou de suppression

Un jour, un ancien locataire (ou un candidat refusé) t’écrit : « Au titre du RGPD, communiquez-moi toutes les données que vous détenez sur moi » ou « supprimez mon dossier ». Ce sont deux droits distincts du règlement : le droit d’accès (article 15) et le droit à l’effacement (article 17), aussi appelé « droit à l’oubli ». Tu dois répondre, en principe dans un délai d’un mois.

Tu peux refuser d’effacer si tu as encore une raison légitime de conserver : un bail en cours, une obligation légale (par exemple comptable ou fiscale), ou un litige où les pièces te servent de preuve dans la limite de la prescription. En revanche, tu ne peux pas refuser sans motif, ni ignorer la demande.

Voici un script que tu peux adapter.

Bonjour [Prénom Nom],

J’accuse réception de votre demande relative à vos données personnelles, reçue le [date].

Données que je détiens vous concernant : [lister — ex. dossier de candidature, copie de pièce d’identité, justificatifs de revenus, contrat de bail, états des lieux, historique des paiements].

Base et durée de conservation : ces données sont conservées au titre de [la gestion de votre bail / l’étude de votre candidature], pour une durée de [le bail puis 3 ans d’archivage / 3 mois].

Suite donnée à votre demande : – [Cas suppression possible] : votre bail étant clos et aucun litige n’étant en cours, je procède à la suppression de votre dossier sous [délai], à l’exception des documents que la loi m’oblige à conserver (justificatifs comptables/fiscaux), archivés de façon restreinte jusqu’à expiration du délai légal. – [Cas refus partiel] : je ne peux pas supprimer [tel document] car [bail en cours / obligation légale / litige n° … en cours]. Il sera supprimé à l’échéance de [date / fin de la prescription].

Vous pouvez à tout moment saisir la CNIL si vous estimez vos droits non respectés.

Cordialement, [Ton nom]

Garde une trace écrite de la demande et de ta réponse : c’est ta preuve d’avoir réagi dans les délais. Si tu utilises un outil de gestion, l’export des données et la suppression du compte facilitent considérablement cette réponse — Plinthos permet l’export des données au format JSON et la suppression de compte, ce qui couvre l’essentiel d’une demande d’accès ou d’effacement.

Comment te mettre en conformité sans y passer tes week-ends

Tu n’as pas besoin d’une usine à gaz. Quatre réflexes suffisent à couvrir l’essentiel pour un bailleur de une à trois locations.

Premièrement, ne collecte que le nécessaire : la pièce d’identité, le justificatif de domicile, l’attestation d’activité et de ressources — rien de plus. Deuxièmement, purge régulièrement : une fois par an, supprime les dossiers des candidats refusés de plus de trois mois et les archives de baux clos au-delà de trois ans. Troisièmement, sécurise : un dossier locataire n’a rien à faire dans une conversation WhatsApp ou un mail non protégé ; un espace dédié et chiffré vaut mieux. Quatrièmement, informe : dis à tes locataires, ne serait-ce qu’en une phrase dans le bail ou un document annexe, quelles données tu collectes, pourquoi, et combien de temps tu les gardes.

Ces gestes ne sont pas que de la conformité : ils te protègent. Le jour où un locataire conteste, où ta boîte mail est piratée, ou où tu reçois une demande d’effacement, un dossier propre et daté te fait gagner un temps fou.

Questions fréquentes

Suis-je vraiment soumis au RGPD si je n’ai qu’une seule chambre en location ?

Oui. Le RGPD ne dépend pas du nombre de logements mais du fait que tu traites des données personnelles de façon non purement domestique. Dès que tu sélectionnes des candidats et gères un bail, tu es responsable de traitement. Les obligations restent toutefois proportionnées à ton activité.

Dois-je déclarer mes traitements à la CNIL ou désigner un DPO ?

Non, pas pour une activité de bailleur particulier de cette taille. La déclaration préalable a disparu avec le RGPD, et la désignation d’un délégué à la protection des données (DPO) n’est obligatoire que dans des cas précis qui ne te concernent pas. Tu dois en revanche respecter les principes (minimisation, durées, sécurité, droits des personnes).

Combien de temps puis-je garder le dossier d’un candidat que je n’ai pas retenu ?

Trois mois maximum en base active, selon le référentiel CNIL. Au-delà, tu n’as plus de raison légitime de le conserver et tu dois le supprimer — sauf litige spécifique en cours, et dans la limite de la prescription.

Un locataire peut-il exiger que je supprime son dossier pendant le bail ?

Non, pas tant que le bail est en cours : tu as besoin de ces données pour exécuter le contrat. Après son départ et la clôture des comptes, il peut demander l’effacement, que tu honores sauf obligation légale de conservation (comptable, fiscale) ou litige en cours.

Que risque un bailleur qui ne respecte pas ces règles ?

La CNIL peut prononcer des sanctions, y compris des amendes. Au-delà du risque financier, conserver des pièces interdites ou trop longtemps t’expose aussi en cas de litige ou de réclamation. La logique « moins j’en garde, mieux je me protège » est la plus saine.

---

Cet article est informatif et ne remplace pas un conseil juridique personnalisé. Les durées de conservation citées proviennent du référentiel « gestion locative » de la CNIL (adopté le 6 mai 2021) ; vérifie les évolutions sur cnil.fr et, en cas de doute sur une situation particulière, rapproche-toi d’un professionnel du droit ou de l’ADIL de ton département.