Le RGPD s'applique-t-il à la copropriété ?
Oui. Le RGPD (règlement général sur la protection des données, règlement UE 2016/679) s'applique à tout syndic qui traite des noms, adresses, coordonnées bancaires ou copies de pièces d'identité. Il doit respecter les principes de finalité, de sécurité et de conservation limitée des données.
Un syndic gère de nombreuses données personnelles : identité des copropriétaires, coordonnées, tantièmes (parts de copropriété servant à répartir les charges), et parfois des informations bancaires pour les prélèvements de charges. Le RGPD encadre strictement l'usage de ces informations, qu'il s'agisse d'un syndic professionnel ou d'un syndic bénévole.
- Nom, prénom, adresse postale et email des copropriétaires.
- Coordonnées bancaires pour les appels de fonds.
- Copies de pièces d'identité lors de certaines démarches.
Quelles données le syndic peut-il collecter et pour combien de temps ?
Le syndic ne peut collecter que les données nécessaires à la gestion de l'immeuble : identité, coordonnées, informations bancaires pour les charges. Les documents doivent être conservés seulement le temps utile, qui dépend de leur nature, puis supprimés ou archivés de façon sécurisée.
Le principe de minimisation impose au syndic de ne demander que les informations strictement utiles. Un syndic ne peut pas exiger, par exemple, la situation familiale ou professionnelle d'un copropriétaire sans justification liée à la gestion de l'immeuble.
Les durées de conservation varient selon le type de document. Les données d'un ancien copropriétaire ne doivent pas être gardées au-delà du temps nécessaire après la vente de son appartement. Ce point est régulièrement vérifié lors d'un changement de syndic.
- Collecte limitée aux données nécessaires à la gestion.
- Durée de conservation encadrée et documentée.
- Suppression des données après la vente d'un lot, une fois les obligations comptables éteintes.
Quels sont les droits des copropriétaires sur leurs données ?
Chaque copropriétaire dispose d'un droit d'accès, de rectification, d'opposition et de limitation sur ses données personnelles détenues par le syndic. Il peut demander à consulter les informations le concernant, corriger une erreur, ou s'opposer à un usage non justifié, en s'adressant directement au syndic.
Ces droits découlent des articles 15 à 21 du règlement UE 2016/679. Un copropriétaire peut, par exemple, demander pourquoi son adresse email a été transmise à un prestataire de travaux sans son accord explicite.
En pratique, la demande se fait par écrit auprès du syndic. Le syndic doit répondre dans un délai d'un mois, prolongeable de deux mois si la demande est complexe (article 12 du RGPD). Sans réponse, le copropriétaire peut relancer le syndic puis saisir la CNIL. Ce droit s'exerce indépendamment des droits liés au conseil syndical ou aux assemblées générales.
- Droit d'accès aux informations détenues par le syndic.
- Droit de rectification en cas d'erreur.
- Droit d'opposition à un traitement non justifié.
La vidéosurveillance des parties communes est-elle encadrée par le RGPD ?
Oui. La vidéosurveillance des parties communes doit respecter le RGPD : vote en assemblée générale, information des résidents et conservation limitée des images, que la CNIL recommande de ne pas faire durer plus d'un mois. Elle ne peut pas filmer l'intérieur des logements privatifs.
L'installation de caméras dans les parties communes est une décision qui relève du vote en assemblée générale, à la majorité de l'article 25 de la loi du 10 juillet 1965. Le sujet est détaillé dans notre article sur la vidéosurveillance des parties communes.
La CNIL recommande un affichage clair informant les résidents et les visiteurs de la présence de caméras, avec mention du responsable de traitement et des modalités d'exercice des droits (CNIL, La vidéosurveillance dans les immeubles d'habitation).
- Vote en assemblée générale nécessaire avant installation.
- Information visible des résidents et visiteurs obligatoire.
- Conservation des images limitée dans le temps.
Que risque un syndic en cas de manquement au RGPD ?
Un syndic qui ne respecte pas le RGPD s'expose à une plainte auprès de la CNIL, qui peut prononcer une mise en demeure ou une sanction financière selon la gravité du manquement. En cas de violation de données susceptible de créer un risque pour les personnes, la CNIL doit être notifiée dans les meilleurs délais et, si possible, dans les 72 heures (article 33 du RGPD).
Les sanctions de la CNIL varient selon la gravité des faits et la taille de la structure. Un manquement récurrent, comme la transmission de coordonnées bancaires sans sécurisation, peut justifier une intervention de la CNIL. Ce risque fait partie des critères à examiner lors d'une mise en concurrence du syndic.
- Plainte possible auprès de la CNIL par tout copropriétaire.
- Notification à la CNIL si possible sous 72 heures en cas de violation présentant un risque.
- Sanctions proportionnées à la gravité du manquement.