AgentPublic/cnil huggingface dataset:
pour les données relatives au candidat à la location retenu : 
la durée contractuelle et jusqu’à la clôture des comptes du locataire en base active est en principe adéquate est en principe adéquate, puis en archivage intermédiaire pendant une durée ne pouvant en principe excéder :
trois (3) ans 
en cas de gestion directe (délai de prescription en matière de baux) ;
cinq (5) ans 
en cas de gestion déléguée ou semi-déléguée (délai de prescription en matière civile). 
pour les données du locataire collectées depuis la conclusion
du bail jusqu’à sa résiliation :
la durée contractuelle jusqu’à la clôture des comptes du locataire est en principe une durée de conservation en base active adéquate. A l’issue de cette période, les données peuvent être archivées, en archivage intermédiaire. Les durées d’archivages intermédiaires considérées comme adéquates sont en principe les suivantes :
le temps de la prescription en matière de contrat de bail, à savoir trois (3) ans dans le cadre d’une gestion directe ou semi-déléguée (selon la répartition des tâches entre le mandataire et le mandant) ;
le temps de la prescription civile, à savoir cinq (5) ans dans le cadre d’une gestion déléguée ou semi-déléguée (selon la répartition des tâches entre le mandataire et le mandant).
les données collectées
dans le cadre de la résiliation
du contrat justifiant la fin de solidarité ou la réduction du préavis ne peuvent par principe pas faire l’objet d’une conservation par le propriétaire, sauf à justifier d’un besoin particulier. Elles peuvent en revanche être conservée jusqu’à la validation par le propriétaire de la réduction du préavis ou de la fin de solidarité en cas de gestion indirecte, sous réserve de mettre en œuvre des mesures fortes permettant d’en assurer la sécurité et la confidentialité.
54/ Les données peuvent être conservées plus longtemps que les durées mentionnées ci-dessus, en archivage intermédiaire, si le responsable du traitement en a l’obligation légale (par exemple, pour répondre à des obligations comptables, sociales ou fiscales) ou s’il a besoin de se constituer une preuve en cas de contentieux et dans la limite du délai de prescription/forclusion applicable, en matière de discrimination par exemple. La durée de l’archivage intermédiaire doit cependant répondre à une réelle nécessité, dûment justifiée par le responsable de traitement après une analyse préalable de différents facteurs, notamment le contexte, la nature des données traitées et le niveau de risque d’un éventuel contentieux.
55/ En cas de résiliation du mandat de gestion, le professionnel de l'immobilier, ancien mandataire, remet l'ensemble des informations relatives à la gestion locative au nouveau bailleur ou mandataire. Il peut garder copie de tout document nécessaire pour lui permettre de se prémunir d'un contentieux en archivage intermédiaire pendant une durée de cinq (5) ans. Il est cependant recommandé de les anonymiser lorsque cela est possible ou de les pseudonymiser afin de réduire autant que possible le caractère directement identifiant.
Pour en savoir plus, consulter la rubrique 
Les durées de conservation des données 
 sur le site web de la CNIL.
 
8.2 La conservation de données anonymisées
56/ La réglementation relative à la protection des données à caractère personnel ne s’applique pas, notamment en ce qui concerne les durées de conservation, aux données anonymisées. Il s’agit des données qui ne peuvent plus, par quiconque, être mises en relation avec la personne physique identifiées auxquelles elles se rapportent.
57/ Ainsi, le responsable du traitement peut conserver sans limitation de durée les données anonymisées. Dans ce cas, l’organisme concerné doit garantir le caractère anonymisé des données de façon pérenne. 
Il est rappelé qu’en général, la simple suppression des nom et prénoms des personnes ne constitue qu’une pseudonymisation, inopérante à garantir les données contre le risque de réidentification.
58/ Pour en savoir plus, vous pouvez vous référer aux guides de la CNIL :
Sécurité : Archiver de manière sécurisée  ;
Limiter la conservation des données .
.
Les données utilisées à des fins statistiques ne sont plus qualifiées de données à caractère personnel dès lors qu’elles auront ont été dûment anonymisées (pour en savoir plus, vous pouvez vous référer aux 
lignes directrices du CEPD
 sur l’anonymisation).
 
9. Information des personnes
59/ Un traitement de données à caractère personnel doit être mis en œuvre en toute transparence vis-à-vis des personnes concernées.
 
9.1 Contenu de l’information à délivrer
60/ L’information communiquée aux personnes concernées doit se faire dans les conditions prévues par les articles 12, 13 et 14 du RGPD. 
61/ 
Dè
s le stade de la collecte des données personnelles, les personnes concernées doivent être informées de 
l’existence du traitement et de ses caractéristiques essentielles (parmi lesquelles
l’identité du responsable du traitement et l’objectif poursuivi)
 ainsi que des droits dont elles disposent
. 
62/ Le contrat conclu entre le mandataire et le mandant peut préciser les modalités pratiques d’informations des personnes concernées, notamment si le propriétaire souhaite déléguer cette mission au mandataire. 
Des exemples de mentions d’information sont disponibles sur le site web de la CNIL et peuvent être consultés dans la rubrique 
RGPD : exemples de mentions d'information 
.
 
9.2 Les modalités de l’information
9.2.1 Information des candidats à la location et locataires
63/ Afin de respecter pleinement les principes de loyauté et de transparence et conformément à l’article 13 du RGPD, les personnes doivent être directement informées au moment où les données sont collectées. 
64/ Afin que les informations devant être portées à la connaissance des candidats soient aisément accessibles, il est recommandé qu’une politique de confidentialité reprenant l’ensemble des mentions exigées à l’article 13 du RGPD soit jointe à la liste des pièces justificatives à fournir. 
65/ Un lien renvoyant vers la politique de confidentialité peut également être inséré dans l’annonce de location, dans les courriels à destination des candidats ainsi que sur le formulaire de contact sur le site web de l’agence immobilière à l’attention des personnes intéressées par une annonce.
 
9.2.2 Information des garants
66/ Conformément à l’article 14 du RGPD, le responsable de traitement doit informer par tout moyen les personnes se portant garantes dans un délai raisonnable, ne pouvant pas dépasser un mois, à la suite de la réception du dossier de location. 
67/ Le responsable de traitement peut par exemple, dès lors qu’il est en mesure de le démontrer, informer directement les garants par voie postale, ou fournir un document informatif au candidat, à la condition que ce dernier s’engage à le communiquer à ses garants. 
 
10. Droits des personnes
68/
Les personnes concernées disposent des droits suivants, qu’ils exercent dans les conditions prévues par le RGPD (pour aller plus loin, voir la rubrique dédiée aux 
droits
 
respecter les droits des personnes 
 sur le site web de 
la CNIL)
 :
droit d’accès à leur dossier, ainsi qu’à toutes les données les concernant de manière générale ;
droit de rectification des données les concernant, 
si elles sont inexactes ;
droit d’effacement des données qui les concernent sous réserve des conditions d’exercice de ce droit en application des dispositions de l’article 17 du RGPD ;
droit à la limitation du traitement. Par exemple, lorsque la personne conteste l’exactitude de ses données, elle peut demander à l’organisme le gel temporaire du traitement de ses données, le temps que celui-ci procède aux vérifications nécessaires concernant sa demande ;
droit à la portabilité dans les conditions prévues à l’article 20 du RGPD ;
droit de s’opposer au traitement de leurs données, sous réserve des conditions d’exercice de ce droit en application des dispositions de l’article 21 du RGPD. Ainsi, le droit d’opposition ne trouve à s’appliquer que lorsque le traitement repose sur l’intérêt légitime poursuivi par le responsable de traitement ou un tiers (par exemple lorsque le responsable de traitement envoie des 
propositions de locations analogues au bien pour lequel la personne concernée a présenté un intérêt). Il ne
trouvera en revanche pas à s’appliquer lorsque le traitement repose sur une obligation légale ou sur l’exécution du contrat.
69/ Il est à noter que le choix d’une base légale du traitement conditionne l’existence de certains droits (
https://www.cnil.fr/fr/la-liceite-du-traitement-lessentiel-sur-les-bases-legales-prevues-par-le-rgpd
).
 Ainsi, la transmission 
de statistiques aux observatoires locaux des loyers répond 
à une obligation légale. Le locataire ne peut dès lors s’opposer par principe au traitement de ses données à caractère personnel, conformément aux dispositions de l’article 21 du RGPD. 
 
11. Sécurité
70/ L’organisme doit prendre toutes les précautions utiles au regard des risques présentés par son traitement 
pour préserver la sécurité des données à caractère personnel et, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès. 
71/ En particulier, dans le contexte spécifique du présent référentiel, l’organisme est invité à adopter les mesures suivantes ou à pouvoir sinon justifier de la mise en place de mesures équivalentes ou de leur absence de nécessité ou de possibilité tenant à leur situation particulière 
:
 
Categories
Mesures
Sensibiliser les utilisateurs
Informer et sensibiliser les personnes manipulant les données
Rédiger une charte informatique et lui donner une force contraignante
Authentifier les utilisateurs
Définir un identifiant (login) unique à chaque utilisateur
Adopter une politique de mots de passe utilisateur conforme aux recommandations de la CNIL
Obliger l’utilisateur à changer son mot de passe après réinitialisation
Limiter le nombre de tentatives d’accès à un compte
Assurer la confidentialité des données
Envoyer des courriels groupés à des destinataires en copie cachée
Ne pas faire apparaître des identifiants et des mots de passe en clair sur les courriers d’appels de charges
Détruire les documents papier de manière sécurisée, notamment en les déchiquetant avant de les jeter ou en ayant recours à des poubelles sécurisées
Gérer les habilitations
Définir des profils d’habilitation
Supprimer les permissions d’accès obsolètes
Réaliser une revue annuelle des habilitations
Tracer les accès et gérer les incidents
Prévoir un système de journalisation
Informer les utilisateurs de la mise en place du système de journalisation
Protéger les équipements de journalisation et les informations journalisées
Prévoir les procédures pour les notifications de violation de données à caractère personnel
Sécuriser les postes de travail
Prévoir une procédure de verrouillage automatique de session
Utiliser des antivirus régulièrement mis à jour
Installer un pare-feu (firewall) logiciel
Recueillir l’accord de l’utilisateur avant toute intervention sur son poste
Sécuriser l'informatique mobile
Prévoir des moyens de chiffrement des équipements mobiles
Faire des sauvegardes ou des synchronisations régulières des données
Exiger un secret pour le déverrouillage des ordiphones (smartphones)
Protéger le réseau informatique interne
Limiter les flux réseau au strict nécessaire
Sécuriser les accès distants des équipements informatiques nomades par VPN
Mettre en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi
Sécuriser les serveurs
Limiter l’accès aux outils et interfaces d’administration aux seules personnes habilitées
Installer sans délai les mises à jour critiques
Assurer une disponibilité des données
Sécuriser les sites web
Utiliser le protocole TLS et vérifier sa mise en œuvre
Vérifier qu'aucun mot de passe ou identifiant n’est transmis dans les URL
Contrôler que les entrées des utilisateurs correspondent à ce qui est attendu
Recueillir le consentement des utilisateurs pour le dépôt des cookies qui ne sont pas strictement nécessaires à la fourniture du service
Sauvegarder et prévoir la continuité d'activité
Effectuer des sauvegardes régulières
Stocker les supports de sauvegarde dans un endroit sûr
Prévoir des moyens de sécurité pour le convoyage des sauvegardes
Prévoir et tester régulièrement la continuité d'activité
Archiver de manière sécurisée
Mettre en œuvre des modalités d’accès spécifiques aux données archivées
Détruire les archives obsolètes de manière sécurisée
Encadrer la maintenance et la destruction des données
Enregistrer les interventions de maintenance dans une main courante
Encadrer par un responsable de l’organisme les interventions par des tiers
Effacer les données de tout matériel avant sa mise au rebut
Gérer la sous-traitance
Prévoir une clause spécifique dans les contrats des sous-traitants
Prévoir les conditions de restitution et de destruction des données
S’assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.)
Sécuriser les échanges
Chiffrer les données avant leur envoi
S’assurer qu'il s'agit du bon destinataire
Transmettre le secret lors d'un envoi distinct et via un canal différent
Prévoir un canal sécurisé pour le dépôt des dossiers des candidats à la location (par exemple : formulaire de dépôt via HTTPS sur le site web de l’organisme)
Protéger les locaux
Restreindre les accès aux locaux au moyen de portes verrouillées
Installer des alarmes anti-intrusion et les vérifier périodiquement
Encadrer les développements informatiques
Proposer des paramètres respectueux de la vie privée aux utilisateurs finaux
Tester sur des données fictives ou anonymisées
Utiliser des fonctions cryptographiques
Utiliser des algorithmes, des logiciels et des bibliothèques reconnues
Conserver les secrets et les clés cryptographiques de manière sécurisée
 
Pour ce faire, le responsable de traitement pourra utilement se référer au Guide de la sécurité des données personnelles
.
 
12. Analyse d’impact relative à la protection des données (AIPD)
72/ 
En application des dispositions de l’article 35 du RGPD,
le responsable de traitement pourrait avoir à réaliser une analyse d’impact
 dès lors que le traitement qu’il met en œuvre est susceptible de présenter un risque élevé pour les droits et les libertés des personnes concernées. 
Il conviendra tout d’abord de se référer:
à 
la liste des traitements pour lesquels une analyse d’impact n’est pas requise
; puis
à la 
liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise.
73/ Dans la mesure où le traitement mis en œuvre n’est pas présent sur l’une de ces listes, il est nécessaire de s’interroger sur la nécessité d’effectuer une AIPD.
74/ Pour ce faire, il convient de s’appuyer sur les critères établis par le Comité européen de la protection des données (CEPD) dans 
les lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD)
.
Conformément à ce texte, la réalisation d’une AIPD est obligatoire dès lors qu’au moins deux des neuf critères sont remplis :
évaluation ou notation d’une personne ;
prise de décision automatisée ; 
surveillance systématique ;
traitement de données sensibles ou à caractère hautement personnel ;
traitement à grande échelle ;
croisement ou combinaison d’ensembles de données ;
données concernant des personnes vulnérables ;
utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles ;
traitements qui empêchent les personnes d’exercer un droit ou de bénéficier d’un service ou d’un contrat.
75/ Dans le cadre de la gestion locative, le responsable de traitement paraît en principe devoir réaliser une analyse d’impact dans la mesure où il remplit les critères relatifs :
aux données sensibles ou à caractère hautement personnel (notamment les données financières) ;
à la large échelle du fait d’un volume important de données et du nombre potentiellement élevé de personnes concernées ;
à l’évaluation des candidats à la location ;
aux éventuelles données relatives aux infractions, condamnations et mesures de sûreté.
.
Pour réaliser une étude d’impact, le responsable de traitement pourra :
se reporter aux principes contenus dans ce référentiel ;
se référer aux outils méthodologiques proposés par la CNIL sur son site web.
Si l’organisme en a désigné un, le DPD/DPO devra être consulté.
76/ Conformément à l’article 36 du RGPD, le responsable de traitement doit consulter la CNIL préalablement à la mise en œuvre du traitement si l’analyse d’impact indique qu’il ne parvient pas à identifier des mesures suffisantes pour réduire les risques à un niveau acceptable.
La Commission nationale de l'informatique et des libertés,
Vu le code de la défense, notamment ses articles R. 2311-7 à R. 2311-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 141 et suivants ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 72 ;
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Décide :
Article 1
Sont désignés, aux fins de l'application des article 108 et 118 de la loi du 6 janvier 1978 modifiée, les membres suivants de la Commission, spécifiquement habilités à cet effet :
	Mme Marie-Laure DENIS, conseillère d'Etat ;
	M. Bertrand du MARAIS, conseiller d'Etat ;
	Mme Christine MAUGÜE, conseillère d'Etat ;
	Mme Sophie LAMBREMON, conseillère honoraire à la Cour de cassation ;
	M. Alexandre LINDEN, conseiller honoraire à la Cour de cassation ;
	M. Philippe-Pierre CABOURDIN, conseiller maître à la Cour des Comptes ;
	Mme Isabelle LATOURNARIE-WILLEMS, conseillère maître à la Cour des Comptes.
Article 2
Les membres de la Commission désignés mènent les investigations utiles dans le cadre de l'exercice indirect des droits des personnes concernées tel que prévu aux articles 52, 108 et 118 de la loi du 6 janvier 1978 modifiée. Dans le cadre de ces vérifications, ils sont chargés de faire procéder aux modifications et suppressions nécessaires et de déterminer, en accord avec le responsable du traitement, si le résultat des vérifications menées ainsi que, le cas échéant, les données en cause peuvent être communiqués au requérant.
Article 3
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé et le secrétaire d'État chargé de la transition numérique et des communications électroniques d'une demande d'avis relative au projet de décret portant application du II de l'article 1er de la loi n° 2021- 689 du 31 mai 2021 relatif à la gestion de la sortie de crise sanitaire ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire, et notamment son article 1.II.E ;
Vu la délibération n° 2021-054 du 12 mai 2021 portant avis sur le projet de mise en place d'un passe sanitaire conditionnant l'accès à certains lieux, évènements ou établissements impliquant de grands rassemblements de personnes ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie en urgence, le 31 mai 2021, par le ministre des solidarités et de la santé et le secrétaire d'Etat chargé de la transition numérique et des communications électroniques, d'une demande d'avis relative au projet de décret portant application du II de l'article 1er de la loi n° 2021-689 du 31 mai 2021 relatif à la gestion de la sortie de crise sanitaire. Elle tient néanmoins à souligner que le principe du passe sanitaire a très certainement fait l'objet de réflexions au sein du Gouvernement depuis plusieurs semaines, voire plusieurs mois. Ainsi, bien que la loi prévoyant l'adoption du projet de décret dont elle est saisie ait été adoptée le 31 mai dernier, la Commission regrette vivement de ne pas avoir été associée, en amont, à ces réflexions.
Cette loi prévoit que le Premier ministre peut, du 2 juin au 30 septembre 2021 et si cela est strictement proportionné aux risques sanitaires encourus, prendre un certain nombre de mesures adaptées à la gestion de la crise sanitaire. Parmi celles-ci, les dispositions du paragraphe II de l'article 1er de loi n° 2021-689 précitée, jugées conformes à la Constitution par le Conseil constitutionnel (décision n° 2021-819 DC du 31 mai 2021), autorisent le Premier ministre à subordonner à la présentation d'un passe sanitaire , d'une part, certains déplacements en provenance ou à destination de la France métropolitaine, de la Corse ou des Outre-mer et, d'autre part, l'accès à certains lieux, établissements ou évènements pour les grands rassemblements de personnes. Le déplacement ou l'accès ne sont alors autorisés que sur présentation de trois justificatifs alternatifs : un test de dépistage à la covid-19 négatif, un justificatif de vaccination ou un certificat de rétablissement à la suite d'une contamination. Un décret détermine, après avis du conseil scientifique, les éléments permettant d'établir ces justificatifs.
Outre, d'une part, le décret par lequel le Premier ministre décide de recourir à la mesure de police administrative consistant à subordonner certains déplacements ou grands rassemblements à la présentation d'un passe sanitaire et, d'autre part, le décret pris après avis du conseil scientifique, le E du paragraphe II de l'article 1er de la même loi prévoit qu'un troisième décret, pris après avis de la Commission, vient déterminer les modalités d'application du passe sanitaire, pour toute la période s'étendant du 2 juin au 30 septembre 2021. Ce décret doit notamment venir préciser les personnes autorisées à contrôler les justificatifs ainsi que leurs modalités d'habilitation et les conditions dans lesquelles les systèmes d'information constitués au sein des Etats membres de l'Union européenne sont reconnus comme supports de présentation.