RGPD et copropriété : le guide du syndic (2026)

Le RGPD, on a tendance à croire que ça ne concerne que les grandes entreprises. Pourtant, un syndic — même bénévole, même pour un immeuble de 8 lots — manipule en permanence des données personnelles : noms, adresses, coordonnées bancaires, soldes débiteurs, échanges d'emails. À ce titre, il a des obligations précises. Ce guide fait le tour, concrètement et sans inquiéter pour rien, de ce qu'un syndic doit savoir et mettre en place en 2026.

Pourquoi le syndic est concerné (responsable de traitement)

Le règlement général sur la protection des données (règlement (UE) 2016/679, dit « RGPD ») s'applique dès qu'on traite des données à caractère personnel. Or la gestion d'une copropriété en regorge : identité et coordonnées des copropriétaires, RIB pour les prélèvements, montants dus, historique des impayés, échanges écrits.

La CNIL est claire sur ce point : lorsqu'une loi impose au syndic de collecter ou d'utiliser des données, il est responsable de traitement. C'est notamment le cas pour donner accès en ligne aux documents dématérialisés de la copropriété (extranet / portail, qui suppose des identifiants — article 18 de la loi du 10 juillet 1965) et pour établir la liste des copropriétaires dans le cadre de la gestion administrative (article 32 du décret du 17 mars 1967).

« Responsable de traitement », ça veut dire que c'est vous (le syndic) qui décidez pourquoi et comment les données sont traitées — et donc vous qui en répondez. Que vous soyez un cabinet professionnel ou un copropriétaire bénévole ne change rien au principe.

Le registre des traitements

Première brique concrète : le registre des activités de traitement. C'est un document interne qui recense, pour chaque traitement de données, l'essentiel : à quoi il sert, quelles données, qui y a accès, combien de temps on les garde. Il sert à la fois de cartographie (vous savez ce que vous faites) et de preuve de conformité.

Pour un syndic, le registre liste typiquement des traitements comme :

• Gestion des copropriétaires (liste, coordonnées, lots, tantièmes) ;
• Comptabilité et appels de fonds (RIB, prélèvements, soldes) ;
• Recouvrement des impayés (relances, mises en demeure, suivi de procédure) ;
• Assemblées générales (convocations, votes, procès-verbaux) ;
• Portail / extranet copropriétaire (identifiants, connexions) ;
• Messagerie (échanges email avec les copropriétaires et prestataires).

Pour chaque ligne, on note la finalité, la base légale, les catégories de données et de personnes, les destinataires, la durée de conservation et les mesures de sécurité. Inutile d'en faire une thèse : un tableau clair et tenu à jour suffit largement pour une copropriété.

Base légale et finalités

Le RGPD impose que chaque traitement repose sur une base légale et serve une finalité déterminée. On ne collecte pas des données « au cas où » : on les collecte pour une raison précise et légitime. Pour un syndic, les bases légales mobilisées sont essentiellement :

• L'obligation légale. La loi du 10 juillet 1965 et le décret du 17 mars 1967 imposent au syndic de tenir la liste des copropriétaires, la comptabilité, de convoquer l'AG, etc. Le traitement découle directement de ces obligations.
• L'exécution d'un contrat / du mandat de syndic confié par le syndicat des copropriétaires.
• L'intérêt légitime, pour certains traitements accessoires (par exemple sécuriser l'accès au portail), à condition de respecter les droits des personnes.

Le réflexe à garder : pas de finalité sans base légale, pas de collecte sans finalité. Et le principe de minimisation — ne collecter que les données strictement nécessaires. Vous n'avez, par exemple, aucune raison de stocker des informations sur la situation familiale ou la profession d'un copropriétaire si la gestion ne l'exige pas.

Durée de conservation des données

Une donnée personnelle ne se conserve pas indéfiniment. La CNIL rappelle ce principe de limitation de la conservation : le responsable de traitement fixe une durée en fonction de la finalité qui a justifié la collecte. Au-delà, la donnée doit être supprimée ou archivée.

En pratique, on distingue trois temps de vie d'une donnée :

1. La base active : tant que la personne est copropriétaire et que la donnée est utile à la gestion courante.
2. L'archivage intermédiaire : après la fin de la relation (vente du lot, par exemple), certaines données sont conservées le temps nécessaire pour répondre à une obligation légale ou à un éventuel contentieux (les pièces comptables, notamment, obéissent à des durées de conservation propres).
3. La suppression (ou l'anonymisation) une fois ces délais écoulés.

Le bon réflexe n'est pas de retenir un chiffre par cœur, mais de fixer une durée par finalité dans votre registre, en tenant compte des obligations comptables et juridiques applicables, puis de purger réellement les données arrivées à échéance. Un logiciel aide ici à ne pas garder ad vitam des fichiers oubliés dans un dossier partagé.

Les droits des copropriétaires

Chaque copropriétaire (et plus largement toute personne dont vous traitez les données) dispose de droits que vous devez être en mesure d'honorer :

• Droit d'accès : savoir quelles données vous détenez sur lui et en obtenir une copie.
• Droit de rectification : corriger une donnée inexacte (adresse, RIB, etc.).
• Droit à l'effacement (« droit à l'oubli ») : obtenir la suppression de ses données, dans les limites des obligations légales de conservation (vous ne pouvez pas effacer une pièce comptable que la loi vous impose de garder).
• Droit d'opposition et de limitation, dans les cas prévus par le règlement.

Concrètement, le syndic doit informer les personnes (au moment de la collecte) des finalités, de la durée de conservation et de leurs droits, puis savoir répondre à une demande dans le délai d'un mois. Prévoir une simple procédure interne (« à qui s'adresse une demande, comment on y répond ») évite l'improvisation le jour où elle arrive.

Sécurité et hébergement

Le RGPD impose des mesures de sécurité adaptées au risque. Vu la sensibilité des données d'une copropriété (coordonnées bancaires, situation financière des copropriétaires), le minimum sérieux est :

• Chiffrement des données en transit (TLS) et au repos ;
• Gestion des accès : identifiants individuels, mots de passe robustes, droits limités au besoin réel ;
• Sauvegardes régulières et capacité de restauration ;
• Hébergement maîtrisé, idéalement au sein de l'Union européenne, pour éviter les transferts hors UE non encadrés ;
• Traçabilité minimale (qui a accédé à quoi) et confidentialité côté conseil syndical, qui reçoit des documents mais ne peut pas réutiliser les informations au-delà de sa mission.

Le fichier Excel des copropriétaires envoyé en pièce jointe à toute l'AG, le tableur partagé sans mot de passe, le RIB qui traîne dans une boîte mail : ce sont les fuites les plus banales, et les plus évitables.

Le rôle du logiciel (sous-traitant)

Dès que vous utilisez un logiciel de gestion en ligne, son éditeur agit comme sous-traitant au sens du RGPD : il traite des données personnelles pour votre compte. Le règlement encadre cette relation et vous, responsable de traitement, devez vous assurer que le sous-traitant présente des garanties suffisantes. À vérifier avant de choisir un outil :

• une clause / un accord de sous-traitance RGPD (les fameuses obligations de l'article 28 du règlement) ;
• un hébergement dans l'Union européenne ;
• le chiffrement des données et des mesures de sécurité documentées ;
• la possibilité d'exporter et de supprimer vos données quand vous le souhaitez ;
• une information claire sur les éventuels sous-traitants ultérieurs.

Sur ce terrain, Tenilar chiffre les données et les héberge dans l'Union européenne, dans une démarche conforme au RGPD. Le détail figure sur la page tarifs, et nos pages produit précisent le périmètre — qu'il s'agisse de la comptabilité, du portail copropriétaire (accès par identifiants) ou des assemblées générales dématérialisées. Choisir un outil aligné sur le RGPD, c'est déléguer proprement la partie « sécurité technique » et vous concentrer sur votre rôle de responsable de traitement.

Checklist conformité RGPD du syndic

• ☐ J'ai conscience d'être responsable de traitement (même bénévole).
• ☐ Je tiens un registre des traitements à jour (finalité, base légale, données, durée).
• ☐ Chaque traitement a une base légale et une finalité claires.
• ☐ J'applique la minimisation (pas de données inutiles).
• ☐ J'ai fixé des durées de conservation et je purge réellement.
• ☐ Je sais informer les copropriétaires et répondre à leurs demandes (accès, rectification, effacement) sous un mois.
• ☐ Mes données sont chiffrées, les accès maîtrisés, les sauvegardes en place.
• ☐ Mon logiciel propose une clause RGPD, un hébergement UE et l'export/suppression des données.
• ☐ Le conseil syndical est sensibilisé à la confidentialité.

FAQ express

Un syndic bénévole est-il aussi soumis au RGPD ?

Oui. Le RGPD s'applique au traitement des données, pas au statut de celui qui les traite. Un syndic bénévole qui gère la liste des copropriétaires, la comptabilité et un portail est responsable de traitement au même titre qu'un professionnel.

Faut-il désigner un DPO (délégué à la protection des données) ?

Pour la plupart des copropriétés, la désignation d'un DPO n'est pas obligatoire (elle l'est dans des cas précis prévus par le règlement). Ce qui est obligatoire, en revanche, c'est de respecter les principes : registre, base légale, durées, droits, sécurité.

Puis-je envoyer la liste des copropriétaires avec leurs coordonnées à tout le monde ?

Avec prudence. Le partage d'informations entre copropriétaires ne se justifie que si nécessaire. Diffuser largement des coordonnées personnelles sans nécessité ni information préalable est exactement le type de pratique à éviter.

Combien de temps conserver les données ?

Le temps nécessaire à la finalité, puis en archivage le temps requis par les obligations légales (notamment comptables) en cas de besoin probatoire. La règle n'est pas un chiffre unique, mais une durée justifiée par finalité, inscrite dans votre registre.

En résumé

Le RGPD n'est pas une option pour le syndic : dès lors qu'il gère une copropriété, il est responsable de traitement. Les fondamentaux tiennent en quelques principes — registre, base légale et finalités, minimisation, durées de conservation, droits des personnes, sécurité — et en un bon choix d'outil. Rien d'insurmontable, surtout avec un logiciel qui prend en charge la partie technique.

Pour aller plus loin sur le cadre réglementaire global du métier (loi 1965, ALUR, Climat, délais), lisez notre guide des obligations légales du syndic en 2026. Et si vous cherchez un outil chiffré, hébergé en UE et conçu pour la conformité, l'essai gratuit Tenilar (3 mois sans CB) vous laisse tout tester sans engagement.