Depuis l’entrée en vigueur du Règlement général sur la protection des données (RGPD) le 25 mai 2018, toute organisation qui traite des données à caractère personnel est soumise à des obligations strictes visant à garantir la protection de la vie privée des personnes concernées.
Les associations de copropriétaires (ACP) sont directement concernées par cette réglementation. En effet, la gestion quotidienne d’un immeuble en copropriété implique nécessairement le traitement de nombreuses données personnelles, notamment celles des copropriétaires, des occupants, des fournisseurs, des entrepreneurs ou encore des prestataires de services.
Parmi les obligations fondamentales prévues par le RGPD, figure la tenue d’un registre des activités de traitement des données personnelles. Ce document constitue un outil fondamental de conformité, permettant d’avoir une vue d’ensemble des traitements de données réalisés et de démontrer le respect des principes du RGPD.
L’analyse du registre de traitement implique également de clarifier les rôles respectifs des acteurs de la copropriété, en particulier celui de l’association des copropriétaires en tant que « responsable » du traitement et celui du syndic, qui agit principalement comme " sous-traitant ".
En somme le principe est simple : toute ACP doit obligatoirement détenir un registre de traitement des données ; document à devoir présenter à première demande en cas de contrôle de l’autorité de protection des données.
Si l’obligation légale est particulièrement limpide, force est de constater que rares sont les ACP qui sont munies d’un tel registre, rares sont aussi les syndic qui ont connaissance et/ou même conscience de l’existence de cette obligation. En quelques lignes nous allons aborder la problématique, mettant en évidence les risques sérieux de mise en cause de sa responsabilité pour le syndic qui ne 24 Edition janvier - février prendrait pas les initiatives qui lui incombent en la matière. En somme une " piqure " de rappel….
LE CADRE JURIDIQUE
APPLICABLE AUX ASSOCIATIONS
DE COPROPRIÉTAIRES
Le RGPD s’applique à toute entité qui
détermine les finalités et les moyens
du traitement de données à caractère
personnel. En droit belge, l’association des
copropriétaires est une personne morale
distincte, chargée de la conservation et
de l’administration des parties communes
ainsi que de l’exécution des décisions de
l’assemblée générale.
À ce titre, l’ACP détermine les raisons pour lesquelles des données personnelles sont traitées (gestion administrative, financière et technique de l’immeuble) ainsi que les moyens généraux de ce traitement.
Il en résulte que l’association des copropriétaires est qualifiée de responsable du traitement au sens du RGPD. Cette qualification emporte des obligations importantes, telles que l’identification d’une base juridique valable pour chaque traitement, l’information des personnes concernées, le respect des principes de minimisation et de proportionnalité des données, ainsi que la mise en place de mesures de sécurité appropriées.
LE REGISTRE DES ACTIVITÉS DE
TRAITEMENT : DÉFINITION ET
OBLIGATION
L’article 30 du RGPD impose au responsable
du traitement de tenir un registre des
activités de traitement. Ce registre constitue
une documentation interne obligatoire, sauf
rares exceptions qui ne sont en pratique que
très rarement applicables aux ACP. Le registre
doit être tenu par écrit, y compris sous
support électronique durable, et être mis à
disposition de l’Autorité de protection des
données en cas de contrôle.
Le registre des activités de traitement doit contenir une série d’informations précises, notamment l’identité du responsable du traitement, les finalités des traitements, les catégories de données personnelles traitées, les catégories de personnes concernées, les destinataires des données, les éventuels transferts hors de l’Union européenne, les délais de conservation et une description générale des mesures de sécurité mises en place. Il permet ainsi de répondre aux questions essentielles : qui traite les données, lesquelles, pourquoi, pendant combien de temps, où et comment elles sont protégées.
Dans le contexte d’une copropriété, le registre portera par exemple sur les traitements liés à la tenue de la liste des copropriétaires, à l’organisation des assemblées générales, à la gestion comptable, au recouvrement des charges, à la gestion des contrats avec les fournisseurs ou encore, le cas échéant, à l’utilisation de caméras de surveillance dans les parties communes.
L’ASSOCIATION DES
COPROPRIÉTAIRES EN TANT QUE
RESPONSABLE DU TRAITEMENT
En tant que responsable du traitement,
l’association des copropriétaires assume
la responsabilité principale du respect
du RGPD. Elle doit s’assurer que chaque
traitement repose sur une base juridique
valable, telle que l’exécution d’une obligation
légale ou l’exécution d’un contrat
Dans de nombreux cas, le traitement des données personnelles dans une copropriété est imposé par le Code civil, notamment en ce qui concerne la tenue à jour de la liste des copropriétaires et la transmission de certaines informations aux copropriétaires ou au notaire.
L’ACP doit également veiller à ce que seules les données strictement nécessaires à la gestion de la copropriété soient traitées. Le principe de minimisation des données implique que des informations telles que le numéro de registre national, l’état civil détaillé ou la composition de ménage ne peuvent être collectées que si elles sont réellement nécessaires et légalement justifiées. À défaut, les copropriétaires sont en droit de refuser de communiquer ces données.
Enfin, l’association des copropriétaires doit garantir les droits des personnes concernées, tels que le droit d’accès, de rectification ou d’effacement, dans les limites prévues par la loi, et veiller à ce que ces droits puissent être effectivement exercés.
LE RÔLE DU SYNDIC EN TANT QUE SOUS-TRAITANT
Le syndic occupe une position centrale dans la gestion quotidienne de la copropriété. Il est chargé, par mandat, d’exécuter les décisions de l’assemblée générale et d’assurer l’administration de l’immeuble. Dans ce cadre, il traite de nombreuses données personnelles pour le compte de l’association des copropriétaires.
Au sens du RGPD, le syndic agit principalement en tant que sous-traitant, dans la mesure où il traite les données personnelles sur instruction de l’ACP et pour les finalités déterminées par celle-ci. Cette relation doit être formalisée dans un contrat ou un acte juridique, tel que le règlement de copropriété, le règlement d’ordre intérieur (ROI) et/ou le contrat de syndic, qui précise notamment l’objet et la durée du traitement, la nature des données traitées, les obligations du syndic et les mesures de sécurité mises en place.
Le syndic ne peut utiliser les données personnelles que dans le strict cadre de sa mission légale et contractuelle. Toute utilisation à des fins étrangères à la gestion de la copropriété, par exemple à des fins commerciales propres, est interdite. Par ailleurs, le syndic doit s’assurer que les données sont exactes et tenues à jour, et limiter leur communication aux seules personnes habilitées.
L’IMPORTANCE PRATIQUE DU
REGISTRE DE TRAITEMENT POUR
LE SYNDIC
Bien que le syndic ne soit pas, au sens de la
loi, le « responsable » du traitement principal,
il est tenu, en tant que sous-traitant,
non seulement d’avoir évidemment son
propre registre des activités de traitement pour couvrir ses activités professionnelles
personnelles mais aussi d’assurer la gestion
du registre de l’ACP dont il assume la gestion
avec les mises à jour ponctuelles.
Le registre de traitement étant légalement obligatoire pour l’ACP, il appartient au syndic dans l’exercice de son devoir de conseil à l’égard de son cocontractant (à savoir l’ACP) de l’informer valablement de ses obligations en la matière notamment quant à l’existence et la tenue du registre, si besoin de mettre ce point à l’ordre du jour d’une AG pour que décision intervienne à cet égard et que le ROI soit adapté.
Faut-il rappeler, que ce registre constitue un outil essentiel pour démontrer la conformité de l’ACP au RGPD et pour répondre aux exigences de transparence et de responsabilité.
A défaut de ce faire pour le syndic et outre les sanctions administratives qui viendraient à sanctionner vertement le non-respect des obligations légales en la matière en cas de contrôle de l’autorité de protection des données, celui-ci mettrait clairement en cause sa responsabilité civile professionnelle tant contractuelle à l’égard de l’ACP pour manquement notamment à son obligation de conseil que extracontractuelle à l’égard de tous tiers dont les copropriétaires qui se verraient préjudiciés par cette faute du professionnel. Faut-il rappeler que les sanctions administratives en la matière sont lourdes.
Comme évoqué, l’absence de registre ou la tenue d’un registre non adéquat peut entraîner des sanctions administratives importantes, pouvant aller théoriquement jusqu’à plusieurs centaines de milliers d’euros. Au-delà du risque de sanction, le registre permet également d’identifier les points sensibles de la gestion des données, tels que l’accès aux documents de la copropriété, la transmission d’informations entre copropriétaires ou la conservation et protection des données dans le temps.
Outre la question de l’existence obligatoire du registre, la gestion même des données personnelles par le syndic est aussi une autre problématique des plus délicates et qui requiert le plus souvent une adaptation des dispositions statutaires et du « ROI » , des décisions d’AG en la matière, diverses démarches utiles pour recueillir l’accord exprès des personnes concernées et évidemment un contrat de syndic conforme.
CONCLUSION
Le registre des activités de traitement
constitue un pilier essentiel de la
conformité au RGPD pour les associations
de copropriétaires. Il permet non
seulement de répondre à une obligation
légale, mais surtout de structurer et
de sécuriser la gestion des données
personnelles au sein de la copropriété.
L’association des copropriétaires, en tant que « responsable du traitement », porte certes une responsabilité quant au respect du dispositif légal, mais en réalité il appartient au syndic, en sa qualité de sous-traitant, d’informer valablement l’ACP et en temps utile des obligations légales en la matière, de mettre en œuvre le processus permettant la création du registre et sa tenue dans le temps. Jouant ainsi un rôle opérationnel déterminant, le syndic est en première ligne.
Dans un contexte juridique de plus en plus exigeant et face à une vigilance accrue des autorités de contrôle, la. Elle contribue à renforcer la transparence, à prévenir les litiges et à garantir le respect des droits fondamentaux des copropriétaires et des autres personnes concernées.
Autant dire que le syndic a tout intérêt à être
conscient de ses obligations en la matière
en sa qualité de bon professionnel et en
cas de manquement des risques encourus
quant à la mise en cause éventuelle de sa
responsabilité.
Gouverner c’est prévoir ….
Info
Marc Tordoir
Avocat au Barreau de Bruxelles