Scoring locataire et RGPD : le guide conformité des agences

Le scoring des candidatures locataires s’est répandu dans les agences plus vite que la compréhension de son cadre légal. En 2026, la plupart des agences utilisent un score pour prioriser les dossiers — mais rares sont celles qui pourraient répondre du jour au lendemain à trois questions simples : quelles données avons-nous le droit de scorer, comment informons-nous le candidat, et qui décide en dernier ressort ?

Ce guide pose le cadre. Il ne remplace pas un accompagnement juridique — il donne aux agences les repères pour vérifier que leur outil de scoring (et leurs pratiques) sont conformes avant qu’un contentieux ne s’en charge à leur place.

Le scoring locataire est-il une décision automatisée ?

C’est la première question à trancher, parce que toute la suite en dépend. Le RGPD définit la décision automatisée comme une décision produite par un traitement automatisé « produisant des effets juridiques concernant une personne ou l’affectant de manière significative » (article 22).

Refuser une location à un candidat — ou le classer dans une liste de dossiers « à écarter » sans intervention humaine — produit un effet juridique et significatif. Dès lors, si le score détermine seul l’issue, c’est une décision automatisée, avec les obligations qui vont avec.

La nuance pratique est importante : un score qui sert d’aide à la décision (le gestionnaire examine le dossier et décide) n’est pas une décision automatisée au sens strict. Mais dès que le flux est organisé pour écarter mécaniquement les scores faibles — tri automatique, réponse négative préprogrammée, dossiers bas score jamais vus par un humain — la qualification bascule.

La position prudente, et celle que nous recommandons aux agences : considérer que le scoring est une décision automatisée encadrée, et mettre en place les garanties correspondantes. C’est plus simple à faire qu’à contester, et c’est la seule lecture qui tient si un dossier refusé est attaqué.

Quelles données peut-on utiliser pour scorer un candidat ?

Le scoring s’appuie sur des données, et toutes les données ne se valent pas. Le principe de minimisation (article 5 du RGPD) commande : seules les données adéquates, pertinentes et limitées à ce qui est nécessaire peuvent être traitées.

Pour un dossier locatif, les catégories utilisables sont :

Les revenus et leur stabilité : bulletins de salaire, avis d’imposition, contrats de travail — pour évaluer la capacité à payer.
L’identité et la composition du foyer : dans la mesure nécessaire à l’établissement du bail.
Les garanties : caution, garantie locative, assureur.
L’historique locatif, dans les limites légales et lorsqu’il est recueilli dans un cadre autorisé.

Le traitement doit reposer sur une base légale : pour une agence, c’est en général l’exécution de mesures précontractuelles (constituer un dossier en vue d’un bail) ou l’intérêt légitime — à condition de l’avoir documenté et d’avoir vérifié qu’il ne lèse pas les droits du candidat.

Deux écueils pratiques reviennent sans cesse : collecter plus de données que nécessaire (le « on prend tout, on verra »), et conserver les dossiers refusés sans limite de durée. La minimisation s’applique à la collecte comme à la conservation : un dossier refusé n’a pas vocation à rester dans un fichier actif pendant des années.

Données sensibles : ce qui est interdit par défaut

Le RGPD interdit de traiter les données sensibles : origine ethnique, opinions politiques, religieuses, syndicales, santé, vie sexuelle, données biométriques. S’y ajoutent, en France, les données relatives aux condamnations et infractions, soumises à un encadrement strict.

Pour le scoring locataire, la traduction concrète :

Interdit : scorer sur le nom, la consonance du nom, une photo, l’origine, la nationalité (hors contraintes légales spécifiques au logement), la situation familiale, une grossesse, un handicap, l’état de santé.
Interdit même indirectement : des proxys qui reviendraient à discriminer — par exemple pondérer fortement le quartier de résidence ou certaines allocations d’une manière qui désavantagerait systématiquement des catégories protégées.
Interdit par le droit anti-discrimination (loi du 27 mai 2008) : refuser un logement pour un motif discriminatoire, que la discrimination soit commise par un humain ou par un algorithme.

C’est un point que les agences sous-estiment : un outil qui affiche dans son « profil candidat » la photo, la situation familiale ou une mention d’origine — même sans l’utiliser dans le score — crée un risque, parce que ces données ne devraient pas être traitées du tout. La conformité commence par la suppression de ces champs du processus, pas par leur neutralisation dans le calcul.

Informer le candidat et expliquer la décision

La transparence est la contrepartie obligée de l’automatisation. Le candidat doit être informé — avant ou au moment de la collecte — que son dossier fait l’objet d’un scoring, selon quels critères, et avec quels effets.

Concrètement, l’agence doit pouvoir fournir :

Une information claire sur le traitement : qui traite les données, pourquoi, pendant combien de temps.
Une explication de la décision : si un dossier est refusé ou écarté sur la base du score, le candidat doit pouvoir comprendre les motifs. Cela suppose que le score soit explicable — un chiffre brut sans justification n’est pas une explication.
Un droit de contestation : le candidat doit pouvoir demander une révision par un humain et faire valoir ses observations.

L’article 22 du RGPD donne au candidat le droit de ne pas être soumis à une décision automatisée — avec une exception pour les cas où la décision est nécessaire à la conclusion du contrat, à condition que des garanties appropriées protègent ses droits : intervention humaine, possibilité d’exprimer son point de vue, contestation.

Traduction pour l’agence : un dossier refusé uniquement par l’algorithme, sans possibilité d’explication ni de recours humain, est un dossier qui peut être attaqué — et gagné par le candidat.

AIPD et registre : les obligations documentaires

Au-delà des droits des candidats, le RGPD impose des obligations documentaires à l’agence (en tant que responsable de traitement) et à l’éditeur de l’outil (souvent sous-traitant).

Le registre des traitements. L’agence doit tenir un registre décrivant le traitement « scoring candidatures » : finalités, catégories de données, destinataires, durées de conservation, mesures de sécurité. Pour les structures de moins de 250 salariés, l’obligation est allégée mais pas supprimée lorsque le traitement présente un risque pour les droits des personnes — ce qui est le cas d’un scoring.

L’AIPD (analyse d’impact relative à la protection des données). Une évaluation d’impact est exigée pour les traitements « susceptibles d’engendrer un risque élevé » — et la CNIL cite explicitement l’évaluation systématique de personnes sur la base de données personnelles (le scoring) comme typologie concernée. L’AIPD documente le traitement, les risques et les mesures pour les réduire. Selon la configuration, elle peut être portée par l’éditeur (évaluation générique) et adaptée par l’agence, ou réalisée par l’agence avec l’appui de l’éditeur.

Le contrat de sous-traitance. Si le score est produit par un outil tiers, un contrat encadre le traitement : instructions, sécurité, droits des personnes, sort des données en fin de contrat. Beaucoup d’agences n’ont jamais signé de tel contrat avec leur éditeur — c’est une des premières choses à vérifier.

L’humain dans la boucle : la meilleure protection

Toutes les obligations du RGPD convergent vers une même recommandation pratique : garder un humain dans le circuit de décision.

Ce n’est pas qu’une contrainte — c’est la garantie la plus efficace. Une agence où le gestionnaire examine les dossiers qualifiés par le score, peut expliquer un refus, et peut revenir sur une décision automatique, est une agence qui a résolu l’essentiel du problème de conformité :

le scoring redevient une aide à la décision, ce qui écarte le terrain le plus risqué de l’article 22 ;
l’exigence d’explication devient naturelle, puisque le gestionnaire comprend les dossiers qu’il valide ;
le risque de discrimination algorithmique est neutralisé par le regard humain.

C’est le principe que nous appliquons dans les déploiements Homies : les agents IA collectent les candidatures, vérifient les pièces, produisent un score argumenté avec les motifs lisibles — et la décision finale revient toujours au gestionnaire, qui peut accepter, refuser ou demander des pièces complémentaires. Le score explique ; l’humain décide. Voir aussi notre guide de choix d’un logiciel de scoring pour les critères de sélection.

RGPD et AI Act : les règles cumulées en 2026

Depuis août 2026, le paysage s’est enrichi d’une couche supplémentaire : l’AI Act européen s’applique par paliers, et les systèmes d’IA utilisés pour évaluer la solvabilité ou la fiabilité des personnes — dont le scoring locataire — sont classés en risque élevé. Les règles du RGPD ne disparaissent pas : elles se cumulent avec celles de l’AI Act.

Ce que cela change concrètement pour une agence :

Gouvernance des données : l’AI Act exige des ensembles de données d’entraînement de qualité, pertinents et exempts d’erreurs — une exigence qui rejaillit sur l’éditeur de l’outil.
Traçabilité et journalisation : les systèmes à risque élevé doivent permettre d’enregistrer automatiquement les événements — une piste d’audit exploitable en cas de contestation.
Surveillance humaine : l’AI Act impose une supervision par des personnes capables d’interpréter les résultats et d’intervenir — l’« humain dans la boucle » devient une obligation légale, pas une bonne pratique.
Transparence vis-à-vis des personnes : l’information des candidats doit couvrir le recours à un système d’IA.

Pour l’agence, la conséquence pratique est simple : choisir un outil dont l’éditeur assume la conformité AI Act (classification, documentation technique, journalisation) et ne pas déployer de scoring maison sur la base de données candidates accumulées sans cadre. Le cumul RGPD + AI Act + droit anti-discrimination forme un socle que ni la bonne volonté ni l’enthousiasme pour l’IA ne remplacent.

Le scoring locataire est un outil puissant — et son cadre légal est désormais dense : RGPD, AI Act, droit anti-discrimination. La bonne nouvelle, c’est que les obligations se résument à des pratiques saines : scorer les bonnes données, exclure les données sensibles, informer les candidats, documenter le traitement, garder l’humain dans la boucle.

Un outil de scoring qui ne peut pas expliquer ses décisions, qui ne documente pas ses traitements et qui écarte des dossiers sans intervention humaine n’est pas un outil conforme — et la conformité n’est pas une option : c’est la condition pour que le gain de productivité ne se transforme pas en contentieux.

Cet article est informatif et ne constitue pas un conseil juridique. Pour une mise en conformité sur mesure, rapprochez-vous d’un professionnel du droit et de la protection des données.

Pour aller plus loin : AI Act et immobilier : les obligations après l’entrée en vigueur — Scoring locataire : choisir le bon logiciel en 2026 — L’IA dans les agences : ce que la réglementation change