Le syndic est-il responsable des données des copropriétaires ?

Lorsqu'un texte l'oblige à collecter ou utiliser des données, comme pour l'accès en ligne aux documents ou la liste des copropriétaires, la CNIL considère que le syndic est responsable de traitement.

Un syndic peut-il utiliser le fichier des copropriétaires pour proposer ses autres services ?

Pas sans leur consentement. La CNIL indique que la prospection commerciale à partir des données de la mission de syndic est une finalité incompatible avec la collecte initiale.

Peut-on utiliser un outil d'IA dont l'éditeur est hors de l'Union européenne ?

La CNIL rappelle que, si la maison-mère de l'outil est située hors de l'Union européenne, des mesures particulières de protection sont nécessaires. Il faut le vérifier avant d'y verser des données.

RGPD et syndic : données des copropriétaires et IA

Le RGPD (règlement général sur la protection des données) ne vous interdit pas d'utiliser l'IA. Il vous oblige à savoir quelles données des copropriétaires vous lui confiez, pourquoi, et où elles vont. Pour un syndic, la question est concrète : un assistant qui lit les procès-verbaux, les comptes individuels et les échanges sur les sinistres manipule des noms, des adresses, des dettes et parfois des éléments de vie privée. La CNIL (Commission nationale de l'informatique et des libertés) a publié le 18/11/2022 une fiche sur la gestion des données en copropriété ; c'est la référence de cette page.

Qui est responsable

La CNIL distingue les situations :

Quand un texte oblige le syndic à collecter ou utiliser des données, il est responsable de traitement. Elle cite l'accès en ligne aux documents (article 18 de la loi du 10/07/1965) et la liste des copropriétaires (article 32 du décret du 17/03/1967). Il doit alors informer les personnes, notamment de la durée de conservation, et leur permettre d'exercer leurs droits.
Pour la mise en œuvre d'une décision du syndicat, les rôles du syndicat, du syndic et du prestataire se définissent au cas par cas.
Un éditeur d'outil qui traite les données pour le compte du syndic n'en dispose pas librement : la CNIL rappelle, dans sa page sur l'IA, qu'un fournisseur ne peut réutiliser les données confiées que sous plusieurs conditions (voir plus bas).

Chacun ne voit que ce qui lui est nécessaire

C'est le principe central de la fiche de la CNIL, et il pèse directement sur le réglage d'un assistant :

Destinataire	Ce que dit la CNIL
Conseil syndical	Le syndic doit lui transmettre, sur demande, tout document relatif à l'administration ; il est recommandé de rappeler la confidentialité. Les membres n'utilisent les données que pour leur mandat
Copropriétaires	Ils consultent certains documents (procès-verbaux, devis approuvés, feuilles de présence). Les pièces justificatives consultables sont choisies en protégeant la vie privée ; les données personnelles des salariés de l'immeuble qui y figurent sont masquées
Tiers extérieurs	Pas de communication, sauf texte qui l'impose ou l'autorise, consentement des personnes, ou défense en justice
Vidéosurveillance	Images accessibles aux seules personnes compétentes, après un incident

Un assistant qui répond aux copropriétaires à partir de tous les documents du cabinet, sans distinguer ces cercles, peut révéler une dette ou une adresse à quelqu'un qui n'a pas à la connaître. Le réglage des accès vient avant le choix de l'outil.

Ne pas détourner les données

La CNIL est nette : un syndic qui exerce d'autres activités immobilières ne doit pas utiliser les données de sa mission de syndic à d'autres fins incompatibles. La prospection commerciale, y compris par courriel ou SMS, suppose le consentement des copropriétaires. Un outil d'IA qui « enrichit » un fichier de copropriétaires pour cibler des offres de vente ou de gestion locative entre dans ce cas.

Sécurité et outils en ligne

Mots de passe : la CNIL indique qu'ils ne doivent jamais être envoyés en clair, ni par courriel ni par courrier, ni conservés en clair par le syndic.
Visioconférence : pour les assemblées à distance, choisir des outils respectueux de la vie privée, sans collecte excessive ni traceurs publicitaires ; des mesures particulières sont nécessaires si l'éditeur a sa maison-mère hors de l'Union européenne.
Anonymisation : la fiche officielle sur le procès-verbal prévoit que l'information des occupants sur les décisions d'assemblée se fait avec des données personnelles anonymisées. Un outil qui prépare cet avis ne doit pas y laisser de noms.

Ce que la CNIL recommande pour l'IA en général

Dans sa page sur la conformité des systèmes d'IA (05/04/2022), la CNIL rappelle quelques principes utiles à un syndic :

Une finalité déterminée avant d'utiliser l'outil : répondre aux questions courantes, préparer les procès-verbaux, et pas « tout faire ».
La minimisation : ne donner à l'outil que les données nécessaires ; tester avec des données fictives ; pseudonymiser quand c'est possible.
La réutilisation par le fournisseur : un éditeur ne peut réutiliser les données confiées, par exemple pour améliorer son système, que sous plusieurs conditions, dont votre autorisation et l'information des personnes. Lisez les conditions de l'offre que vous utilisez.
Les droits des personnes s'appliquent aussi aux résultats produits par l'outil ; la réponse est due en principe dans le mois.

Une liste de vérification avant d'adopter un outil

Je sais quelles catégories de documents l'outil lira, et lesquelles il ne lira pas.
Les accès suivent les cercles copropriétaires, lot, conseil syndical.
Je connais le lieu de traitement et la politique de réutilisation de l'éditeur.
Le contrat avec l'éditeur dit ce qu'il fait des données, et ce qu'il n'a pas le droit d'en faire.
Les copropriétaires sont informés de l'usage, dans la mention d'information du cabinet.
Les historiques de conversation ont une durée de conservation.

Pour une analyse de votre situation, la CNIL publie des fiches pratiques ; votre délégué à la protection des données, si vous en avez un, doit être consulté.