Données des membres d’un coworking : ce que le RGPD impose au gestionnaire
Base légale, durées de conservation, vidéosurveillance et sous-traitants : ce que le RGPD impose à un espace de coworking sur les données de ses membres.
Un espace de coworking est, sans toujours le dire, un métier de données. Dès qu’un membre signe, l’exploitant détient son identité, ses coordonnées, l’historique de ses réservations, les passages de son badge et, souvent, les images de la vidéosurveillance. Ces informations circulent dans une chaîne d’outils — logiciel de gestion, module de réservation, contrôle d’accès, facturation — dont chacun manipule des données personnelles.
Le règlement général sur la protection des données (RGPD) et la loi « Informatique et Libertés » encadrent cette chaîne. Les obligations ne visent pas que les grands réseaux : un indépendant qui gère dix postes y est soumis comme un groupe national. Le manquement expose à une sanction de la CNIL, mais surtout à une perte de confiance des membres, difficile à réparer. Voici ce que le gestionnaire doit cadrer, traitement par traitement.
Les données qu’un espace manipule
Avant toute mise en conformité, il faut recenser ce que l’espace collecte réellement. Dans un coworking, les traitements courants se rangent en quelques familles :
- Gestion des membres et facturation : identité, coordonnées, numéro de TVA, informations bancaires, contrats et factures.
- Réservation : salles, postes et créneaux, via un logiciel de gestion qui conserve l’historique d’usage.
- Contrôle d’accès : badges, codes et serrures connectées qui enregistrent les entrées et les sorties, comme le rappelle le dossier consacré au contrôle d’accès.
- Vidéosurveillance : caméras des parties communes et des accès.
- Prospection : formulaires, visites, newsletters et fichiers de prospects.
Chacune de ces familles appelle une réponse distincte : une donnée de facturation ne se conserve pas comme une image de caméra, et un fichier de prospection n’obéit pas aux règles d’un contrat.
Une base légale pour chaque traitement
Le RGPD interdit de collecter « au cas où ». Chaque traitement doit reposer sur une base légale identifiée. Pour un espace de coworking, trois bases couvrent l’essentiel :
- L’exécution du contrat : la gestion de l’abonnement, les réservations et la facturation découlent du contrat de membre. Le consentement n’est pas requis pour traiter ce qui est nécessaire au service.
- L’intérêt légitime : la sécurité des locaux justifie le contrôle d’accès et, sous conditions, la vidéosurveillance, à condition de rester proportionné aux droits des personnes.
- Le consentement : la prospection vers des personnes non clientes, l’envoi d’une newsletter ou le dépôt de cookies non essentiels supposent un accord préalable, libre et révocable.
Le même principe interdit la collecte excessive : exiger une pièce d’identité pour un simple abonnement nomade est, le plus souvent, disproportionné. C’est la règle de minimisation, qui veut qu’on ne recueille que les données strictement utiles à la finalité annoncée.
Des durées de conservation, pas un stockage perpétuel
La CNIL rappelle que les données « ne peuvent pas être conservées indéfiniment » : le responsable fixe une durée « en fonction de l’objectif » poursuivi. Elle distingue trois temps — une base active tant que la donnée sert la finalité, un archivage intermédiaire pour une obligation légale ou un contentieux, puis la suppression ou l’anonymisation.
Concrètement, les factures suivent les délais comptables et fiscaux, un contrat clos bascule en archivage, un prospect resté sans suite ne se garde pas des années. Pour la vidéosurveillance, la CNIL est explicite : « en principe, cette durée n’excède pas un mois », et quelques jours suffisent le plus souvent à lever un doute. Les journaux de badge ne sont conservés que le temps strictement utile à la sécurité.
| Traitement | Base légale type | Durée repère |
|---|---|---|
| Contrat et facturation | Exécution du contrat, obligation légale | Délais comptables et fiscaux, puis archivage |
| Réservations et historique d’usage | Exécution du contrat | Durée de la relation, puis suppression |
| Contrôle d’accès (badges) | Intérêt légitime (sécurité) | Durée strictement nécessaire à la finalité |
| Vidéosurveillance | Intérêt légitime (sécurité) | En principe un mois maximum |
| Prospection (non-clients) | Consentement | Jusqu’au retrait du consentement |
Le logiciel de gestion, un sous-traitant à encadrer
La plupart des espaces confient leurs données à des outils en ligne : plateforme de gestion, système de réservation, service de facturation, contrôle d’accès connecté. Au sens du RGPD, ces prestataires sont des sous-traitants. L’exploitant, lui, reste responsable du traitement : c’est à lui de vérifier que le contrat prévoit les garanties exigées — sécurité, confidentialité, suppression des données en fin de contrat, information en cas de violation.
Deux points méritent une attention particulière. D’abord le lieu d’hébergement : un transfert de données hors Union européenne suppose un encadrement spécifique, qu’il faut vérifier auprès de l’éditeur. Ensuite la réversibilité : à la fin du contrat, l’exploitant doit pouvoir récupérer ou faire effacer ses données sans dépendre du bon vouloir du prestataire. Ces exigences se vérifient avant de signer, pas après un incident. En cas de violation de données — intrusion, fuite ou perte —, l’exploitant dispose en principe de soixante-douze heures pour la notifier à la CNIL lorsqu’elle présente un risque pour les personnes concernées : mieux vaut avoir prévu, en amont, qui fait quoi.
Vidéosurveillance et badges, les règles spécifiques
La vidéosurveillance concentre les obligations. Les personnes filmées — membres comme visiteurs — doivent être informées « par des panneaux affichés en permanence », bien visibles, indiquant au minimum les finalités, la durée de conservation, le responsable ou son délégué à la protection des données, et les droits ouverts. Les images ne se consultent que par les personnes habilitées.
Lorsque l’espace emploie des salariés, l’installation de caméras ou de badges suppose l’information et la consultation préalables des représentants du personnel. Enfin, filmer en continu les postes de travail ou braquer une caméra sur un bureau précis est généralement proscrit : la surveillance vise les accès et les parties communes, elle n’épie pas les occupants.
Les formalités varient selon le lieu. Pour les zones non ouvertes au public — réserves, locaux techniques, espaces réservés au personnel —, aucune démarche préalable auprès de la CNIL n’est requise, mais le dispositif doit figurer au registre des traitements. Pour les parties ouvertes au public, l’installation relève d’une autorisation préfectorale, et une analyse d’impact sur la protection des données s’impose dès lors que la surveillance est systématique et à grande échelle. Dans un espace de coworking, la frontière entre ces deux régimes se tranche dès la conception du plan de caméras.
Informer les membres et honorer leurs droits
Chaque membre a le droit de savoir quelles données sont traitées, pourquoi et pour combien de temps, et de demander leur accès, leur rectification ou leur effacement. Une mention d’information claire, intégrée au contrat de membre et à la politique de confidentialité du site, désamorce la plupart des litiges. Elle complète utilement le cadre juridique de l’activité.
Le dernier réflexe est documentaire : le registre des activités de traitement. Ce document recense, traitement par traitement, les finalités, les données, les durées et les destinataires. Il n’a pas à être publié, mais il doit exister et rester à jour — c’est la première pièce qu’une autorité ou un membre pourra réclamer. Le tenir oblige aussi, utilement, à savoir ce que l’on collecte vraiment.
Trois gestes pour commencer
- Cartographier les traitements et ouvrir le registre : lister ce qui est collecté, où, et pour quelle finalité.
- Fixer une durée de conservation par traitement, puis purger ce qui la dépasse.
- Relire les contrats des outils en ligne et vérifier l’hébergement des données et la réversibilité.
