Un’agenzia immobiliare tratta informazioni diverse quando organizza una visita, pubblica un annuncio, prepara una proposta e adempie agli obblighi antiriciclaggio. Il GDPR richiede di spiegare questi impieghi e di limitarli a quanto serve. Un recapito raccolto per mostrare un appartamento non diventa automaticamente una risorsa per campagne commerciali; un documento conservato per legge non deve restare accessibile a tutta la rete vendita.
La gestione pratica comincia separando finalità, persone coinvolte e strumenti. Questa guida distingue i normali fascicoli commerciali dagli adempimenti previsti dal decreto legislativo 231/2007 e considera le regole italiane sulla promozione. Il riferimento temporale è settembre 2026: gli esempi di intervento del Garante restano identificati con la loro data, senza trasformarli in una previsione della sanzione applicabile a un’altra agenzia.
Dal primo contatto alla proposta: scegliere i dati necessari
Per rispondere a una richiesta di visita possono bastare nome, recapito, immobile richiesto e disponibilità. Chiedere subito copia del documento, informazioni sul reddito e composizione dettagliata della famiglia richiede una giustificazione ulteriore. La comodità di compilare una scheda unica non dimostra che ogni campo sia necessario in tutte le fasi. Nel gestionale conviene distinguere i campi indispensabili da quelli facoltativi e spiegare quando questi ultimi diventano pertinenti.
L’articolo 6, paragrafo 1, lettera b), riguarda il contratto con l’interessato e le misure precontrattuali adottate su sua richiesta. Può sostenere attività necessarie a un incarico o a una specifica richiesta del futuro contraente. Non copre automaticamente qualsiasi dato presente nella trattativa: il familiare menzionato dal visitatore, il garante e il precedente proprietario possono avere una posizione diversa. Per ogni utilizzo l’agenzia deve individuare una base effettivamente applicabile, senza far dipendere tutto dalla firma del mandato.
Quando si valuta l’interesse legittimo, occorre descrivere l’interesse perseguito, la necessità del trattamento e il bilanciamento con diritti e aspettative delle persone. Se invece un adempimento preciso impone il trattamento, la base sarà l’obbligo legale nei suoi limiti. Il consenso non serve a sanare raccolte sproporzionate né deve essere imposto per operazioni che hanno una diversa base. Una richiesta commerciale non autorizza per questo ogni successivo messaggio promozionale.
Informare clienti, visitatori e altri interessati
L’informativa accompagna la raccolta: identifica il titolare, espone finalità e basi, destinatari, conservazione o criteri, diritti e altri elementi applicabili dell’articolo 13. Un modello di informativa privacy deve essere adattato alle attività reali dell’agenzia, comprese pubblicazione degli annunci, condivisione dei documenti e verifiche obbligatorie. Le informazioni possono essere organizzate per fasi, purché siano facilmente accessibili e non nascondano le operazioni meno attese.
Se i dati arrivano da un terzo, l’articolo 14 richiede anche informazioni sulle categorie e sulla fonte, inclusa l’eventuale provenienza pubblica. Le informazioni vanno fornite entro un termine ragionevole, al massimo un mese; se prima si contatta l’interessato o si comunicano i dati a un altro destinatario, devono essere fornite al più tardi in occasione di quella prima comunicazione. Le eccezioni previste dall’articolo vanno valutate e documentate; comprare un elenco o ricevere un riferimento da un conoscente non crea da solo un’esenzione.
La consegna dell’informativa non costituisce una base giuridica. Una ricevuta può dimostrare che le informazioni sono state fornite, ma non autorizza automaticamente il trasferimento del fascicolo a banche, società del gruppo o partner. Per ciascuna comunicazione bisogna verificare scopo, necessità e destinatario. Anche una richiesta del venditore di ricevere informazioni sull’acquirente va delimitata ai dati pertinenti alla fase della trattativa.
Fotografie, documenti e condivisione del fascicolo
Prima di pubblicare fotografie dell’immobile, controllate la presenza di volti, ritratti familiari, corrispondenza, targhe e altri elementi identificativi. L’autorizzazione a commercializzare l’abitazione non risolve ogni questione relativa alle persone che vi abitano. Si possono spesso ottenere immagini utili rimuovendo gli oggetti personali o scegliendo un’inquadratura diversa. Annotare chi approva la versione destinata ai portali aiuta a evitare che una fotografia scartata ricompaia in un annuncio successivo.
Per i documenti adottate una progressione analoga. La richiesta preliminare di informazioni non comporta necessariamente l’invio integrale di un atto con dati di terzi. Valutate estratti, oscuramenti e accessi limitati prima di distribuire copie complete. I documenti reddituali sono dati personali che possono provocare danni se divulgati; non sono però tutti, per questa sola ragione, categorie particolari dell’articolo 9. Eventuali informazioni sanitarie contenute nei fascicoli richiedono una valutazione distinta e una condizione applicabile dell’articolo 9.
La cartella condivisa deve riflettere i compiti effettivi. Un collaboratore incaricato della visita non ha necessariamente bisogno dei documenti antiriciclaggio o delle informazioni finanziarie. Evitate collegamenti pubblici permanenti, account condivisi e invii a liste di destinatari non verificate. Quando cambiano gli addetti a un immobile, aggiornate gli accessi invece di lasciare disponibili tutte le precedenti cartelle.
Antiriciclaggio: soggetti, attività e condizioni
L’articolo 3 del decreto legislativo 231/2007 include gli agenti in affari che svolgono attività di mediazione immobiliare secondo la categoria prevista dalla legge. Per le locazioni, la disposizione circoscrive l’applicazione alle operazioni con canone mensile pari o superiore a 10.000 euro. Non è quindi corretto presentare ogni gestione di un piccolo affitto come soggetta indistintamente allo stesso obbligo.
L’articolo 17 collega l’adeguata verifica, tra l’altro, all’instaurazione di un rapporto continuativo o al conferimento dell’incarico per una prestazione professionale e disciplina separatamente le operazioni occasionali. La soglia prevista per determinate operazioni occasionali non è un’esenzione generale per tutti gli incarichi sotto tale importo. Inoltre, sospetti di riciclaggio o finanziamento del terrorismo e dubbi sull’attendibilità dei dati identificativi attivano gli obblighi nelle condizioni stabilite dalla norma, anche indipendentemente dalle soglie.
L’agenzia deve tradurre questo quadro in una procedura: individuare l’attività soggetta, identificare cliente ed eventuale esecutore e titolare effettivo, raccogliere le informazioni richieste e applicare verifiche commisurate al rischio. Il livello di approfondimento non si decide soltanto in base al valore dell’immobile. Occorre considerare gli elementi rilevanti del cliente e dell’operazione, registrando le ragioni delle scelte e gli aggiornamenti necessari.
I trattamenti imposti dalla normativa antiriciclaggio si fondano sull’obbligo legale, senza chiedere un consenso revocabile per eseguire un adempimento dovuto. L’informativa deve spiegare la finalità, mentre gli accessi devono restare riservati agli incaricati che ne hanno necessità. Separare questa parte del fascicolo impedisce che documenti acquisiti per una verifica obbligatoria siano riutilizzati per arricchire profili commerciali.
Conservazione antiriciclaggio e riservatezza delle segnalazioni
L’articolo 31 prevede la conservazione dei documenti, dati e informazioni pertinenti agli obblighi antiriciclaggio per dieci anni dalla cessazione del rapporto continuativo o della prestazione professionale, oppure dall’esecuzione dell’operazione occasionale. Il punto iniziale deve essere registrato correttamente. Non coincide sempre con la prima visita, né giustifica la conservazione decennale indiscriminata di ogni contatto commerciale.
Gli elementi conservati devono consentire la ricostruzione richiesta dalla norma, con integrità, reperibilità e protezione adeguate. Una scansione senza collegamento al cliente o all’operazione può essere poco utilizzabile; una copia duplicata in tutte le caselle di posta aumenta invece l’esposizione. Stabilite quale archivio contiene la versione di riferimento, chi può consultarla e come viene documentata la cancellazione al termine del periodo applicabile.
L’articolo 39 vieta, fuori dalle eccezioni previste, di comunicare al cliente o a terzi l’avvenuta segnalazione di operazione sospetta e le altre informazioni protette dalla disposizione. Una risposta standard a una richiesta di accesso non deve rivelare accidentalmente questi elementi. Ciò non autorizza a respingere tutti i diritti per qualsiasi documento del fascicolo: occorre applicare le specifiche limitazioni e le relative garanzie, valutando il pregiudizio agli interessi protetti e distinguendo i dati che possono essere comunicati.
Portali immobiliari e fornitori: classificare ogni operazione
Il ruolo privacy dipende dalle decisioni effettive su finalità e mezzi, non dal nome commerciale del servizio. Un portale può determinare autonomamente alcuni trattamenti dei propri utenti e svolgere altre attività per conto dell’agenzia. La distinzione tra titolare e responsabile va applicata alle singole operazioni: pubblicazione, trasmissione delle richieste, conservazione dei contatti e utilizzi pubblicitari non devono essere accorpati senza analisi.
Se il fornitore tratta dati per conto dell’agenzia, serve un accordo conforme all’articolo 28, con istruzioni, sicurezza, subresponsabili, assistenza e gestione della fine del servizio. La nomina a responsabile del trattamento deve descrivere il servizio reale. Quando le parti determinano congiuntamente finalità e mezzi, va invece valutata la contitolarità e il relativo accordo; per titolari autonomi occorre verificare la liceità della comunicazione e la trasparenza verso gli interessati.
Prima di attivare un CRM, controllate anche dove vengono trattati i dati, chi vi accede per assistenza e quali trasferimenti internazionali risultano dal servizio. La disponibilità di una regione europea non risolve da sola tutte queste domande. Alla cessazione del contratto, l’agenzia deve poter recuperare i dati necessari e gestire cancellazione o restituzione secondo gli obblighi applicabili, senza perdere le prove che deve conservare.
Telefonate, WhatsApp ed elenchi acquistati
Un numero pubblicato in un annuncio privato non equivale a un consenso a ricevere proposte di intermediazione. Le regole dipendono dal canale e dalla provenienza dei dati. L’articolo 130 del Codice privacy prevede il consenso per le comunicazioni promozionali mediante chiamate automatizzate senza operatore e per i canali elettronici disciplinati dalla norma. La telefonata con operatore richiede un’analisi distinta, compresa l’applicazione del Registro pubblico delle opposizioni e delle condizioni previste dalla normativa italiana.
Prima di usare una lista, verificate la fonte, il testo dell’informativa, l’eventuale consenso pertinente e le verifiche richieste presso il Registro pubblico delle opposizioni. La semplice dichiarazione del venditore della lista non sostituisce i controlli. Neppure l’assenza di un numero dal Registro rende lecita una raccolta originariamente irregolare o autorizza automaticamente un diverso canale, come un messaggio WhatsApp.
Nella newsletter del 30 maggio 2025, il Garante ha descritto interventi contro un sistema di elenchi arricchiti con recapiti e informazioni catastali, utilizzati da agenzie per contatti promozionali senza valido consenso. Il richiamo utile per un’agenzia è operativo: verificare i dati ricevuti e rendere effettiva l’opposizione, senza presumere che la disponibilità commerciale di una banca dati ne dimostri la liceità.
Per le campagne fondate sul consenso, conservate una prova comprensibile di ciò che la persona ha accettato. Gli esempi di consenso GDPR aiutano a separare finalità e destinatari, ma il testo deve corrispondere alla campagna concreta. L’opposizione al marketing diretto interrompe il relativo trattamento. Una lista di esclusione proporzionata può evitare nuovi contatti, senza mantenere l’intero profilo commerciale né diventare una nuova fonte di promozione.
Tempi di conservazione e richieste degli interessati
Il piano di conservazione distingue contatti senza seguito, incarichi attivi, proposte, documenti contabili, materiali antiriciclaggio e prove necessarie per controversie concrete. Non esiste un’unica durata decennale applicabile a tutto l’archivio. Per ogni categoria indicate l’evento iniziale, il termine o criterio, l’eventuale obbligo che lo giustifica e l’azione finale. La guida sulla limitazione della conservazione può servire a strutturare questa valutazione.
Anche un consenso promozionale valido non impone di tenere il contatto fino a una futura revoca senza altri limiti. Valutate attualità del rapporto, aspettative, frequenza delle campagne e necessità dei dati. Una controversia può giustificare una conservazione mirata, ma non il congelamento permanente di tutti i fascicoli. Nei backup, definite il ciclo di sostituzione e impedite che un ripristino rimetta ordinariamente in uso dati già cancellati.
Le richieste di accesso, rettifica o cancellazione devono raggiungere un referente riconoscibile anche quando arrivano al singolo agente. Il riscontro è dovuto senza ingiustificato ritardo e normalmente entro un mese; l’eventuale proroga motivata per complessità o numero va comunicata entro quel mese. Se non si dà seguito, occorre comunicarne i motivi senza ritardo e al più tardi entro un mese, insieme alle possibilità di reclamo e ricorso. Gli obblighi di conservazione possono limitare una cancellazione, ma vanno spiegati in relazione ai dati interessati.
Registro, sicurezza e verifiche periodiche
L’articolo 30 non esenta automaticamente le imprese con meno di 250 dipendenti. L’eccezione non opera se il trattamento può presentare un rischio per i diritti e le libertà degli interessati, se non è occasionale oppure se comprende categorie particolari di dati dell’articolo 9 o dati relativi a condanne penali e reati dell’articolo 10. La gestione abituale di clienti e incarichi giustifica quindi una valutazione concreta dell’obbligo anche in una piccola agenzia. Il registro dei trattamenti deve descrivere le attività effettive e permettere di collegarle a informative, fornitori e tempi di conservazione.
Le misure di sicurezza devono rispondere ai rischi: autenticazione adeguata, accessi individuali, aggiornamenti, protezione degli archivi cartacei e verifiche del ripristino. Preparate una procedura per documenti inviati al destinatario sbagliato, credenziali compromesse o furti di dispositivi. L’articolo 33 richiede la notifica senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per diritti e libertà; un ritardo va motivato. Documentate tutte le violazioni e valutate separatamente la comunicazione agli interessati prevista dall’articolo 34 in caso di rischio elevato, con le sue eccezioni.
Un controllo periodico può seguire un fascicolo reale dall’acquisizione alla chiusura: quali dati sono entrati, chi li ha ricevuti, quale informativa è stata fornita e quali copie restano. Nella scelta di un software GDPR per PMI, verificate concretamente le esigenze documentali e le esportazioni disponibili, senza confondere l’acquisto con una garanzia di conformità. Se l’agenzia svolge anche attività diverse, confrontate i flussi pertinenti con quelli delle strutture ricettive, delle agenzie di marketing o dell’e-commerce, evitando di copiare finalità e obblighi di un altro settore.