GDPR för fastighetsmäklare kräver att varje uppgift kopplas till en bestämd uppgift i förmedlingen. En visningsanmälan, en budgivningslista och ett underlag för kundkännedom kan handla om samma person men har olika ändamål, mottagare och bevarandetider. Byrån behöver därför skilja mellan aktiv försäljning, obligatorisk dokumentation och fortsatt marknadsföring. Att en handling måste sparas betyder inte att uppgifterna får användas för nya bostadsutskick.
Den här genomgången utgår från reglerna kontrollerade den 29 september 2026. Fastighetsmäklarlagen och penningtvättslagen innehåller särskilda skyldigheter. GDPR gäller samtidigt för bland annat information, behörigheter, uppgiftsminimering och individens rättigheter. Börja med att kartlägga vad som händer från det första intresset till avslutat uppdrag och gallrat arkiv.
Vem ansvarar för uppgifterna på mäklarbyrån?
Personuppgiftsansvaret följer den faktiska beslutanderätten över ändamål och väsentliga medel. Det går inte att bestämma enbart genom att kalla varje registrerad mäklare ansvarig eller genom att skriva att företaget äger kundregistret. Undersök vem som beslutar om spekulantdatabasens användning, vilka uppgifter som samlas in, vilka personer som får tillgång och när uppgifterna tas bort. Byråns organisation och mäklarens egna lagstadgade uppgifter behöver bedömas tillsammans.
En anställd som använder företagets system enligt instruktioner är inte ett självständigt personuppgiftsbiträde bara för att personen är mäklare. Ett fristående företag som gemensamt bestämmer hur en gemensam spekulantdatabas används kan däremot aktualisera gemensamt personuppgiftsansvar. Då behövs en faktisk ansvarsfördelning enligt artikel 26, vars väsentliga innehåll görs tillgängligt för de registrerade. Ett samarbetsavtal löser inte frågan om det beskriver något annat än arbetssättet.
Vid franchisedrift måste även centralorganisationens användning granskas. Teknisk lagring på instruktion, egen statistik och gemensam marknadsföring kan innebära olika roller för olika behandlingar. Dokumentera exempelvis vem som svarar på en begäran om registerutdrag när samma person förekommer hos två kontor. Kunden ska inte behöva förstå koncernstrukturen för att få sina rättigheter tillgodosedda. En kontaktväg kan samordnas utan att de rättsliga skyldigheterna försvinner.
Bestäm rättslig grund för varje steg
Uppgifter som är nödvändiga för ett förmedlingsavtal med säljaren kan behandlas för att fullgöra avtalet. Grunden omfattar inte automatiskt alla personer som berörs av försäljningen. En spekulant är normalt inte part i säljarens förmedlingsavtal. För att administrera visningar, besvara frågor och hantera konkreta intresseanmälningar kan ett berättigat intresse vara relevant efter en dokumenterad bedömning av ändamål, nödvändighet och påverkan på personen.
Den bedömningen bör beskriva vad spekulanten rimligen förväntar sig. Att få ändrad visningstid för en bostad som personen anmält sig till är något annat än att flera år senare få reklam från andra företag. Hänvisa inte till samma allmänna avtalsgrund för båda situationerna. Vår genomgång av rättslig grund enligt GDPR hjälper att hålla isär förutsättningarna, medan intresseavvägningen beskriver vad som behöver dokumenteras när artikel 6.1 f används.
För en lagstadgad journal, budgivningslista eller kundkännedomsåtgärd är den relevanta förpliktelsen central. Ange vilken skyldighet uppgiften behövs för och samla bara in det som krävs. Ett obligatoriskt uppgiftsfält i mäklarsystemet är inte i sig ett lagkrav. Om systemet kräver personnummer redan för att skicka en objektsbeskrivning behöver byrån kunna motivera det särskilt eller ändra fältet. Samtycke bör inte användas för att ge sken av valfrihet där behandlingen faktiskt är obligatorisk.
Visningsanmälan och spekulantregister
För en vanlig visningsanmälan räcker ofta kontaktuppgifter och vilken bostad intresset gäller. Frågor om finansiering måste anpassas till det konkreta skedet. Ett tidigt intresse motiverar inte rutinmässig insamling av fullständig låneansökan, kontoutdrag eller familjens ekonomiska förhållanden. Om ett lånelöfte senare behövs, bestäm vem som får se det och om det räcker att dokumentera kontrollen i stället för att spara hela underlaget.
Fritextfält skapar särskilda problem. Anteckningen att en kund vill ha hiss kan vara relevant för bostadssökningen; detaljer om diagnoser eller en anhörigs behandling är normalt inte nödvändiga. Hälsouppgifter omfattas dessutom av artikel 9 och kräver ett tillämpligt undantag utöver en rättslig grund enligt artikel 6. Personalen behöver veta hur sådana uppgifter undviks och hanteras om de ändå kommer in via e-post.
Bestäm vad som händer med spekulanter som inte lägger bud. När uppföljningen av den konkreta försäljningen är avslutad behöver fortsatt registrering ha ett eget motiverat ändamål. Det finns ingen generell GDPR-regel som alltid tillåter ett visst antal månader för spekulantlistor. Ange en rimlig tidsgräns eller ett tydligt avslutshändelseförlopp och kontrollera att det fungerar även i exportfiler, personliga inkorgar och portaler som är kopplade till CRM-systemet.
Journal och budgivningslista är särskilda handlingar
Enligt 3 kap. 18 § fastighetsmäklarlagen ska mäklaren föra journal och upprätta en budgivningslista. Listan ska innehålla budgivarens namn, kontaktuppgifter, belopp, tidpunkt och eventuella villkor. Journalen och listan ska lämnas till uppdragsgivaren när uppdraget slutförts. Om ett överlåtelseavtal ingås ska även den som köpt eller sålt fastigheten få handlingarna vid uppdragets avslut. Den rättsliga skyldigheten kan inte avtalas bort genom att parterna säger att de inte vill ha dokumentationen.
Detta ger inte varje deltagare i budgivningen en allmän rätt att få en komplett lista över alla andra budgivare. En separat begäran enligt GDPR gäller den sökandes personuppgifter och måste hanteras med hänsyn till andra personers rättigheter. Bestäm alltså först om utlämnandet följer av mäklarlagen, en dataskyddsrättighet eller en annan regel. Skicka inte hela kundakten för att en person efterfrågar sitt eget bud.
Journalen ska ge en begriplig bild av utförda åtgärder och när de genomfördes. Efterhandskonstruktioner försvagar både tillsynsunderlaget och riktigheten. Om en anteckning behöver korrigeras bör det framgå vad som rättats och varför, med en lösning anpassad till dokumentets funktion. Riktiga personuppgifter enligt artikel 5 hjälper att skilja sakfel från historiska uppgifter som korrekt visar vad som hände vid en viss tidpunkt.
Bevarandetider: skilj lagkrav från rekommendationer
FMI:s vägledning om journalen anger minst sju års bevarande och hänvisar till bokföringslagen samt skyldigheten att lämna underlag för tillsyn. FMI rekommenderar också att handlingarna sparas i minst tio år eftersom skadeståndskrav kan aktualiseras under den tiden. Tio år ska därför inte beskrivas som ett generellt lagstadgat krav för alla personuppgifter på en mäklarbyrå. Den längre perioden måste knytas till handlingarnas funktion och den motiverade behandlingen.
Fastighetsmäklarlagens 3 kap. 19 § kräver dessutom att en mäklare som arbetar i ett mäklarföretag förvarar kopior av verksamhetens handlingar hos företaget. En medarbetares avslut får därför inte leda till att nödvändiga handlingar försvinner med en privat dator. Samtidigt ska den tidigare medarbetarens tillgång stängas när den inte längre behövs. Att byrån ska behålla dokumentation berättigar inte den avgående personen att ta med sig hela kunddatabasen.
Kundkännedomsunderlag följer en annan regel. Enligt 5 kap. 3 § penningtvättslagen ska berörda handlingar och uppgifter normalt bevaras i fem år. Startpunkten är åtgärden eller transaktionen, eller affärsförbindelsens slut när en sådan har etablerats. Om det är nödvändigt för att förebygga, upptäcka eller utreda penningtvätt eller finansiering av terrorism får längre bevarande användas enligt 4 §, men den sammanlagda tiden får inte överstiga tio år. Detta är ingen automatisk förlängning för hela kundakten.
En praktisk gallringsplan anger därför dokumentkategori, startpunkt, tidsperiod, motivering och hur radering genomförs. Marknadsföringslistor, journaler och identitetsunderlag ska inte få samma slutdatum av bekvämlighet. Vid en konkret tvist kan vissa uppgifter behöva undantas från ordinarie gallring för rättsliga anspråk. Dokumentera vilka uppgifter det gäller och ompröva undantaget när behovet upphör. Lagringsminimering handlar också om att begränsa åtkomsten under bevarandetiden.
Marknadsföring kräver mer än en intresseavvägning
Marknadsföringslagens 19 och 20 §§ ställer särskilda krav på elektronisk marknadsföring. E-post till en fysisk person kräver som huvudregel samtycke i förväg. GDPR:s regler om berättigat intresse undanröjer inte det kravet. En visningsanmälan eller ett bud är inte i sig ett samtycke till ett återkommande nyhetsbrev. Skilj därför meddelanden som behövs för den aktuella visningen från nya erbjudanden om andra bostäder eller tjänster.
Undantaget för befintliga kunder är begränsat. Den elektroniska adressen ska ha erhållits i samband med försäljning av en produkt till personen; marknadsföringen ska gälla näringsidkarens egna likartade produkter. Personen får inte ha motsatt sig användningen och ska få en tydlig, kostnadsfri och enkel möjlighet att tacka nej både när adressen samlas in och i varje följande meddelande. En lista med personer som endast besökt en visning uppfyller inte automatiskt dessa villkor.
Om samtycke används ska byrån kunna visa vad personen godkände, när det skedde och vilken information som lämnades. Ett godkännande för ett lokalt kontors utskick ger inte obegränsad rätt att dela adressen med alla samarbetspartner. Kraven på samtycke behöver omsättas i formulär och register. Vid invändning mot direktmarknadsföring ska behandlingen för det ändamålet upphöra, inklusive tillhörande profilering. En begränsad spärruppgift kan behövas för att förhindra nya utskick; den ska inte bli ett fortsatt aktivt kundkort.
Informera även personer som inte kontaktat byrån direkt
Vid insamling ska personen få begriplig information om ansvarig organisation, ändamål, rättsliga grunder, mottagare, lagring och rättigheter. Placera informationen där uppgifterna lämnas. En spekulant ska kunna förstå varför telefonnumret behövs utan att leta igenom villkoren för säljarens uppdragsavtal. Skilj information om obligatoriska förmedlingsåtgärder från frivillig marknadsföring så att valet blir verkligt.
Uppgifter kan också komma från säljare, offentliga register eller en bostadsrättsförening. Då behöver byrån bedöma informationsplikten enligt artikel 14, inklusive tidsfrister och eventuella undantag. Att en uppgift är offentligt tillgänglig innebär inte ett generellt undantag. Vår vägledning om information när uppgifter kommer från andra ger stöd för den bedömningen. Särskilt vid gemensamma kontaktregister bör informationsflödet testas, så att ingen organisation förutsätter att någon annan redan har informerat personen.
Kontakten med bostadsrättsföreningen bör begränsas till de uppgifter som behövs för uppdraget och föreningens beslut. Begär inte kompletta medlemsregister när en viss lägenhet och dess innehavare räcker. När en advokatbyrå anlitas för en tvist behöver roller och utlämnande bedömas för just det uppdraget; juristen är inte automatiskt mäklarbyråns biträde. Samma prövning behövs när banken eller fotografen får personuppgifter.
Systemleverantörer, behörigheter och publicering
En leverantör som behandlar uppgifter för byråns räkning enligt instruktioner behöver omfattas av artikel 28: ett skriftligt avtal, även elektroniskt, eller en annan bindande unionsrättslig eller nationell rättsakt. Ett vanligt sekretessavtal täcker inte ensamt instruktioner, underbiträden, säkerhet, hjälp med rättigheter och hantering vid avtalets slut. Använd genomgången av personuppgiftsbiträdesavtal för att kontrollera den verkliga tjänsten och dess underleverantörer.
Kontrollera också var supportpersonal kan komma åt uppgifterna. En server inom EU utesluter inte tredjelandsöverföring genom fjärrsupport eller vidarebehandling. Administratörsrättigheter bör vara personliga, begränsade och möjliga att följa upp. Flerfaktorsautentisering, loggning och kontrollerade exportmöjligheter är exempel på åtgärder som bedöms utifrån risken enligt artikel 32; behovet avgörs inte enbart av kontorets storlek.
Fotografier och planritningar behöver granskas före publicering. Bilder kan visa familjefoton, namn på post, larmkoder eller andra uppgifter som inte behövs för försäljningen. Bestäm en rutin för att upptäcka och ta bort sådant material och för att hantera kopior hos annonsportaler. När bostaden är såld ska byrån bedöma fortsatt publicering för varje ändamål. Att materialet en gång varit offentligt gör inte framtida återanvändning obegränsat tillåten.
Hantera rättigheter och incidenter i den faktiska arbetskedjan
En begäran om tillgång eller radering bör registreras med mottagningsdatum och ansvarig handläggare. Sökningen kan behöva omfatta CRM, e-post, budgivningsverktyg och arkiv. Kontrollera identiteten proportionerligt, utan att rutinmässigt kräva fler identifieringsuppgifter än nödvändigt. Om uppgifter måste behållas enligt lag eller för rättsliga anspråk, förklara vilka delar som berörs och varför. Ett lagligt arkivbevarande är inte skäl att fortsätta använda uppgifterna för marknadsföring.
Information om vidtagna åtgärder ska normalt lämnas inom en månad. En förlängning med ytterligare två månader förutsätter behov med hänsyn till komplexitet och antal begäranden; personen ska informeras inom den första månaden om förlängningen och skälen. Om byrån inte agerar ska skälen samt information om klagomål och rättslig prövning lämnas utan dröjsmål och senast inom en månad enligt artikel 12.4. Att en handling innehåller andra personers uppgifter kräver en skyddsbedömning, inte ett automatiskt avslag på hela begäran.
En feladresserad budgivningslista, ett kapat konto eller borttappade kundhandlingar kan vara en personuppgiftsincident. Dokumentera varje sådan incident enligt artikel 33.5, även när den inte anmäls. Anmälan till IMY ska göras utan onödigt dröjsmål och om möjligt inom 72 timmar efter vetskap, om det inte är osannolikt att incidenten medför risk för människor. Försenad anmälan ska motiveras; hög risk kan dessutom kräva information till de berörda utan onödigt dröjsmål enligt artikel 34. En intern instruktion behöver ange vem som gör riskbedömningen när ansvarig mäklare är frånvarande.
Gör rutinerna möjliga att följa upp
Samla byråns behandlingar i en registerförteckning. Regelbunden kund- och personaladministration är inte tillfällig behandling bara för att företaget har få anställda. Undantaget för verksamheter med färre än 250 personer är begränsat och gäller inte behandling som inte är tillfällig, sannolikt medför risk eller omfattar artikel 9- eller artikel 10-uppgifter. Förteckningen ska beskriva faktiska processer och visa vilka system och leverantörer som behöver ingå i arbetet.
Följ därefter ett konkret uppdrag genom systemen: från första kontakt till avslutat arkiv. Kontrollera att informationen lämnats, att marknadsföringsval respekteras, att rätt handlingar överlämnas och att åtkomst samt gallring fungerar. Detta är en rekommenderad arbetsmetod, inte ett särskilt lagkrav på ett visst kontrollintervall. Det viktiga är att byrån upptäcker skillnaden mellan en beslutad rutin och vad som faktiskt sker med säljares, köpares och spekulanters uppgifter.