GDPR för fastighetsmäklare: regler och praktiska steg

GDPR för fastighetsmäklare handlar om att förena tre regelverk: dataskyddsförordningen, fastighetsmäklarlagen (2021:516) och penningtvättslagen (2017:630). En mäklare behandlar personuppgifter i varje affär – spekulantlistor, budgivare, köpare och säljare, och vid bostadsrätter även i kontakt med bostadsrättsföreningen – samtidigt som annan lagstiftning både kräver och begränsar behandlingen. Den vanligaste frågan i praktiken är hur länge uppgifter får sparas, eftersom mäklarlagen kräver att affärshandlingar bevaras medan GDPR kräver att onödiga uppgifter gallras. Svaret är att hålla isär de olika kategorierna.

Viktigaste punkterna

• Mäklaren är personuppgiftsansvarig för spekulantlistor, budgivning, kund- och affärsuppgifter.
• Fastighetsmäklarlagen och Fastighetsmäklarinspektionens föreskrifter kräver att dokumentationen om ett förmedlingsuppdrag bevaras – vilket ger rättslig grund för lagring även efter avslut.
• Penningtvättslagen kräver kundkännedom (KYC) och att dessa uppgifter bevaras i normalt fem år – en egen rättslig grund enligt art. 6.1 c.
• Spekulanter som lämnar intresse behandlas oftast på berättigat intresse; marknadsföring till dem kräver en intresseavvägning.
• Uppgifter utan lagstöd – till exempel gamla spekulantlistor – ska gallras när ändamålet är uppfyllt.

Rättslig grund i mäklarverksamheten

Varje behandling behöver en rättslig grund. I en mäklaraffär ser bilden typiskt ut så här:

Den centrala insikten är att en och samma affär bär flera grunder samtidigt. Säljaren behandlas på avtal, men mäklarens journalföring om samma affär vilar på rättslig förpliktelse, och kundkännedomen på penningtvättslagen. Det innebär också att olika delar av samma dokumentation gallras vid olika tidpunkter.

Spekulantlistor och budgivning

Spekulanter – personer som anmäler intresse eller deltar i budgivning – är ofta den känsligaste kategorin, eftersom de inte har något avtal med mäklaren. Att samla in kontaktuppgifter för att kunna kalla till visning och hantera budgivning ryms normalt inom berättigat intresse: spekulanten förväntar sig att bli kontaktad om objektet. Men att därefter behålla listan för att marknadsföra andra objekt kräver en dokumenterad intresseavvägning, och spekulanten ska informeras och kunna invända. En budgivningslista innehåller dessutom uppgift om vad någon varit beredd att betala – information som kan vara känslig och som inte bör spridas vidare än nödvändigt.

Bevarandetider: mäklarlagen mot GDPR

Konflikten som mäklare oftast frågar om är hur länge material får sparas. Svaret ligger i att skilja på kategorierna:

• Dokumentation om förmedlingsuppdraget (uppdragsavtal, objektsbeskrivning, budgivningslista, köpehandlingar) ska bevaras enligt fastighetsmäklarlagen och Fastighetsmäklarinspektionens krav – ofta i tio år. Här ger lagen rättslig grund för lagringen.
• Kundkännedom enligt penningtvättslagen bevaras i normalt fem år efter att affärsförbindelsen upphört.
• Spekulantlistor utan koppling till en genomförd affär saknar sådant lagstöd och ska gallras när visningen och budgivningen är avslutad, om det inte finns ett dokumenterat berättigat intresse för fortsatt marknadsföring.

Poängen är att bevarandekraven bara omfattar det de faktiskt pekar ut. Att spara allt i tio år “för säkerhets skull” är inte förenligt med lagringsminimeringen – det som inte omfattas av mäklarlagen eller penningtvättslagen ska gallras tidigare.

I praktiken betyder det att en och samma affär bör delas upp i flera gallringsspår. Köpehandlingar och den lagstadgade dokumentationen bevaras i tio år; kundkännedomen i fem; en spekulantlista utan koppling till affären gallras direkt efter budgivningen; och e-postkorrespondens med intresserade som inte köpte ska inte ligga kvar i inkorgen på obestämd tid. Att bygga in dessa frister i mäklarsystemet, snarare än att förlita sig på manuell rensning, är det som gör lagringsminimeringen verklig. En mäklarbyrå som gallrar systematiskt minskar dessutom sin exponering vid en incident – det finns helt enkelt mindre gamla uppgifter att läcka.

Marknadsföring och externa tjänster

Mäklare arbetar med flera externa system: mäklarsystem, budgivningsplattformar, annonsportaler och nyhetsbrevverktyg. Varje sådan leverantör som behandlar personuppgifter för mäklarens räkning är ett personuppgiftsbiträde, och det krävs ett personuppgiftsbiträdesavtal med var och en. Skickas uppgifter till en portal som själv bestämmer ändamålen kan det i stället vara fråga om ett eget personuppgiftsansvar eller gemensamt ansvar – roller som måste klargöras. Nyhetsbrev och riktad marknadsföring till presumtiva säljare kräver en genomtänkt grund; att köpa in adresslistor och massutskicka utan grund är en vanlig och sanktionsgrundande brist.

En särskild fråga är den enskilde mäklaren som byter byrå. Kundrelationer och kontaktlistor tillhör den byrå som är personuppgiftsansvarig, inte mäklaren personligen. Att en mäklare tar med sig ett register över tidigare kunder och spekulanter till en ny arbetsgivare är en olaglig behandling om det saknas grund – uppgifterna samlades in för den tidigare byråns räkning och för dess ändamål. Byråer bör därför reglera detta tydligt och se till att åtkomsten till registren upphör när en anställning avslutas. Detsamma gäller mäklarassistenter och andra som haft tillgång till systemen: behörigheten ska dras in omgående.

Kundkännedom enligt penningtvättslagen

Fastighetsmäklare är verksamhetsutövare under penningtvättslagen – liksom exempelvis advokatbyråer – och måste utföra kundkännedom – identifiera och verifiera köpare och säljare, kartlägga verkliga huvudmän och i vissa fall göra en fördjupad kontroll. Denna behandling har sin egen rättsliga grund i den lagstadgade skyldigheten (art. 6.1 c), och den skapar en särskild spänning mot dataskyddet: penningtvättslagen kräver att uppgifterna bevaras, normalt i fem år efter att affärsförbindelsen upphört, medan GDPR kräver att de inte sparas längre än nödvändigt.

Lösningen är att behandla kundkännedomsuppgifterna som en avgränsad kategori med en egen frist. De ska inte blandas ihop med den övriga marknadsförings- eller spekulantdatan, och de ska gallras när femårsfristen löpt ut. En vanlig brist är att KYC-underlag – kopior av legitimationer, uppgifter om verkliga huvudmän – blir liggande i mäklarsystemet utan tidsgräns, eller sprids till fler i byrån än de som behöver dem. Uppgifterna ska dessutom skyddas väl: en läckt legitimationskopia är en allvarlig incident. Att strukturera kundkännedomen som en egen behandling i registret, med rätt grund, frist och åtkomstbegränsning, är därför en av de viktigaste punkterna för en mäklarbyrås efterlevnad.

Vad en mäklarbyrå behöver ha på plats

1. Registerförteckning över alla behandlingar: uppdrag, spekulanter, budgivning, KYC, marknadsföring – se registerförteckning.
2. Differentierade gallringsfrister som skiljer mäklarlagens och penningtvättslagens bevarandekrav från övriga uppgifter.
3. Intresseavvägningar dokumenterade för spekulantlistor och marknadsföring.
4. Biträdesavtal med mäklarsystem, budgivningsplattform och nyhetsbrevverktyg.
5. Integritetsinformation till säljare, spekulanter och köpare enligt artikel 13.

För en mäklarbyrå med många pågående affärer blir överblicken snabbt en utmaning – samma spekulant kan förekomma i flera objekt med olika grunder och frister. En plattform som Legiscope kan strukturera registret, biträdesavtalen och gallringsfristerna så att helheten är dokumenterad. Kostnadsbilden för sådana verktyg beskrivs i vår kostnadsguide.

Vanliga frågor

Hur länge får en mäklare spara uppgifter om en affär?

Dokumentation om förmedlingsuppdraget ska bevaras enligt fastighetsmäklarlagen, ofta i tio år, och kundkännedom enligt penningtvättslagen normalt i fem år. Uppgifter som inte omfattas av dessa krav – till exempel spekulantlistor utan genomförd affär – ska gallras när ändamålet är uppfyllt.

Får jag marknadsföra nya objekt till tidigare spekulanter?

Ja, om du kan stödja det på berättigat intresse med en dokumenterad intresseavvägning och spekulanten informerats och getts möjlighet att invända. Att behålla listan enbart för marknadsföring, utan sådan grund och information, är inte tillåtet.

Behöver en mäklarbyrå biträdesavtal med sina system?

Ja. Mäklarsystem, budgivningsplattformar och nyhetsbrevverktyg som behandlar personuppgifter för byråns räkning är personuppgiftsbiträden, och det krävs ett personuppgiftsbiträdesavtal enligt artikel 28 med var och en av dem.

Slutsats

GDPR för fastighetsmäklare handlar om att hålla isär de tre regelverken: dataskyddsförordningen ger ramen, medan fastighetsmäklarlagen och penningtvättslagen både kräver och begränsar bevarandet. Sätt differentierade gallringsfrister, dokumentera intresseavvägningarna för spekulantlistor och marknadsföring, och ha biträdesavtal med alla system. Grunden finns i dataskyddsförordningen och i IMY:s vägledning, och de branschspecifika kraven hos Fastighetsmäklarinspektionen.