Uma mediadora imobiliária trata dados em momentos diferentes: responde a um anúncio, organiza visitas, celebra o contrato de mediação, verifica a identidade dos intervenientes e acompanha a transação. O RGPD exige que estas operações tenham finalidades e fundamentos definidos. A documentação necessária para prevenir o branqueamento de capitais não deve transformar-se, por inércia, numa base de contactos comerciais acessível a toda a equipa.
A conformidade depende de escolhas concretas: que informação pedir em cada fase, quem pode consultar documentos, o que enviar a um banco e quando eliminar registos. A Lei n.º 83/2017 e a regulamentação do IMPIC acrescentam obrigações setoriais, enquanto a Lei n.º 41/2004 condiciona as comunicações eletrónicas de marketing. Este guia articula essas regras para a atividade de mediação em Portugal, sem estabelecer um prazo único para todos os dados da imobiliária.
Os tratamentos de uma imobiliária
O registo de atividades de tratamento deve distinguir a gestão de contactos e visitas, os contratos de mediação, os procedimentos de identificação e diligência, a divulgação dos imóveis, a faturação, os recursos humanos e o marketing. Não é necessário inserir nele cada comprador ou cada documento. O objetivo é descrever atividades e ligar finalidades, categorias de dados, destinatários, prazos e medidas de segurança.
Ter menos de 250 trabalhadores não cria uma dispensa geral do registo. O artigo 30.º, n.º 5, exclui da isenção os tratamentos não ocasionais, os que possam implicar risco para direitos e liberdades e os que incluam dados das categorias especiais do artigo 9.º ou dados do artigo 10.º. A gestão habitual de clientes é não ocasional. A análise faz-se sobre as atividades pertinentes, evitando confundir a pequena dimensão da mediadora com a inexistência de obrigações.
Um exemplo ajuda a perceber a separação: uma pessoa pede uma visita e, meses depois, vende outro imóvel através da mesma mediadora. O primeiro contacto não autoriza automaticamente a utilização de todos os documentos recolhidos na segunda operação para campanhas. O sistema deve permitir identificar o contexto de cada recolha, a finalidade ainda ativa e as permissões de acesso, mesmo que todos os registos pertençam à mesma pessoa.
Escolher a base de licitude em cada fase
O artigo 6.º, n.º 1, alínea b), pode justificar dados necessários ao contrato com a própria pessoa ou a diligências pré-contratuais adotadas a seu pedido. Não abrange qualquer informação que facilite comercialmente o negócio. Se o cliente for uma sociedade, os dados do seu representante não ficam automaticamente abrangidos pela relação contratual com essa pessoa singular; é necessário identificar o fundamento adequado, como obrigação legal ou interesse legítimo, conforme a operação.
No contacto inicial, nome e meio de contacto podem bastar para responder e organizar uma visita. Pedir logo rendimentos completos, documentos de familiares ou cópia de identificação exige uma necessidade específica. Numa candidatura a arrendamento, a análise da capacidade de pagamento deve ser limitada e explicada, com atenção aos dados de terceiros presentes nos comprovativos. Receber um documento não obriga a conservar todos os seus elementos.
O interesse legítimo requer finalidade identificada, necessidade e ponderação dos direitos e expectativas das pessoas. Não é uma autorização genérica para partilhar contactos. O consentimento, quando utilizado, deve ser livre, específico, informado e inequívoco, além de demonstrável e retirável. Obrigar alguém a aceitar publicidade para receber uma resposta sobre um imóvel mistura finalidades que devem ser avaliadas separadamente.
AML versus minimização: identificar o dever concreto
As atividades imobiliárias estão abrangidas pela Lei n.º 83/2017, com regras de identificação, diligência e conservação. Para a mediadora, o tratamento necessário ao cumprimento de obrigações legais pode assentar no artigo 6.º, n.º 1, alínea c), do RGPD. Isso exige saber qual o dever aplicável à relação ou operação, quem deve ser identificado e que elementos permitem verificá-lo.
A identificação do cliente, do representante e do beneficiário efetivo não deve ser confundida com a recolha comercial de dados de qualquer visitante. O momento e a profundidade das diligências dependem da lei, da operação e do risco. A regulamentação publicada pelo IMPIC no Aviso n.º 739/2021 concretiza procedimentos para o setor. O formulário interno deve refletir esses requisitos, em vez de pedir o mesmo conjunto documental a todas as pessoas que telefonam.
Antes de reproduzir um documento, verifica-se a norma aplicável e os meios de comprovação admitidos. O guia sobre cópias do Cartão de Cidadão ajuda a distinguir identificação, reprodução e conservação. Uma cópia exigida ou permitida no contexto legal de diligência não deve circular em grupos informais de mensagens nem ficar disponível a agentes que apenas precisam do telefone para agendar uma visita.
A minimização continua a aplicar-se mesmo quando existe obrigação legal. Não significa recusar os elementos efetivamente exigidos pela lei; significa limitar a recolha, as cópias e os acessos ao necessário. Se a equipa não consegue explicar para que serve determinado campo, deve verificar se ele corresponde a um requisito ou apenas a um hábito. Essa revisão reduz a exposição de documentos sem enfraquecer os deveres de prevenção.
Prazos de conservação: sete anos não é uma regra para tudo
O artigo 51.º da Lei n.º 83/2017 distingue eventos de início. Para os elementos de identificação e diligência e a documentação abrangida pelo n.º 1, prevê sete anos após a identificação do cliente ou, nas relações de negócio, após o seu termo. Para os comprovativos e registos das operações, o n.º 2 estabelece sete anos a contar da execução, mesmo quando a relação de negócio já terminou. A data correta depende, portanto, da categoria documental.
O n.º 4 preserva outras obrigações de conservação, incluindo as relacionadas com processos e investigações pendentes. A mediadora deve articular a lei com o artigo 9.º da regulamentação setorial e documentar os eventos relevantes. Não basta criar uma regra técnica que elimina tudo sete anos depois de abrir a ficha, porque a relação pode continuar e alguns documentos obedecem a contagens diferentes.
O artigo 59.º, n.º 3, determina a eliminação após os prazos aplicáveis, sem prejuízo das exceções legais. A obrigação de conservar não justifica disponibilizar os documentos para finalidades correntes durante todo esse período. Um arquivo com acessos restritos e um responsável pela revisão permite distinguir documentação legalmente necessária de dados comerciais que já deveriam ter sido eliminados. O fim do prazo deve desencadear uma decisão executável, incluindo cópias e exportações pertinentes.
Os restantes prazos de conservação têm de ser definidos por finalidade: contactos sem seguimento, visitas, contratos, faturação ou defesa de direitos não partilham necessariamente o prazo AML. Uma possível reclamação não legitima conservar indefinidamente todo o histórico. Identificam-se os dados necessários à prova, o período relevante e a razão para os manter; depois, revê-se a necessidade quando muda a situação.
Dados recolhidos para prevenção e utilização comercial
O artigo 57.º, n.º 2, estabelece a finalidade exclusiva de prevenção do branqueamento e do financiamento do terrorismo para o tratamento efetuado com base nessa lei e impede utilizar a própria lei como fundamento de outras finalidades, incluindo comerciais. O n.º 4 preserva tratamentos baseados noutras disposições legais, designadamente no RGPD. Assim, a obrigação AML não autoriza automaticamente marketing, mas também não dispensa uma análise própria de outro tratamento legalmente fundamentado.
Na prática, a mediadora deve separar os circuitos. Um agente comercial não precisa de aceder à origem dos fundos ou à documentação de diligência para enviar um anúncio solicitado. Se pretende conservar um contacto para futuras oportunidades, deve definir esse serviço ou comunicação, prestar informação e cumprir as regras aplicáveis ao canal. Copiar toda a ficha AML para uma lista de campanhas é uma decisão de tratamento que não se justifica apenas por já possuir os dados.
A separação pode ser lógica, através de permissões e categorias de dados, sem exigir necessariamente aplicações diferentes. O essencial é que a finalidade e o acesso sejam controláveis. Um campo de marketing deve permitir demonstrar como foi obtida a autorização quando exigida e quando ocorreu uma oposição; não deve ser inferido da existência de uma cópia de identificação ou de um contrato arquivado.
Fotografias, visitas e dados de terceiros
Uma fotografia de um imóvel pode revelar nomes em correspondência, retratos de família, documentos, objetos associados à saúde ou rotinas dos ocupantes. Antes de publicar, convém preparar o espaço, selecionar enquadramentos e verificar as imagens. O acordo do proprietário para anunciar a casa não resolve automaticamente o tratamento dos dados de arrendatários, crianças, visitantes ou vizinhos que apareçam no conteúdo.
As visitas virtuais ampliam a informação disponível: um percurso permite observar detalhes que uma fotografia selecionada não mostraria. A mediadora deve avaliar o que fica visível, quem recebe acesso e durante quanto tempo o conteúdo permanece publicado. Ocultar documentos, evitar pessoas identificáveis e rever áreas privadas são medidas práticas de minimização. Quando o anúncio termina, é necessário controlar a remoção nos próprios canais e nos portais utilizados.
Também a organização de visitas produz dados pessoais. Listas de interessados, horários e instruções de acesso não devem ser expostos a todos os visitantes. Um comprovativo de visita deve recolher apenas informação adequada à finalidade demonstrável. Se o ocupante pede para saber quem entrou no imóvel, a resposta exige avaliar a necessidade e a base da divulgação; a curiosidade do proprietário não autoriza o envio integral da base de interessados.
Partilha com bancos, notários e portais
Enviar dados a um banco para uma análise de crédito exige definir o serviço solicitado e os elementos necessários. O pedido do interessado pode ser relevante, mas não dispensa avaliar a base jurídica e a transparência. Não se deve enviar o dossiê completo a vários bancos por defeito. A pessoa deve compreender quem recebe a informação, com que finalidade e se existe uma relação de intermediação distinta.
Notários, advogados e entidades financeiras podem tratar dados como responsáveis autónomos no exercício das suas funções. Não são automaticamente subcontratantes da mediadora. A mesma análise vale para portais: algumas operações podem ser realizadas por conta da agência e outras corresponder a finalidades próprias do operador. Ler o contrato é necessário, mas o papel decorre das decisões reais sobre o tratamento, não apenas do título escolhido pelas partes.
Quando um fornecedor trata dados por conta da mediadora, o artigo 28.º exige contrato ou outro ato jurídico vinculativo previsto pelo direito da União ou nacional, por escrito, incluindo formato eletrónico. O enquadramento da subcontratação deve abranger instruções, confidencialidade, segurança, assistência, subcontratantes posteriores e controlo. Contratar um CRM não transfere para o fornecedor a responsabilidade de decidir se a mediadora podia recolher ou comunicar aqueles dados.
A localização do alojamento deve ser verificada juntamente com os acessos remotos e os restantes intervenientes. Servidores na União Europeia não excluem, por si só, transferências internacionais. Ao comparar software de gestão do RGPD, convém examinar exportação, permissões, eliminação e condições contratuais, além das funções comerciais anunciadas. A avaliação deve corresponder aos dados efetivamente confiados ao serviço.
Prospeção e marketing imobiliário
Para pessoas singulares, as comunicações eletrónicas de marketing estão sujeitas ao artigo 13.º-A da Lei n.º 41/2004. A Diretriz 1/2022 da CNPD abrange email, SMS e chamadas telefónicas, incluindo chamadas com intervenção humana. Não se deve presumir que telefonar manualmente permite ignorar o regime. A licitude da recolha do contacto e a licitude do envio são questões relacionadas, mas distintas.
A regra de consentimento prévio tem uma exceção delimitada para contactos de clientes obtidos no contexto da venda de um produto ou serviço, usados pelo próprio fornecedor para produtos ou serviços análogos. Exige possibilidade clara, fácil e gratuita de recusar na recolha e em cada mensagem, se o cliente não tiver recusado inicialmente. Uma simples visita ou pedido de informação não deve ser automaticamente convertido numa relação de clientela que satisfaz todos esses requisitos.
A exceção não autoriza a promoção indiscriminada de serviços de outras empresas do grupo ou de parceiros. É necessário analisar quem recolheu o contacto, quem comunica e o que está a ser promovido. Fora das condições aplicáveis, um argumento genérico de interesse comercial não substitui o consentimento exigido. O guia de marketing eletrónico em Portugal desenvolve a prova da autorização e a execução das recusas.
Comprar uma lista não demonstra que os destinatários aceitaram comunicações daquela mediadora. Antes de utilizar contactos externos, deve ser possível verificar a origem, a informação prestada e o âmbito da autorização, quando necessária. A oposição ao marketing exige parar esse tratamento, incluindo os perfis relacionados. Uma lista mínima de exclusão pode ser necessária para impedir reimportações; não deve continuar a funcionar como lista comercial. A gestão do direito de oposição deve alcançar também os prestadores que enviam campanhas.
Informação e direitos dos clientes
A informação dos artigos 13.º e 14.º deve explicar quem trata os dados, finalidades, bases, destinatários, conservação e direitos, entre os demais elementos aplicáveis. Se a mediadora recebe um contacto através de um portal ou parceiro, precisa de analisar a recolha indireta e o momento de informar. Uma política acessível no site ajuda, mas não demonstra por si só que a pessoa recebeu a informação pertinente ao contacto ou à partilha.
Os pedidos comuns devem ser tratados sem demora injustificada e, no máximo ordinário, em um mês. A complexidade e o número de pedidos podem justificar mais dois meses, comunicados e fundamentados dentro do primeiro. Quando não dá seguimento, a mediadora informa os motivos e as vias de reclamação e recurso sem demora e até um mês. A resposta a pedidos de acesso exige localizar os dados relevantes e proteger informações de terceiros.
Existe um regime especial para dados tratados ao abrigo da Lei n.º 83/2017: o artigo 60.º prevê o exercício dos direitos de acesso e retificação através da CNPD e limita o acesso nas situações de não divulgação do artigo 54.º. Não se deve revelar uma comunicação suspeita sob pretexto de responder a um pedido, nem alargar essa restrição a toda a informação comercial da pessoa. É necessário identificar o conjunto abrangido e manter separadas as diferentes finalidades.
Um pedido de apagamento pode levar a eliminar contactos comerciais e manter documentação legalmente obrigatória. A resposta deve explicar o que foi eliminado e o que continua necessário, dentro dos limites legais de divulgação. Encerrar a conta no CRM não equivale a eliminar todas as cópias, e guardar documentos AML não autoriza continuar publicidade. A decisão tem de chegar às equipas e fornecedores que executam cada tratamento.
Segurança e acompanhamento operacional
A mediadora deve adequar a segurança ao risco: limitar acessos, proteger dispositivos usados em visitas, evitar documentos em contas pessoais e prever perda de equipamentos ou envio ao destinatário errado. O acesso de um agente termina quando deixa a organização. Os dados dos trabalhadores têm finalidades próprias e devem ser tratados segundo as regras de RGPD nos recursos humanos, sem reutilizar procedimentos comerciais de forma automática.
Uma violação de dados pessoais é documentada e pode exigir notificação à CNPD sem demora injustificada e, quando possível, em 72 horas após o conhecimento, salvo se for improvável um risco para as pessoas. O atraso deve ser justificado. A comunicação aos titulares por risco elevado é uma avaliação distinta do artigo 34.º. O procedimento de notificação deve indicar quem decide e como obter rapidamente informação dos fornecedores.
A revisão de uma amostra de operações pode revelar falhas úteis: um contacto sem origem identificada, uma fotografia ainda pública após a venda ou um antigo colaborador com acesso. Não existe garantia de conformidade apenas por preencher documentos. O enquadramento das coimas da CNPD ajuda a compreender as consequências possíveis, mas a prioridade operacional é corrigir a causa e comprovar que a medida funciona.
Perguntas frequentes
Tenho de guardar todos os dados durante sete anos?
Não. A conservação AML abrange categorias e eventos definidos na lei. Contactos comerciais, fotografias e dados de trabalhadores precisam de critérios próprios. A contagem não começa sempre no primeiro contacto nem autoriza conservar toda a ficha para qualquer finalidade.
Posso enviar oportunidades a quem visitou um imóvel?
A visita não prova, por si só, autorização para campanhas. É necessário analisar o serviço pedido, o destinatário e as regras do canal. A exceção para clientes e serviços análogos tem condições específicas, incluindo oposição na recolha e em cada comunicação.
A obrigação AML impede qualquer apagamento?
Não. Pode justificar manter os dados necessários durante o prazo legal aplicável. Outros dados sem fundamento de conservação devem ser eliminados. A mediadora deve decidir por finalidade e respeitar o regime especial de informação e direitos quando aplicável.