W jednym zdaniu. Biuro nieruchomości jest administratorem danych kupujących, najemców i oglądających — jego dwa największe ryzyka to kopiowanie dowodów osobistych bez podstawy prawnej oraz brak jasno określonego okresu retencji po zakończeniu umowy pośrednictwa.
RODO w biurze nieruchomości sprowadza się do trzech pytań: na jakiej podstawie przetwarzasz dane, jak długo je trzymasz i komu je przekazujesz. Pośrednik obraca danymi setek osób — sprzedających, kupujących, najemców, oglądających mieszkania, właścicieli — a większość z nich nigdy nie zawrze z nim umowy. To rodzi ryzyko, którego typowe biuro w ogóle nie mapuje. Podobne wyzwania — dane klientów, profilowanie, sieć pośredników — dotyczą branży ubezpieczeniowej.
Najważniejsze punkty
- Biuro nieruchomości jest administratorem własnych baz klientów i ogłoszeń.
- Kopiowanie dowodu osobistego przy prezentacji mieszkania jest co do zasady niedopuszczalne (zasada minimalizacji, art. 5 ust. 1 lit. c RODO).
- Podstawą dla osób z umową pośrednictwa jest art. 6 ust. 1 lit. b; dla oglądających i leadów — art. 6 ust. 1 lit. f (uzasadniony interes).
- Dane należy usunąć po realizacji umowy z zachowaniem terminów podatkowych i przedawnienia roszczeń.
- Przekazanie danych do portalu ogłoszeniowego i banku wymaga podstawy oraz — przy portalu — właściwego układu ról.
1. Kto jest administratorem, a kto procesorem
Biuro nieruchomości działa najczęściej jako administrator — sam decyduje o celach i sposobach przetwarzania: buduje bazę kontaktów, kojarzy oferty, prowadzi marketing. Wobec danych zbieranych na zlecenie dewelopera sytuacja bywa różna: jeśli biuro sprzedaje inwestycję w imieniu dewelopera według jego wytycznych, może być procesorem — wtedy niezbędna jest umowa powierzenia przetwarzania zgodna z art. 28 RODO.
Rozróżnienie nie jest formalnością. Administrator odpowiada za podstawę prawną, obowiązek informacyjny i realizację praw osób. Procesor odpowiada za bezpieczeństwo i działanie zgodnie z instrukcją administratora. Pomylenie ról to najczęstszy błąd audytowy w tej branży.
2. Podstawy prawne — art. 6 RODO w praktyce pośrednika
Każda kategoria osób ma inną podstawę prawną z art. 6 RODO:
| Kategoria osób | Podstawa prawna | Uwaga |
|---|---|---|
| Klient z umową pośrednictwa | art. 6 ust. 1 lit. b (wykonanie umowy) | dane niezbędne do transakcji |
| Osoba oglądająca mieszkanie | art. 6 ust. 1 lit. f (uzasadniony interes) | minimalny zakres: imię, telefon |
| Lead z portalu / formularza | art. 6 ust. 1 lit. f lub lit. a (zgoda) | zależnie od celu |
| Marketing (newsletter, oferty) | art. 6 ust. 1 lit. a (zgoda) | odrębna, dobrowolna |
| Rozliczenia, faktury | art. 6 ust. 1 lit. c (obowiązek prawny) | ustawa o rachunkowości |
Kluczowa zasada: nie zbieraj więcej, niż potrzebujesz do konkretnego celu. Osoba, która przychodzi obejrzeć mieszkanie, nie musi podawać numeru PESEL ani pokazywać dowodu.
3. Kopiowanie dowodu osobistego — czego nie wolno
To najbardziej wrażliwy punkt w branży. UODO wielokrotnie wskazywał, że skanowanie i kserowanie dowodów osobistych jest dopuszczalne wyłącznie tam, gdzie przepis szczególny tego wymaga (np. ustawa o przeciwdziałaniu praniu pieniędzy dla określonych transakcji). Przy zwykłej prezentacji mieszkania czy podpisaniu umowy pośrednictwa kopiowanie dowodu narusza zasadę minimalizacji z art. 5 ust. 1 lit. c RODO.
Praktyczna reguła: dane z dowodu możesz spisać w zakresie niezbędnym (np. do umowy), ale nie musisz i zwykle nie powinieneś przechowywać kopii dokumentu. Jeśli przepis AML wymaga identyfikacji, przechowuj tylko to, co ustawa nakazuje, przez okres, który ustawa wyznacza.
4. Retencja danych po zakończeniu umowy
Najczęstszy grzech biur to trzymanie danych „na zawsze, bo klient może wrócić". RODO tego zakazuje (zasada ograniczenia przechowywania, art. 5 ust. 1 lit. e). Ustal okresy retencji dla każdej kategorii:
- Dane z umowy pośrednictwa — do przedawnienia roszczeń (co do zasady 3 lata dla działalności gospodarczej, 6 lat dla części roszczeń).
- Dokumenty księgowe — 5 lat od końca roku podatkowego (ustawa o rachunkowości).
- Leady i oglądający bez transakcji — krótko, np. 6-12 miesięcy, jeśli nie doszło do umowy.
- Zgody marketingowe — do wycofania zgody.
Wszystkie okresy zapisz w rejestrze czynności przetwarzania i w klauzuli informacyjnej.
5. Przekazywanie danych — portale, banki, notariusze
Biuro nieustannie przekazuje dane na zewnątrz. Każdy odbiorca wymaga podstawy i przemyślenia roli:
- Portale ogłoszeniowe (Otodom, OLX) — publikacja oferty z danymi kontaktowymi wymaga zgody właściciela; sam portal jest zwykle odrębnym administratorem wobec danych zbieranych na swojej platformie.
- Banki i doradcy kredytowi — przekazanie danych kupującego do banku wymaga zgody klienta lub jego bezpośredniego kontaktu; biuro nie może „handlować" leadami bez podstawy.
- Notariusz, rzeczoznawca — działają jako odrębni administratorzy w ramach własnych obowiązków ustawowych.
Za każdym razem zadaj pytanie: czy mam podstawę, czy poinformowałem osobę o odbiorcach (art. 13 ust. 1 lit. e RODO)?
6. Obowiązek informacyjny i klauzule
Każda osoba, której dane zbierasz, musi otrzymać klauzulę informacyjną z art. 13 RODO — kto jest administratorem, w jakim celu i na jakiej podstawie przetwarzasz dane, jak długo, komu je przekazujesz i jakie prawa przysługują. Dla danych pozyskanych pośrednio (np. z portalu) stosuje się art. 14.
Praktyka: przygotuj gotowe klauzule dla trzech scenariuszy — umowa pośrednictwa, formularz kontaktowy na stronie, prezentacja nieruchomości.
7. Bezpieczeństwo i CRM
Bazy klientów w biurze to łakomy kąsek. Zastosuj adekwatne środki z art. 32 RODO: kontrola dostępu do CRM, szyfrowanie laptopów, MFA do poczty, zakaz trzymania baz w prywatnych arkuszach agentów. Wyciek bazy klientów przez pocztę lub zgubiony laptop to klasyczny scenariusz naruszenia podlegającego zgłoszeniu do UODO.
Jeśli biuro ma cechy małej lub średniej firmy, zasada proporcjonalności pozwala na prostsze procedury — ale nie zwalnia z podstaw.
Osobnym problemem są agenci pracujący na własnych telefonach i skrzynkach. Baza kontaktów rozproszona po prywatnych urządzeniach to zarówno naruszenie zasady rozliczalności, jak i realne ryzyko wycieku przy zmianie pracy agenta. Ustal w umowie i w polityce, że dane klientów należą do biura, są przechowywane wyłącznie w firmowym CRM, a agent nie eksportuje ich do prywatnych narzędzi. To jeden z pierwszych punktów, które sprawdza UODO przy skardze byłego klienta.
8. Legiscope w praktyce biura
Utrzymanie rejestru czynności, klauzul i umów powierzenia dla wielu agentów i wielu deweloperów ręcznie w Excelu szybko staje się nieczytelne. Platforma taka jak Legiscope generuje i wersjonuje dokumentację RODO w jednym miejscu, z eksportem gotowym na kontrolę UODO — co skraca czas przygotowania do audytu z dni do godzin.
FAQ
Czy biuro nieruchomości może kserować dowód osobisty klienta?
Co do zasady nie. Kopiowanie dowodu jest dopuszczalne tylko tam, gdzie wymaga tego przepis szczególny (np. ustawa AML dla określonych transakcji). Przy zwykłej umowie pośrednictwa czy prezentacji mieszkania kopiowanie narusza zasadę minimalizacji z art. 5 ust. 1 lit. c RODO. Dane można spisać w niezbędnym zakresie, bez przechowywania kopii dokumentu.
Jak długo biuro może trzymać dane klientów?
Do momentu ustania celu i upływu terminów prawnych: dokumenty księgowe 5 lat, dane z umowy do przedawnienia roszczeń (zwykle 3-6 lat), leady bez transakcji krótko (6-12 miesięcy), zgody marketingowe do wycofania. Wszystkie okresy trzeba udokumentować w rejestrze czynności i w klauzuli informacyjnej.
Czy pośrednik jest administratorem czy procesorem danych?
Zwykle administratorem własnej bazy klientów i ogłoszeń. Procesorem staje się wtedy, gdy przetwarza dane wyłącznie na zlecenie i według instrukcji innego podmiotu (np. dewelopera) — wtedy konieczna jest umowa powierzenia z art. 28 RODO.
Czy mogę przekazać dane kupującego do banku lub doradcy kredytowego?
Tylko na podstawie zgody klienta lub jego bezpośredniej decyzji o kontakcie. Biuro nie może przekazywać ani „sprzedawać" leadów bankom bez podstawy prawnej i bez poinformowania osoby o odbiorcach danych (art. 13 ust. 1 lit. e RODO).
Czy muszę prowadzić rejestr czynności, skoro jestem małym biurem?
W praktyce tak. Zwolnienie z art. 30 ust. 5 RODO prawie nigdy nie działa, bo przetwarzasz dane pracowników i klientów regularnie, a nie sporadycznie. UODO wymaga rejestru przy każdej kontroli.
Podstawa prawna i źródła
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial