RODO w biurze nieruchomości obejmuje cały obieg informacji: od pierwszego telefonu, przez prezentację lokalu i sprawdzenie dokumentów, po rozliczenie prowizji oraz zamknięcie sprawy. Najważniejsze decyzje dotyczą tego, czyje dane są rzeczywiście potrzebne na danym etapie, komu można je udostępnić i kiedy należy je usunąć. Podpis klienta pod ogólną zgodą nie zastępuje tych ustaleń.
Pośrednik powinien oddzielić obsługę umowy, reklamę, rozliczenia, przeciwdziałanie praniu pieniędzy oraz dochodzenie roszczeń. Każdy z tych celów może obejmować inny zakres danych i inny czas przechowywania. Poniższy przewodnik pokazuje, jak ułożyć te decyzje w polskim biurze, z uwzględnieniem przepisów sprawdzonych 28 września 2026 r.
Administrator, agent i dostawca systemu
Biuro, które samodzielnie organizuje obsługę klientów, wybiera sposób promocji ofert i określa zasady prowadzenia dokumentacji, zwykle działa jako administrator. Dotyczy to także niewielkiej działalności prowadzonej przez jednego pośrednika. Wielkość firmy nie rozstrzyga roli, a zapis w umowie z partnerem nie może zmienić rzeczywistego podziału decyzji.
Agent zatrudniony w biurze korzysta z danych w granicach upoważnienia i przydzielonych obowiązków. Samodzielny przedsiębiorca współpracujący z biurem wymaga osobnej oceny: może realizować przetwarzanie na jego rzecz albo prowadzić własną obsługę jako odrębny administrator. Trzeba ustalić, kto zawiera umowę z klientem, ustala cele kontaktu, wybiera odbiorców i odpowiada na żądania dotyczące danych.
Podobnie umowa z deweloperem nie oznacza automatycznie powierzenia. Jeżeli biuro wyłącznie obsługuje określoną bazę według udokumentowanych instrukcji, relacja może odpowiadać powierzeniu. Jeżeli buduje własną bazę klientów i samodzielnie wykorzystuje kontakty, ocena będzie inna. Wspólne ustalanie celów i zasad określonego procesu może wymagać uzgodnienia współadministrowania; samo przekazanie kontaktu nie wystarcza.
Dostawca CRM, który przechowuje dane wyłącznie na zlecenie biura, zazwyczaj potrzebuje uregulowania zgodnego z art. 28 RODO: umowy albo innego wiążącego aktu prawa Unii lub państwa członkowskiego, w formie pisemnej, także elektronicznej. Praktyczny wzór umowy powierzenia pomaga sprawdzić instrukcje, bezpieczeństwo, podwykonawców, pomoc przy realizacji praw oraz zwrot i usunięcie danych. Portal, bank i notariusz mogą natomiast przetwarzać otrzymane informacje we własnych celach.
Podstawa prawna zależy od konkretnej czynności
Art. 6 ust. 1 lit. b RODO dotyczy przetwarzania niezbędnego do wykonania umowy, której stroną jest osoba, której dane dotyczą, albo działań podejmowanych na jej żądanie przed zawarciem umowy. Pozwala to obsłużyć rzeczywiste zlecenie osoby fizycznej, ale nie usprawiedliwia zbierania dowolnych informacji przy okazji wizyty. Należy sprawdzić, czy bez danej informacji można zrealizować uzgodnioną usługę.
Telefon potrzebny do potwierdzenia prezentacji nie oznacza, że potrzebny jest również PESEL, pełny skan dowodu i informacja o sytuacji rodzinnej. Jeżeli umowę zawiera spółka, jej pracownik nie staje się przez to stroną umowy osobiście. Przetwarzanie jego danych służbowych często wymaga oceny prawnie uzasadnionego interesu, z uwzględnieniem niezbędności i praw tej osoby.
Obowiązek prawny może uzasadniać określone dane na fakturze lub dokumentację AML, jeśli konkretny obowiązek rzeczywiście dotyczy biura i danego procesu. Interes związany z obroną przed roszczeniami wymaga natomiast ustalenia, jakie dowody są potrzebne. W omówieniu podstaw prawnych z art. 6 warto sprawdzić różnice między obowiązkiem ustawowym, koniecznością umowną i interesem administratora przed przypisaniem podstawy całej bazie.
Zgoda pozostaje użyteczna dla dobrowolnych, odrębnych działań, ale nie powinna warunkować obsługi, jeśli nie jest do niej potrzebna. Wycofanie zgody marketingowej nie usuwa obowiązku przechowywania wymaganej dokumentacji rozliczeniowej. Biuro powinno umieć wskazać klientowi, które przetwarzanie kończy, a które trwa na innej, wcześniej ustalonej podstawie.
AML: kiedy pośrednik sprawdza tożsamość
Ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, w art. 2 ust. 1 pkt 18, zalicza pośredników w obrocie nieruchomościami do instytucji obowiązanych. Wyłącza jednak czynności zmierzające do zawarcia umowy najmu lub dzierżawy nieruchomości albo ich części, gdy miesięczny czynsz jest niższy niż równowartość 10 000 euro. Próg dotyczy miesięcznego czynszu w tym wyłączeniu, a nie wartości każdej sprzedaży nieruchomości.
Biuro powinno więc najpierw zakwalifikować usługę, a potem zastosować właściwe środki bezpieczeństwa finansowego. Art. 34 obejmuje identyfikację klienta, weryfikację tożsamości, identyfikację beneficjenta rzeczywistego i odpowiednie monitorowanie stosunków gospodarczych. W przypadku reprezentanta trzeba także zweryfikować jego umocowanie. Zakres czynności powinien wynikać z ustawy i rozpoznanego ryzyka, a nie z przyzwyczajenia do kopiowania wszystkiego.
Art. 34 ust. 4 pozwala instytucjom obowiązanym sporządzać kopie dokumentów tożsamości na potrzeby stosowania tych środków. To uprawnienie nie oznacza obowiązku wykonania pełnego skanu w każdej sprawie. UODO w wyjaśnieniu dotyczącym kopiowania dowodów podkreśla konieczność oceny potrzeby takiej praktyki. Nie należy też przenosić uprawnienia AML na dowolnego zainteresowanego, który tylko pyta o termin prezentacji.
Praktycznie warto oddzielić formularz kontaktowy od dokumentacji identyfikacyjnej. Pierwszy służy organizacji rozmowy; druga jest dostępna osobom prowadzącym właściwe czynności AML. Do akt trafia informacja pozwalająca wykazać wykonanie obowiązku, a dostęp do kopii dokumentów powinien być szczególnie ograniczony. Wysłanie skanu całemu zespołowi sprzedaży zwykle nie wynika z potrzeby identyfikacji klienta.
Informacja dla właściciela, kupującego i najemcy
Gdy biuro zbiera dane bezpośrednio od osoby, przekazuje informacje z art. 13 RODO przy ich pozyskaniu. Formularz internetowy może zawierać krótką warstwę podstawową i wyraźne odesłanie do pełnej informacji. Przy rozmowie telefonicznej trzeba dobrać sposób, który rzeczywiście umożliwi zapoznanie się z informacją; sam fakt posiadania strony internetowej nie oznacza, że rozmówca ją znalazł.
Gdy dane pochodzą od innej osoby lub organizacji, należy ocenić art. 14. Co do zasady informacja jest przekazywana w rozsądnym terminie, najpóźniej w ciągu miesiąca, a przy wcześniejszym kontakcie najpóźniej podczas pierwszej komunikacji; przy przewidywanym ujawnieniu innemu odbiorcy najpóźniej przy pierwszym ujawnieniu. Wyjątki z art. 14 ust. 5 wymagają wykazania konkretnych przesłanek. Publiczne ogłoszenie właściciela nie jest samo w sobie zwolnieniem.
Informacja powinna wskazywać rzeczywiste cele, podstawy, odbiorców, okresy lub kryteria przechowywania i prawa. Nie należy wpisywać wszystkich możliwych banków jako potencjalnych odbiorców, jeżeli biuro nie przewiduje takiego przekazywania. Klauzula informacyjna RODO jest punktem wyjścia do opisania własnego procesu, a nie dowodem, że proces jest zgodny z prawem.
Zdjęcia mieszkań i publikacja na portalach
Umowa z właścicielem może przewidywać reklamowanie oferty, ale trzeba osobno ocenić niezbędność konkretnych danych i zakres publikacji. Nie każda publikacja wymaga zgody jako podstawy RODO; nie każdą da się też uzasadnić umową. Właściciel nie może przez własną zgodę rozstrzygnąć wszystkich praw najemcy, domownika lub osoby widocznej na fotografii.
Przed publikacją agent powinien obejrzeć zdjęcia w powiększeniu. Dyplomy, listy, dokumenty na stole, fotografie rodzinne oraz tabliczki z nazwiskami mogą ujawniać informacje zbędne dla prezentacji lokalu. Ujęcia pokazujące zabezpieczenia, klucze lub szczegóły codziennych nawyków mogą dodatkowo zwiększać ryzyko dla mieszkańców. Rozwiązaniem bywa przygotowanie pomieszczenia, zmiana kadru albo usunięcie zbędnych elementów.
Trzeba także ustalić, co portal robi z przesłanymi materiałami: czy tylko publikuje ofertę, jak obsługuje zapytania i czy prowadzi własne działania marketingowe. Zakończenie zlecenia powinno uruchamiać wycofanie ogłoszeń z kontrolowanych kanałów. Warto zachować identyfikatory publikacji, aby usunięcie nie ograniczyło się do strony biura, podczas gdy kopie pozostają aktywne w kilku serwisach.
Polecenie banku i marketing po zakończeniu sprawy
Przekazanie danych doradcy kredytowemu powinno odpowiadać jasno ustalonemu celowi. Jeśli klient prosi o kontakt z konkretnym doradcą, biuro dokumentuje tę prośbę, zakres przekazanych danych i właściwą podstawę. Sprzedaż kontaktów wielu partnerom to inna operacja, której nie można ukryć pod ogólnym sformułowaniem o współpracy przy transakcji. Podobne rozdzielenie ról opisuje przewodnik o RODO w ubezpieczeniach.
Dla marketingu trzeba rozróżnić podstawę przetwarzania danych od zgody wymaganej dla kanału komunikacji. Art. 398 Prawa komunikacji elektronicznej wymaga uprzedniej zgody na używanie wskazanych w nim systemów i urządzeń do przesyłania informacji handlowej, w tym marketingu bezpośredniego. Samo powołanie się na prawnie uzasadniony interes w RODO nie usuwa tego wymogu.
Zgoda powinna dać się powiązać z osobą, zakresem komunikacji i treścią przedstawioną przy jej udzielaniu. Zapytanie o jedno mieszkanie nie powinno automatycznie zamieniać się w bezterminową subskrypcję wszystkich ofert. Sprzeciw wobec przetwarzania do marketingu bezpośredniego kończy takie przetwarzanie; niewielki rejestr blokad może być potrzebny, aby nie zaimportować ponownie osoby do kampanii, ale wymaga własnego uzasadnienia i ograniczonego zakresu.
Retencja: kilka zegarów zamiast jednej liczby
Nie istnieje jeden ustawowy okres przechowywania wszystkich danych biura. Zainteresowanie ofertą bez dalszego kontaktu, wykonana umowa, dokumentacja AML i dowód księgowy mają różne funkcje. Ustalenie sześciu lub dwunastu miesięcy dla nieaktywnych zapytań może być decyzją organizacyjną uzasadnioną cyklem obsługi, ale nie należy przedstawiać takiego okresu jako wymogu RODO.
Art. 49 ustawy AML przewiduje pięć lat dla wskazanych dokumentów i informacji, licząc od dnia zakończenia stosunków gospodarczych z klientem albo przeprowadzenia transakcji okazjonalnej. Wyniki analiz mają odrębny początek: dzień ich przeprowadzenia. Nie należy zamieniać tych terminów na pięć lat od końca roku. Przewidziane w ust. 3 żądanie dalszego przechowywania przez Generalnego Inspektora jest wyłączone między innymi dla kategorii pośredników z art. 2 ust. 1 pkt 18 przez ust. 4.
Dla ksiąg i wielu dowodów księgowych art. 74 ustawy o rachunkowości przewiduje okresy pięcioletnie, zasadniczo liczone od początku roku następującego po roku obrotowym, którego dotyczą zbiory, z odrębnymi regułami dla określonych dokumentów. Tymczasem ogólna reguła przedawnienia podatku w art. 70 § 1 Ordynacji podatkowej liczy pięć lat od końca roku, w którym upłynął termin płatności. Te punkty początkowe mogą prowadzić do różnych dat; trzeba uwzględnić właściwe wyjątki i zdarzenia wpływające na bieg przedawnienia.
Roszczenia również wymagają kwalifikacji. Art. 118 Kodeksu cywilnego przewiduje ogólnie sześć lat, a dla świadczeń okresowych i roszczeń związanych z działalnością gospodarczą trzy lata, z zasadą końca roku i wyjątkiem dla terminów krótszych niż dwa lata. Przepisy szczególne, wymagalność, zawieszenie i przerwanie biegu mogą zmienić wynik. Możliwość sporu uzasadnia zachowanie potrzebnych dowodów, nie całej historii każdego kontaktu bezterminowo.
Bezpieczeństwo w pracy terenowej
Agent pracuje poza biurem, otwiera dokumenty przy klientach i korzysta z telefonu w drodze. Ochrona powinna obejmować blokadę ekranu, aktualizacje, szyfrowanie urządzeń, silne uwierzytelnianie i możliwość szybkiego odebrania dostępu. Praktyczne środki trzeba dobrać do ryzyka zgodnie z art. 32 RODO, a następnie sprawdzić, czy działają na rzeczywiście używanym sprzęcie.
Prywatna skrzynka agenta nie powinna stawać się równoległym archiwum dokumentów. Biuro potrzebuje zatwierdzonych kanałów, zasad przechowywania lokalnych kopii i procedury zakończenia współpracy. Nie chodzi o twierdzenie, że dane osobowe są własnością biura, lecz o kontrolę uprawnionego dostępu i możliwość wykonania obowiązków administratora.
Przy wysyłce dokumentów należy sprawdzić adresata i zawartość załącznika. Zmiana numeru rachunku przekazana wyłącznie e-mailem wymaga dodatkowej ostrożności, ponieważ przejęte konto może posłużyć do oszustwa. Kopie zapasowe pomagają przy awarii, ale odtwarzanie trzeba sprawdzać, a dostęp administracyjny ograniczyć. Ochrona poufności nie może przesłonić dostępności danych potrzebnych do obsługi transakcji.
Naruszenie i żądanie klienta
Zagubiony laptop, błędny załącznik lub dostęp byłego agenta wymagają szybkiego ustalenia faktów. Nie każde zdarzenie techniczne jest naruszeniem danych, a nie każde naruszenie podlega zgłoszeniu. Zgodnie z art. 33 RODO administrator zgłasza je bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, aby powodowało ryzyko dla praw i wolności osób. Późniejsze zgłoszenie wymaga wyjaśnienia opóźnienia.
Każde naruszenie danych wymaga udokumentowania; wysokie ryzyko uruchamia osobną ocenę zawiadomienia osób zgodnie z art. 34. Procedura naruszenia ochrony danych powinna wskazywać zastępstwa, źródła logów i osobę podejmującą decyzję. Nie należy czekać na pełny raport informatyka, jeśli dostępne informacje już uzasadniają zgłoszenie; brakujące informacje można przekazywać etapami zgodnie z RODO.
Żądanie dostępu lub usunięcia danych trzeba rozpoznać także wtedy, gdy klient nie poda numeru artykułu. Odpowiedź następuje bez zbędnej zwłoki, zasadniczo w ciągu miesiąca od otrzymania. Dopuszczalne przedłużenie o dwa kolejne miesiące wymaga uwzględnienia złożoności i liczby żądań oraz poinformowania o nim i przyczynach w pierwszym miesiącu. Odmowę działania należy wyjaśnić najpóźniej w ciągu miesiąca, wraz z informacją o skardze i środku ochrony sądowej.
Przykład: jedna osoba w kilku procesach
Załóżmy, że klient najpierw pyta o mieszkanie, następnie zleca pośrednictwo, a po transakcji zgłasza reklamację prowizji. Na pierwszym etapie biuro potrzebuje danych do udzielenia odpowiedzi i uzgodnienia kontaktu. Podpisanie umowy może uzasadnić dodatkowe informacje potrzebne do jej wykonania, a stosowanie obowiązków AML wymaga osobnej kwalifikacji. Nie oznacza to, że komplet dokumentacji należy skopiować do każdej części systemu.
Po zamknięciu transakcji agent nie musi zachowywać na prywatnym telefonie tych samych załączników, które są prawidłowo przechowywane w kontrolowanym archiwum. Reklamacja uzasadnia wyodrębnienie potrzebnych dowodów, na przykład treści umowy, uzgodnień i rozliczenia. Nie wymaga automatycznie zachowania wszystkich zdjęć dokumentów domowników ani całej historii przeglądanych ofert. Osoba rozpatrująca reklamację powinna otrzymać zakres odpowiadający jej zadaniu.
Jeżeli klient jednocześnie żąda zakończenia reklamy, biuro powinno zatrzymać marketing bez czekania na rozstrzygnięcie sporu o prowizję. W odpowiedzi można jasno oddzielić zakończone wykorzystanie reklamowe od uzasadnionej dokumentacji roszczenia i ustawowej retencji. Taka organizacja pozwala wykonać prawo klienta bez niszczenia dokumentów, które nadal trzeba zachować, i bez traktowania sporu jako pretekstu do utrzymania wszystkich dawnych zastosowań danych.
Dokumentacja, która odpowiada rzeczywistej pracy
Rejestr czynności przetwarzania może połączyć obsługę zleceń, publikacje, marketing, AML, księgowość i sprawy pracownicze z konkretnymi systemami i terminami. Wyłączenie z art. 30 ust. 5 dla podmiotów poniżej 250 osób nie jest ogólnym zwolnieniem małej firmy. Nie obejmuje przetwarzania nieokazjonalnego, mogącego powodować ryzyko dla praw i wolności ani obejmującego dane z art. 9 lub 10. Stała obsługa klientów jest czynnością nieokazjonalną.
W małym biurze warto sprawdzić kilka zakończonych spraw od początku do końca: skąd pochodziły dane, kto otrzymał dokumenty, czy ogłoszenia wycofano i czy upłynął termin usunięcia kopii. To zalecenie organizacyjne, a nie ustawowa częstotliwość audytu. Przewodnik o RODO w małych i średnich przedsiębiorstwach pomaga dobrać skalę dokumentacji bez pomijania obowiązków dotyczących konkretnej działalności.
Pytania pośredników
Czy każde oglądanie mieszkania wymaga skanu dowodu?
Nie. Należy ustalić cel i rzeczywistą potrzebę danych oraz to, czy w danej sytuacji mają zastosowanie obowiązki AML. Ustawowe uprawnienie do kopiowania na potrzeby środków bezpieczeństwa finansowego nie oznacza powszechnego obowiązku kopiowania dokumentów wszystkich odwiedzających.
Czy usunięcie konta w CRM zamyka sprawę?
Nie zawsze. Dane mogą pozostawać w poczcie, portalach, folderach agentów i u dostawców. Biuro powinno prześledzić te miejsca, oddzielić dokumenty wymagające dalszego przechowywania oraz wykonać usunięcie tam, gdzie podstawa i cel już ustały.
Czy jedna zgoda pozwala prowadzić obsługę i reklamę?
Nie należy łączyć obowiązkowej obsługi z dobrowolną reklamą w sposób odbierający wybór. Trzeba oddzielić podstawy RODO, wymogi zgody na kanał komunikacji, sprzeciw marketingowy i obowiązki przechowywania dokumentacji. Klient powinien rozumieć skutki każdej decyzji.