Una agència immobiliària gestiona dades personals en tres fronts simultanis: les del propietari que ven o lloga, les del comprador o llogater que mostra interès i les de la seva pròpia xarxa de proveïdors (portals, notaria, gestoria, bróker hipotecari, administrador de finques). En aquesta cadena es mouen noms, DNI, justificants d'ingressos, fotos de l'immoble, plànols, referències cadastrals i, amb freqüència, dades econòmiques sensibles. La protecció de dades en aquest sector no és una formalitat: és el que separa una agència professional d'un intermediari informal.
Aquesta guia resumeix la documentació mínima i les decisions operatives que una immobiliària hauria de tenir resoltes abans de captar el primer encàrrec, sota el marc del RGPD (Reglament UE 2016/679), la LOPDGDD (Llei Orgànica espanyola 3/2018), la LSSICE (Llei espanyola 34/2002) i la normativa estatal de prevenció de blanqueig de capitals en allò que afecta el sector.
Tres fluxos de dades, tres bases jurídiques diferents
El tret definitori del sector és que una agència immobiliària treballa amb tres relacions contractuals paral·leles, cadascuna amb la seva pròpia base jurídica i els seus propis terminis de conservació. Convé tenir-ho clar des del primer dia:
- Propietari venedor o arrendador: la base jurídica és l'execució del contracte de mediació o nota d'encàrrec (art. 6.1.b RGPD). Les dades que es tracten són les identificatives, les de contacte, les de titularitat de l'immoble (referència cadastral, escriptura, situació registral) i, en el lloguer, les dades bancàries per a la liquidació de rendes. La conservació es regeix per la durada de l'encàrrec més els terminis comptables i fiscals.
- Comprador o llogater: la base jurídica és l'execució del contracte o de mesures precontractuals sol·licitades per l'interessat (art. 6.1.b RGPD): visita a l'immoble, full de visita signat, oferta, reserva, contracte d'arres, contracte d'arrendament. La conservació va vinculada a l'operació: si es tanca, fins al compliment de les obligacions comptables i de blanqueig; si cau, fins que prescriguin les accions civils associades o es descarti qualsevol reclamació.
- Proveïdors (portals immobiliaris, bróker hipotecari, gestoria, notaria, administrador de finques, empresa de mudances, fotògraf professional): la base jurídica és l'execució del contracte comercial amb el proveïdor (art. 6.1.b RGPD). Quan el proveïdor processa dades personals per compte de la immobiliària —per exemple, un portal que mostra l'anunci o un bróker que gestiona finançament— cal un contracte d'encarregat del tractament (art. 28 RGPD) que reguli la relació.
Aquesta triple base obliga a estructurar la documentació interna en blocs diferenciats i, sobretot, a no barrejar finalitats: les dades recollides per gestionar una visita a un pis no són automàticament reutilitzables per enviar al client futures oportunitats comercials.
Documentació mínima de l'agència
Aquests són els documents que qualsevol immobiliària hauria de tenir disponibles abans de la primera operació. Alguns són obligatoris per norma; altres són bones pràctiques que eviten problemes si arriba una reclamació d'un client, una inspecció de l'AEPD (Agència Espanyola de Protecció de Dades) o una auditoria d'un grup immobiliari.
| Document | Per a què serveix | Obligatori |
|---|---|---|
| Registre d'Activitats (RAT) | Inventari de tractaments: captació de propietaris, visites de compradors, gestió de lloguers, màrqueting, gestió de portals. | Sí (art. 30 RGPD) |
| Clàusules informatives | Una per a venedor/arrendador, una altra per a comprador/llogater, una altra per a visitants web. Lliurar abans de recollir dades. | Sí (arts. 13–14 RGPD) |
| Full de visita conforme | Document que signa el visitant: identifica el client, deixa constància de la visita i lliura la clàusula informativa. | Bona pràctica |
| Nota d'encàrrec / mandat | Contracte escrit amb el propietari que delimita l'encàrrec, l'exclusivitat i les cessions a portals i altres agents. | Sí (mercantil) |
| Contractes art. 28 RGPD | Amb portals immobiliaris, programari CRM, bróker hipotecari, fotògraf o vídeo professional quan escaigui. | Sí (art. 28 RGPD) |
| Política de seguretat | Contrasenyes individuals del CRM, accessos per rol, còpia de seguretat, bloqueig de pantalla, gestió de baixes de personal. | Sí (art. 32 RGPD) |
| Clàusules web i galetes | Avís legal LSSICE, política de privacitat, política de galetes amb consentiment previ vàlid per a totes les que no siguin estrictament necessàries. | Sí (LSSICE + RGPD) |
| Protocol de bretxes | Procediment per detectar, registrar i notificar a l'AEPD una bretxa de dades en menys de 72 hores (arts. 33–34 RGPD). | Sí (art. 33 RGPD) |
| Documentació PBC/FT | Per a les operacions immobiliàries incloses en la Llei 10/2010 espanyola: identificació reforçada, examen especial, manual intern i conservació deu anys. | Sí (Llei 10/2010) |
Full de visita: el que hauria de contenir
El full de visita és un dels documents més infrautilitzats del sector i, malgrat tot, un dels més útils des del punt de vista de protecció de dades. Compleix tres funcions: identifica el visitant, deixa constància que la visita es va produir i serveix per lliurar la clàusula informativa abans de recollir dades.
Un contingut raonable de full de visita inclou:
- Identificació bàsica del visitant: nom, DNI o document equivalent, telèfon i correu electrònic. No cal fotocopiar el document d'identitat: amb anotar el número i comprovar-lo visualment n'hi ha prou per acreditar la visita.
- Identificació de l'immoble visitat, data, hora i comercial que acompanya la visita.
- Clàusula informativa compacta al revers o en un segon full: identitat de la immobiliària, finalitat del tractament (gestionar la visita i l'eventual operació), base jurídica (mesures precontractuals sol·licitades pel visitant), destinataris previstos (notaria, banc, gestoria, propietari), termini de conservació, drets de l'interessat i via per exercir-los.
- Caselles separades i desmarcades per defecte per a finalitats addicionals i opcionals: "Consenteixo que les meves dades es conservin per a futures oportunitats immobiliàries", "Accepto rebre comunicacions comercials per correu electrònic". Aquestes caselles no poden anar agrupades amb la signatura principal ni donar-se per acceptades.
- Signatura del visitant i del comercial, amb la indicació que s'ha lliurat còpia de la informació.
El full de visita en paper es digitalitza en tornar al despatx, s'incorpora a l'expedient del client al CRM i, si l'operació no arriba a bon port, es conserva el temps raonable per descartar reclamacions per intrusisme, comissió doble o disputes amb una altra agència.
Documents d'identitat: ni fotocòpies rutinàries ni arxius massius
El sector immobiliari té una temptació recurrent: demanar i arxivar la fotocòpia del DNI des del full de visita "per si de cas". És una pràctica desproporcionada i, en la majoria dels casos, contrària al principi de minimització de l'art. 5.1.c RGPD.
La regla pràctica és senzilla:
- En la captació i la visita: n'hi ha prou amb anotar el nom i el número del document d'identitat. No cal còpia ni escaneig.
- En la reserva i el contracte: esdevé necessari disposar de còpia del document per al contracte d'arres, el contracte d'arrendament o la signatura davant de notari. Aquesta còpia es demana en aquell moment i es conserva a l'expedient concret, no en una carpeta comuna de "DNIs de clients".
- En operacions sota PBC/FT (Llei 10/2010 espanyola): els subjectes obligats han d'aplicar mesures d'identificació reforçada i conservar còpia durant deu anys. Aquí sí que està justificat l'arxiu documental, però només per a les operacions que entrin en l'àmbit de la llei.
Màrqueting comercial: on acaba el contracte i on comença el consentiment
Tancada una operació, la immobiliària sol voler mantenir el client a la seva base comercial per enviar-li noves oportunitats, valoracions del mercat o avisos d'immobles similars. Aquest tractament ja no està cobert per la base jurídica del contracte tancat: canvia la finalitat i, per tant, canvia la base jurídica.
Les dues vies raonables són:
- Consentiment exprés recollit al seu dia amb una casella específica i desmarcada per defecte. És l'opció més neta i la que millor suporta una eventual reclamació.
- Interès legítim de l'art. 6.1.f RGPD per enviar comunicacions sobre productes o serveis similars als ja contractats, sempre que s'hagi informat d'aquesta possibilitat i s'ofereixi un mecanisme clar i gratuït d'oposició en cada enviament (la coneguda casella per "donar-se de baixa"). Aquesta via requereix una anàlisi prèvia de ponderació de l'interès legítim i queda limitada al client existent, no a qui només va visitar un immoble fa anys sense tancar res.
En qualsevol de les dues vies, l'enviament comercial per correu electrònic o SMS també ha de complir l'art. 21 LSSICE: consentiment previ o relació contractual prèvia amb productes similars, identificació clara del remitent i mecanisme accessible de baixa en cada comunicació.
"Una immobiliària que no signa res amb el client que entra a visitar un pis està deixant dues portes obertes: la primera, una reclamació de protecció de dades per no haver informat; la segona, una discussió amb una altra agència sobre qui va captar realment el comprador. El full de visita resol totes dues."
Mario P. Talamillo · Soci director, Certix®
Abans de captar el primer encàrrec: checklist mínim
- RAT redactat amb els tractaments del sector: captació, visites, lloguers, màrqueting, gestió de portals, gestió de personal.
- Clàusules informatives separades per a propietari, comprador o llogater i visitant web, llestes per lliurar abans del primer contacte.
- Full de visita amb bloc de clàusula informativa al revers i caselles independents per a usos comercials futurs.
- Contractes de l'art. 28 RGPD signats amb els portals immobiliaris amb què s'opera, amb el proveïdor del CRM i amb qualsevol bróker hipotecari habitual.
- Política interna de seguretat: contrasenyes individuals del CRM, accessos per rol, còpia de seguretat, bloqueig automàtic de pantalla, registre d'altes i baixes de personal amb accés a expedients.
- Política de galetes a la web operativa amb consentiment previ vàlid i bloqueig de galetes no essencials fins que el visitant accepti.
- Protocol de bretxes i registre intern, amb identificació de la persona responsable de notificar a l'AEPD si fos necessari.
- Anàlisi específica d'obligacions PBC/FT per a les operacions que caiguin dins de la Llei 10/2010 espanyola i implantació dels processos associats.
Preguntes freqüents
Necessita una immobiliària el consentiment del comprador o del llogater per tractar-ne les dades?
Per a la gestió ordinària d'una compravenda o lloguer no cal el consentiment: la base jurídica és l'execució del contracte o de mesures precontractuals sol·licitades per l'interessat (art. 6.1.b RGPD). El que sí és obligatori és lliurar la clàusula informativa de l'art. 13 RGPD al primer contacte. El consentiment exprés només apareix per a tractaments addicionals com màrqueting comercial o cessions a brókers hipotecaris.
És lícit que la immobiliària conservi les dades del client després que l'operació es tanqui o caigui?
És lícit mentre existeixin obligacions legals o riscos jurídics vius. Com a referència, la documentació mercantil s'ha de conservar sis anys (art. 30 Codi de Comerç), les obligacions tributàries prescriuen als quatre anys i les accions civils als cinc. A més, les operacions subjectes a la Llei 10/2010 espanyola de prevenció del blanqueig de capitals obliguen a conservar la documentació d'identificació durant deu anys.
Pot la immobiliària lliurar el DNI del comprador al notari o al banc sense permís explícit?
Sí. La comunicació a notari, entitat financera, gestoria o administrador de finques no requereix consentiment addicional: és una cessió necessària per a l'execució del contracte (art. 6.1.b RGPD). La immobiliària ha d'informar d'aquestes cessions previstes en la clàusula informativa (art. 13.1.e RGPD) i limitar la informació a l'estrictament necessària per a cada destinatari.
És obligatori designar un Delegat de Protecció de Dades (DPD) en una immobiliària?
Per regla general no. Una agència immobiliària estàndard no encaixa en els supòsits de l'art. 37 RGPD ni de l'art. 34 LOPDGDD que imposen DPD obligatori. L'excepció són grups immobiliaris de gran dimensió la activitat dels quals pugui equiparar-se a observació habitual i sistemàtica a gran escala. Tot i que aquesta és la regla general del sector, l'exigència final dependrà de l'escala, volum i tipologia exacta dels tractaments de cada entitat. Cada cas requereix una anàlisi individualitzada.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.
Necessites ordenar la protecció de dades de la teva immobiliària?
A Certix t'assignem un expert en compliment del sector immobiliari. Sense intermediaris comercials, sense plantilles genèriques.
Parlar amb un expert