Una agencia inmobiliaria gestiona datos personales en tres frentes simultáneos: los del propietario que vende o alquila, los del comprador o inquilino que muestra interés y los de su propia red de proveedores (portales, notaría, gestoría, broker hipotecario, administrador de fincas). En esa cadena se mueven nombres, DNI, justificantes de ingresos, fotos del inmueble, plantas, referencias catastrales y, con frecuencia, datos económicos sensibles. La protección de datos en este sector no es una formalidad: es lo que separa una agencia profesional de un intermediario informal.
Esta guía resume la documentación mínima y las decisiones operativas que una inmobiliaria debería tener resueltas antes de captar el primer encargo, bajo el marco del RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018), la LSSICE (Ley 34/2002) y la normativa estatal de prevención de blanqueo de capitales en lo que afecta al sector.
Tres flujos de datos, tres bases jurídicas distintas
El rasgo definitorio del sector es que una agencia inmobiliaria trabaja con tres relaciones contractuales paralelas, cada una con su propia base jurídica y sus propios plazos de conservación. Conviene tenerlo claro desde el primer día:
- Propietario vendedor o arrendador: la base jurídica es la ejecución del contrato de mediación o nota de encargo (art. 6.1.b RGPD). Los datos que se tratan son los identificativos, los de contacto, los de titularidad del inmueble (referencia catastral, escritura, situación registral) y, en el alquiler, los datos bancarios para la liquidación de rentas. La conservación se rige por la duración del encargo más los plazos contables y fiscales.
- Comprador o inquilino: la base jurídica es la ejecución del contrato o de medidas precontractuales solicitadas por el interesado (art. 6.1.b RGPD): visita al inmueble, hoja de visita firmada, oferta, reserva, contrato de arras, contrato de arrendamiento. La conservación va vinculada a la operación: si se cierra, hasta el cumplimiento de las obligaciones contables y de blanqueo; si se cae, hasta que prescriban las acciones civiles asociadas o se descarte cualquier reclamación.
- Proveedores (portales inmobiliarios, broker hipotecario, gestoría, notaría, administrador de fincas, empresa de mudanzas, fotógrafo profesional): la base jurídica es la ejecución del contrato comercial con el proveedor (art. 6.1.b RGPD). Cuando el proveedor procesa datos personales por cuenta de la inmobiliaria —por ejemplo, un portal que muestra el anuncio o un broker que gestiona financiación— hace falta un contrato de encargado del tratamiento (art. 28 RGPD) que regule la relación.
Esta triple base obliga a estructurar la documentación interna en bloques diferenciados y, sobre todo, a no mezclar finalidades: los datos recogidos para gestionar una visita a un piso no son automáticamente reutilizables para enviar al cliente futuras oportunidades comerciales.
Documentación mínima de la agencia
Estos son los documentos que cualquier inmobiliaria debería tener disponibles antes de la primera operación. Algunos son obligatorios por norma; otros son buenas prácticas que evitan problemas si llega una reclamación de un cliente, una inspección de la AEPD o una auditoría de un grupo inmobiliario.
| Documento | Para qué sirve | Obligatorio |
|---|---|---|
| Registro de Actividades (RAT) | Inventario de tratamientos: captación de propietarios, visitas de compradores, gestión de alquileres, marketing, gestión de portales. | Sí (art. 30 RGPD) |
| Cláusulas informativas | Una para vendedor/arrendador, otra para comprador/inquilino, otra para visitantes web. Entregar antes de recoger datos. | Sí (arts. 13–14 RGPD) |
| Hoja de visita conforme | Documento que firma el visitante: identifica al cliente, deja constancia de la visita y entrega la cláusula informativa. | Buena práctica |
| Nota de encargo / mandato | Contrato escrito con el propietario que delimita el encargo, la exclusividad y las cesiones a portales y otros agentes. | Sí (mercantil) |
| Contratos art. 28 RGPD | Con portales inmobiliarios, software CRM, broker hipotecario, fotógrafo o vídeo profesional cuando proceda. | Sí (art. 28 RGPD) |
| Política de seguridad | Contraseñas individuales del CRM, accesos por rol, copia de seguridad, bloqueo de pantalla, gestión de bajas de personal. | Sí (art. 32 RGPD) |
| Cláusulas web y cookies | Aviso legal LSSICE, política de privacidad, política de cookies con consentimiento previo válido para todas las que no sean estrictamente necesarias. | Sí (LSSICE + RGPD) |
| Protocolo de brechas | Procedimiento para detectar, registrar y notificar a la AEPD una brecha de datos en menos de 72 horas (arts. 33–34 RGPD). | Sí (art. 33 RGPD) |
| Documentación PBC/FT | Para las operaciones inmobiliarias incluidas en la Ley 10/2010: identificación reforzada, examen especial, manual interno y conservación diez años. | Sí (Ley 10/2010) |
Hoja de visita: lo que debería contener
La hoja de visita es uno de los documentos más infrautilizados del sector y, sin embargo, uno de los más útiles desde el punto de vista de protección de datos. Cumple tres funciones: identifica al visitante, deja constancia de que la visita ocurrió y sirve para entregar la cláusula informativa antes de recoger datos.
Un contenido razonable de hoja de visita incluye:
- Identificación básica del visitante: nombre, DNI o documento equivalente, teléfono y correo electrónico. No es necesario fotocopiar el documento de identidad: con anotar el número y comprobarlo visualmente es suficiente para acreditar la visita.
- Identificación del inmueble visitado, fecha, hora y comercial que acompaña la visita.
- Cláusula informativa compacta en el reverso o en una segunda hoja: identidad de la inmobiliaria, finalidad del tratamiento (gestionar la visita y la eventual operación), base jurídica (medidas precontractuales solicitadas por el visitante), destinatarios previstos (notaría, banco, gestoría, propietario), plazo de conservación, derechos del interesado y vía para ejercerlos.
- Casillas separadas y desmarcadas por defecto para finalidades adicionales y opcionales: "Consiento que mis datos se conserven para futuras oportunidades inmobiliarias", "Acepto recibir comunicaciones comerciales por correo electrónico". Estas casillas no pueden ir agrupadas con la firma principal ni darse por aceptadas.
- Firma del visitante y del comercial, con la indicación de que se ha entregado copia de la información.
La hoja de visita en papel se digitaliza al volver al despacho, se incorpora al expediente del cliente en el CRM y, si la operación no llega a buen puerto, se conserva el tiempo razonable para descartar reclamaciones por intrusismo, comisión doble o disputas con otra agencia.
Documentos de identidad: ni fotocopias rutinarias ni archivos masivos
El sector inmobiliario tiene una tentación recurrente: pedir y archivar la fotocopia del DNI desde la hoja de visita "por si acaso". Es una práctica desproporcionada y, en la mayoría de los casos, contraria al principio de minimización del art. 5.1.c RGPD.
La regla práctica es sencilla:
- En la captación y la visita: basta con anotar el nombre y el número del documento de identidad. No hace falta copia ni escaneo.
- En la reserva y el contrato: se vuelve necesario disponer de copia del documento para el contrato de arras, el contrato de arrendamiento o la firma ante notario. Esa copia se solicita en ese momento y se conserva en el expediente concreto, no en una carpeta común de "DNIs de clientes".
- En operaciones bajo PBC/FT (Ley 10/2010): los sujetos obligados deben aplicar medidas de identificación reforzada y conservar copia durante diez años. Aquí sí está justificado el archivo documental, pero solo para las operaciones que entren en el ámbito de la ley.
Marketing comercial: dónde acaba el contrato y dónde empieza el consentimiento
Cerrada una operación, la inmobiliaria suele querer mantener al cliente en su base comercial para enviarle nuevas oportunidades, valoraciones del mercado o avisos de inmuebles similares. Ese tratamiento ya no está cubierto por la base jurídica del contrato cerrado: cambia la finalidad y, por tanto, cambia la base jurídica.
Las dos vías razonables son:
- Consentimiento expreso recogido en su día con una casilla específica y desmarcada por defecto. Es la opción más limpia y la que mejor soporta una eventual reclamación.
- Interés legítimo del art. 6.1.f RGPD para enviar comunicaciones sobre productos o servicios similares a los ya contratados, siempre que se haya informado de esa posibilidad y se ofrezca un mecanismo claro y gratuito de oposición en cada envío (la conocida casilla de "darse de baja"). Esta vía requiere un análisis previo de ponderación del interés legítimo y queda limitada al cliente existente, no a quien solo visitó un inmueble años atrás sin cerrar nada.
En cualquiera de las dos vías, el envío comercial por correo electrónico o SMS debe cumplir también el art. 21 LSSICE: consentimiento previo o relación contractual previa con productos similares, identificación clara del remitente y mecanismo accesible de baja en cada comunicación.
"Una inmobiliaria que no firma nada con el cliente que entra a visitar un piso está dejando dos puertas abiertas: la primera, una reclamación de protección de datos por no haber informado; la segunda, una discusión con otra agencia sobre quién captó realmente al comprador. La hoja de visita resuelve las dos."
Mario P. Talamillo · Socio director, Certix®
Antes de captar el primer encargo: checklist mínimo
- RAT redactado con los tratamientos del sector: captación, visitas, alquileres, marketing, gestión de portales, gestión de personal.
- Cláusulas informativas separadas para propietario, comprador o inquilino y visitante web, listas para entregar antes del primer contacto.
- Hoja de visita con bloque de cláusula informativa al reverso y casillas independientes para usos comerciales futuros.
- Contratos del art. 28 RGPD firmados con los portales inmobiliarios con los que se opera, con el proveedor del CRM y con cualquier broker hipotecario habitual.
- Política interna de seguridad: contraseñas individuales del CRM, accesos por rol, copia de seguridad, bloqueo automático de pantalla, registro de altas y bajas de personal con acceso a expedientes.
- Política de cookies en la web operativa con consentimiento previo válido y bloqueo de cookies no esenciales hasta que el visitante acepte.
- Protocolo de brechas y registro interno, con identificación de la persona responsable de notificar a la AEPD si fuera necesario.
- Análisis específico de obligaciones PBC/FT para las operaciones que caigan dentro de la Ley 10/2010 e implantación de los procesos asociados.
Preguntas frecuentes
¿Necesita una inmobiliaria el consentimiento del comprador o del inquilino para tratar sus datos?
Para la gestión ordinaria de una compraventa o alquiler no es necesario el consentimiento: la base jurídica es la ejecución del contrato o de medidas precontractuales solicitadas por el interesado (art. 6.1.b RGPD). Lo que sí es obligatorio es entregar la cláusula informativa del art. 13 RGPD en el primer contacto. El consentimiento expreso solo aparece para tratamientos adicionales como marketing comercial o cesiones a brokers hipotecarios.
¿Es lícito que la inmobiliaria conserve los datos del cliente después de que la operación se cierre o se caiga?
Es lícito mientras existan obligaciones legales o riesgos jurídicos vivos. Como referencia, la documentación mercantil debe conservarse seis años (art. 30 Código de Comercio), las obligaciones tributarias prescriben a los cuatro años y las acciones civiles a los cinco. Además, las operaciones sujetas a la Ley 10/2010 PBC/FT obligan a conservar la documentación de identificación durante diez años.
¿Puede la inmobiliaria entregar el DNI del comprador al notario o al banco sin permiso explícito?
Sí. La comunicación a notario, entidad financiera, gestoría o administrador de fincas no requiere consentimiento adicional: es una cesión necesaria para la ejecución del contrato (art. 6.1.b RGPD). La inmobiliaria debe informar de esas cesiones previstas en la cláusula informativa (art. 13.1.e RGPD) y limitar la información a la estrictamente necesaria para cada destinatario.
¿Es obligatorio designar un Delegado de Protección de Datos (DPD) en una inmobiliaria?
Por regla general no. Una agencia inmobiliaria estándar no encaja en los supuestos del art. 37 RGPD ni del art. 34 LOPDGDD que imponen DPD obligatorio. La excepción son grupos inmobiliarios de gran tamaño cuya actividad pueda equipararse a observación habitual y sistemática a gran escala. Aunque esta es la regla general del sector, la exigencia final dependerá de la escala, volumen y tipología exacta de los tratamientos de cada entidad. Cada caso requiere un análisis individualizado.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Necesitas ordenar la protección de datos de tu inmobiliaria?
En Certix te asignamos un experto en cumplimiento del sector inmobiliario. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto