Персональные данные клиентов агентства недвижимости
Агентство недвижимости ежедневно работает с огромным массивом чувствительной информации: паспортные данные покупателей и продавцов, сведения о доходах, выписки из ЕГРН, номера телефонов и адреса электронной почты. Казалось бы, всё это — обычная рабочая документация. Но с точки зрения закона каждая такая запись является персональными данными, и её обработка строго регулируется Федеральным законом № 152-ФЗ «О персональных данных». Нарушение этих требований грозит агентству не просто штрафами, но и блокировкой деятельности, уголовной ответственностью и репутационными потерями.
Большинство риелторов и руководителей небольших агентств честно признаются: они знают, что «что-то надо сделать по закону о персданных», но не понимают конкретно — что именно. В итоге клиентская база хранится в таблицах Excel без защиты, согласия на обработку не берутся вовсе или оформляются «для галочки» на бумаге, а сотрудники пересылают копии паспортов через обычные мессенджеры. Каждое из этих действий — потенциальное нарушение.
В этой статье мы разберём, как агентству недвижимости законно выстроить работу с персональными данными клиентов: что собирать, как хранить, как получать согласие и что грозит за несоблюдение требований.
Что считается персональными данными в агентстве недвижимости
Персональные данные — это любая информация, прямо или косвенно позволяющая идентифицировать физическое лицо (субъекта персональных данных). В контексте агентства недвижимости к ним относятся:
- Фамилия, имя, отчество клиента
- Дата и место рождения
- Паспортные данные (серия, номер, кем и когда выдан)
- Адрес регистрации и фактического проживания
- Контактные данные: телефон, email
- Сведения о семейном положении и составе семьи (при сделках с участием супругов и детей)
- Информация о доходах и занятости (при работе с ипотечными клиентами)
- Сведения об объектах недвижимости, принадлежащих клиенту
- Банковские реквизиты для расчётов
Отдельную категорию составляют специальные категории персональных данных — сведения о состоянии здоровья (могут фигурировать в сделках с недееспособными гражданами), информация об иностранном гражданстве. Их обработка требует ещё более строгого соблюдения требований закона.
⚠️ Важно: Фотография клиента, сделанная риелтором при просмотре объекта, или запись телефонного разговора также могут квалифицироваться как персональные данные, если по ним можно установить личность человека.
Агентство выступает в роли оператора персональных данных — юридического лица или ИП, самостоятельно или совместно с другими лицами организующего обработку данных. Этот статус возникает автоматически в момент, когда вы впервые записали имя и телефон потенциального клиента. С этого момента на вас распространяются все требования ФЗ-152.
Регистрация в Роскомнадзоре: нужна ли она агентству
Один из самых частых вопросов руководителей агентств: обязательно ли уведомлять Роскомнадзор о начале обработки персональных данных?
Согласно ст. 22 ФЗ-152, оператор обязан направить уведомление в уполномоченный орган до начала обработки персональных данных. Однако закон предусматривает исключения. Агентство недвижимости вправе не направлять уведомление только если:
- Данные обрабатываются исключительно в рамках трудовых отношений (данные сотрудников, а не клиентов)
- Данные получены при заключении договора с конкретным субъектом и используются только для исполнения этого договора, без передачи третьим лицам
- Данные обрабатываются без использования средств автоматизации (то есть только на бумаге)
Если агентство ведёт CRM-систему, хранит клиентскую базу в электронном виде, использует программы для рассылок или рекламные инструменты ретаргетинга — оно обрабатывает данные автоматизированно. В этом случае уведомление обязательно.
📎 Ст. 22 ФЗ-152: Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять обработку персональных данных.
Подать уведомление можно через официальный сайт Роскомнадзора в электронном виде. После регистрации агентство вносится в реестр операторов персональных данных. Отсутствие уведомления при фактической автоматизированной обработке — это нарушение, за которое по ч. 1 ст. 19.7 КоАП РФ предусмотрен штраф для юридических лиц до 5 000 рублей. Звучит незначительно, но это лишь первое последствие — при проверке будут выявлены и другие нарушения с куда более серьёзными санкциями.
Согласие клиента на обработку персональных данных: как оформить правильно
Ключевой документ в системе защиты персональных данных — согласие субъекта на их обработку. Без него агентство фактически работает с чужой информацией незаконно.
Согласие должно быть:
- Добровольным — клиент не может быть принуждён к его подписанию под угрозой отказа в услугах (хотя для заключения договора данные всё равно необходимы)
- Конкретным — указаны конкретные цели обработки (например, «заключение и исполнение договора на оказание риелторских услуг», «направление информации об объектах недвижимости»)
- Информированным — клиент понимает, какие данные, кем и зачем обрабатываются
- Сознательным — оформленным дееспособным лицом
- Однозначным — выражено прямым действием (подпись, отметка в чекбоксе, иное активное действие; молчание согласием не считается)
Что обязательно должно содержать согласие на обработку персональных данных:
- Наименование и реквизиты агентства (оператора)
- Полное имя субъекта
- Перечень обрабатываемых данных
- Цели обработки
- Перечень действий с данными (сбор, хранение, передача третьим лицам)
- Срок действия согласия
- Порядок его отзыва
📋 Пример: Клиент Иванов А.В. обращается в агентство с просьбой подобрать квартиру в аренду. При первичном обращении он подписывает согласие на обработку персональных данных, в котором указано: данные используются для подбора объектов, ведения переговоров с арендодателями и направления коммерческих предложений. Отдельный пункт предусматривает право на отзыв согласия с указанием адреса для направления заявления.
Если агентство передаёт данные клиентов третьим лицам — банкам-партнёрам, страховым компаниям, застройщикам — это должно быть явно прописано в согласии. Передача данных без указания этого факта нарушает ст. 6 ФЗ-152 и является отдельным основанием для привлечения к ответственности.
Хранение и защита клиентской базы: технические и организационные меры
Закон требует не просто собирать согласия, но и обеспечивать реальную защиту данных. Ст. 19 ФЗ-152 обязывает оператора принять правовые, организационные и технические меры для защиты персональных данных от несанкционированного доступа, утечек, уничтожения и изменения.
Организационные меры для агентства недвижимости:
- Назначение ответственного за организацию обработки персональных данных (приказ по агентству)
- Разработка и утверждение Политики в отношении обработки персональных данных (обязательный публичный документ, размещается на сайте агентства)
- Утверждение Положения об обработке персональных данных — внутреннего регламента для сотрудников
- Введение режима конфиденциальности: сотрудники, имеющие доступ к данным клиентов, подписывают обязательство о неразглашении
Технические меры защиты:
- Разграничение прав доступа к CRM и базам данных (риелтор видит только своих клиентов)
- Парольная защита рабочих мест и шифрование данных на серверах
- Запрет передачи паспортных данных через незащищённые каналы (обычный Telegram, WhatsApp без end-to-end шифрования для корпоративных нужд — плохая практика)
- Регулярное резервное копирование
- Антивирусная защита
⚠️ Важно: Если агентство использует облачную CRM зарубежного разработчика, важно убедиться, что данные хранятся на серверах, расположенных в России. Согласно ст. 18.1 ФЗ-152, при первичном сборе персональных данных оператор обязан обеспечить их запись, хранение и обновление с использованием баз данных, находящихся на территории РФ. Нарушение этого требования — отдельное основание для блокировки сайта по решению Роскомнадзора.
Платформы вроде Bejure помогают выстроить документооборот агентства таким образом, что все документы — включая согласия на обработку персональных данных — хранятся в единой защищённой системе с разграничением прав доступа. При этом все документы подписываются электронной подписью и имеют ту же юридическую силу, что и бумажные, а архив доступен в любой момент — даже в ходе проверки.
Ответственность за нарушения: штрафы и уголовные риски
С 1 сентября 2022 года суммы административных санкций за нарушения в сфере персональных данных существенно выросли. В 2024 году в КоАП РФ внесены очередные поправки, ещё более ужесточившие ответственность операторов.
Основные составы нарушений и штрафы (ст. 13.11 КоАП РФ):
| Нарушение | Штраф для ИП | Штраф для юрлица |
|---|---|---|
| Обработка данных без согласия субъекта | до 100 000 ₽ | до 300 000 ₽ |
| Повторное нарушение | до 500 000 ₽ | до 1 000 000 ₽ |
| Обработка данных без публикации политики конфиденциальности | до 30 000 ₽ | до 60 000 ₽ |
| Непринятие мер по защите данных | до 100 000 ₽ | до 300 000 ₽ |
| Трансграничная передача данных с нарушением требований | до 6 000 000 ₽ | до 6 000 000 ₽ |
| Утечка персональных данных (введена в 2024 году) | до 15 000 000 ₽ | до 15 000 000 ₽ |
Помимо административной, возможна и уголовная ответственность. Ст. 137 УК РФ предусматривает наказание за незаконный сбор и распространение сведений о частной жизни без согласия лица — вплоть до лишения свободы на срок до 2 лет. На практике к уголовной ответственности чаще привлекают при намеренной передаче баз данных конкурентам или использовании сведений в корыстных целях.
⚠️ Важно: Проверки Роскомнадзора проводятся как плановые, так и внеплановые — по жалобам клиентов. Даже одно обращение недовольного клиента с указанием на незаконное использование его данных может инициировать визит проверяющих. В 2023 году Роскомнадзор провёл более 1 000 проверок операторов персональных данных по всей стране.
Особенности работы с данными при агентских договорах и ГПХ
Агентство недвижимости нередко работает с риелторами не по трудовым договорам, а по гражданско-правовым договорам (агентский договор, договор оказания услуг). Это создаёт дополнительную правовую коллизию в сфере защиты персональных данных.
Когда риелтор, работающий по ГПХ, получает доступ к клиентской базе агентства, он фактически становится лицом, которому оператор передаёт персональные данные для обработки. Такая передача называется поручением на обработку (ст. 6 ФЗ-152) и требует:
- Заключения отдельного соглашения о конфиденциальности или включения соответствующего раздела в основной договор
- Указания конкретного перечня данных, к которым имеет доступ исполнитель
- Установления запрета на использование данных в личных целях и передачу третьим лицам
- Прописания ответственности за утечку
📋 Пример: Агентство «Надёжный дом» заключает агентский договор с риелтором Петровым П.П. на поиск покупателей для объектов застройщика-партнёра. Для работы Петров получает доступ к базе данных потенциальных покупателей. В договор включён раздел «Обработка персональных данных клиентов», в котором перечислены допустимые действия с данными, установлен запрет на их использование в иных целях и закреплена материальная ответственность в случае утечки.
Без такого раздела агентство несёт полную ответственность за действия своего агента с чужими персональными данными. Если Петров «унесёт» базу к конкурентам — отвечать будет агентство.
Кстати, именно здесь скачанный из интернета типовой агентский договор создаёт реальные риски: большинство таких шаблонов не содержат актуальных положений о персональных данных с учётом поправок 2022–2024 годов. Документы Bejure разрабатываются под специфику конкретного вида деятельности и обновляются при изменении законодательства — это особенно критично для области, где нормативная база меняется столь активно.
Локальные документы агентства: что должно быть в наличии
Чтобы агентство недвижимости соответствовало требованиям ФЗ-152, у него должен быть сформирован комплект обязательных локальных документов. Вот минимально необходимый перечень:
Публичные документы (размещаются на сайте):
- Политика конфиденциальности — описывает цели и правовые основания обработки, категории субъектов, права пользователей сайта
- Согласие на обработку персональных данных (форма для заполнения на сайте при подаче заявки)
- Пользовательское соглашение (при наличии личного кабинета или онлайн-сервиса)
Внутренние документы:
- Приказ о назначении ответственного за обработку персональных данных
- Положение об обработке персональных данных — внутренний регламент для сотрудников
- Перечень лиц, допущенных к обработке персональных данных
- Обязательства о неразглашении для каждого сотрудника (или агента по ГПХ) с доступом к клиентской базе
- Согласия клиентов — отдельно для каждого, с датой, подписью и указанием целей
Договорные документы:
- Раздел о персональных данных в договоре на оказание риелторских услуг
- Раздел или соглашение о персональных данных в агентских договорах с риелторами на ГПХ
📎 Ст. 18.1 ФЗ-152: Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом. Оператор самостоятельно определяет состав и перечень мер, если иное не предусмотрено настоящим Федеральным законом и другими федеральными законами.
Наличие полного комплекта документов — не просто «защита на случай проверки». Это сигнал клиентам о профессиональном подходе агентства к вопросам конфиденциальности, что в условиях роста правовой грамотности населения становится конкурентным преимуществом.
Часто задаваемые вопросы
Обязан ли ИП-риелтор соблюдать требования ФЗ-152?
Да, в полном объёме. Требования Федерального закона № 152-ФЗ «О персональных данных» распространяются на всех операторов персональных данных — как юридических лиц, так и индивидуальных предпринимателей. Как только ИП-риелтор собирает имя и телефон потенциального клиента, он становится оператором с соответствующими обязанностями: получение согласия, разработка политики конфиденциальности, обеспечение защиты данных и уведомление Роскомнадзора при автоматизированной обработке.
Можно ли хранить клиентскую базу в Google Таблицах или Notion?
Формально — нет, если данные обрабатываются на серверах за пределами России. Ст. 18.1 ФЗ-152 обязывает оператора обеспечить хранение персональных данных российских граждан с использованием баз данных на территории РФ при их первичном сборе. Использование зарубежных облачных сервисов (серверы которых расположены не в России) создаёт правовой риск — Роскомнадзор вправе признать это нарушением требований о локализации. Безопаснее использовать российские CRM-системы или облачные решения с подтверждённой локализацией данных в РФ.
Что делать, если клиент требует удалить его данные?
Согласно ст. 21 ФЗ-152, субъект персональных данных вправе в любое время отозвать согласие на их обработку. При получении такого требования оператор обязан прекратить обработку и уничтожить данные в течение 30 дней. Исключение составляют ситуации, когда обработка необходима для исполнения обязательств по уже заключённому договору, судебного разбирательства или выполнения требований закона. Рекомендуется зафиксировать факт получения заявления и принятые меры — это защитит агентство при возможных претензиях.
Нужно ли отдельное согласие для рекламных рассылок по базе клиентов?
Да, обязательно. Рассылка рекламных и информационных материалов является самостоятельной целью обработки персональных данных, которая должна быть прямо указана в согласии. Если клиент подписал согласие только в рамках заключения договора купли-продажи, использовать его email или телефон для рассылок без дополнительного разрешения незаконно. Кроме того, такие рассылки регулируются ФЗ-38 «О рекламе», который также требует предварительного согласия получателя.
Каковы сроки хранения персональных данных клиентов в агентстве?
Чёткого универсального срока закон не устанавливает — оператор определяет его самостоятельно, исходя из целей обработки. На практике данные следует хранить не дольше, чем это необходимо для достижения цели. Для сделок с недвижимостью разумный срок — 5 лет с момента завершения сделки (с учётом срока исковой давности по имущественным спорам согласно ГК РФ). Для несостоявшихся клиентов, не заключивших договор, — не более 1 года или до отзыва согласия. Конкретные сроки должны быть закреплены во внутреннем Положении об обработке персональных данных.
Заключение
Защита персональных данных клиентов — это не бюрократическая формальность, а реальное юридическое обязательство каждого агентства недвижимости и каждого ИП-риелтора. Нарушения в этой сфере влекут за собой штрафы до 15 миллионов рублей, репутационный ущерб и утрату доверия клиентов, которое в риелторском бизнесе стоит дороже любой сделки.
Минимально необходимые шаги, которые стоит сделать уже сейчас:
- Проверить наличие политики конфиденциальности на сайте агентства
- Пересмотреть форму согласия на обработку персональных данных — она должна соответствовать требованиям 2024 года
- Аудит договоров с риелторами на ГПХ — включены ли в них актуальные положения о персональных данных
- Ограничить доступ к клиентской базе и обязать сотрудников подписать обязательства о конфиденциальности
- Убедиться, что данные хранятся на российских серверах
Важно понимать: шаблонные документы из открытых источников не отражают актуальные требования законодательства — ни поправки 2022 года, ни нормы об ответственности за утечки, принятые в 2024-м. Сторонний юрист, которому вы пересылаете свои договоры и базы данных для «приведения в порядок», фактически получает доступ к коммерческой тайне агентства без каких-либо гарантий конфиденциальности. Системный подход — когда документооборот замкнут внутри защищённой платформы, а документы обновляются автоматически, — надёжнее и экономически выгоднее разовых консультаций.
