Персональные данные клиентов агентства недвижимости

Агентство недвижимости — это не просто посредник между продавцом и покупателем. Это организация, которая ежедневно собирает, хранит и обрабатывает огромные массивы чувствительной информации: паспортные данные, сведения о составе семьи, финансовое положение, адреса регистрации и фактического проживания, данные о праве собственности. Один неправильно составленный договор или небрежно хранящийся файл с базой клиентов — и предприниматель рискует получить штраф до 500 000 рублей и уголовное преследование. При этом большинство риелторских агентств до сих пор работают по принципу «авось пронесёт».

Законодательство в сфере защиты персональных данных ужесточается с каждым годом. С 2023–2024 годов существенно выросли административные санкции, введена уголовная ответственность за утечки, а Роскомнадзор планомерно проверяет не только крупные компании, но и малый бизнес. Агентства недвижимости при этом находятся в особой зоне риска: они работают с документами, которые содержат практически весь спектр охраняемых сведений о физических лицах.

Эта статья — практическое руководство для владельцев агентств, ИП-риелторов и руководителей риелторских компаний. Разберём, какие именно данные вы обрабатываете, какие обязанности это накладывает, как правильно выстроить документооборот и избежать штрафов.

---

Какие персональные данные обрабатывает агентство недвижимости

Прежде чем выстраивать систему защиты, нужно понять, с какой именно информацией вы работаете. Персональные данные — это любая информация, которая прямо или косвенно позволяет идентифицировать физическое лицо. Определение закреплено в ст. 3 Федерального закона № 152-ФЗ «О персональных данных».

В деятельности агентства недвижимости задействованы данные сразу нескольких категорий субъектов:

Данные клиентов (покупателей, продавцов, арендаторов, арендодателей):

• ФИО, дата рождения, место рождения
• Паспортные данные (серия, номер, кем и когда выдан, код подразделения)
• Адрес регистрации и фактического проживания
• Контактные телефоны и электронная почта
• ИНН, СНИЛС (при необходимости)
• Сведения о семейном положении и составе семьи
• Информация о финансовом состоянии, доходах, кредитной истории
• Сведения о правах собственности на объекты недвижимости

Данные сотрудников и агентов:

• Стандартный набор кадровых данных
• Сведения об образовании и квалификации
• Реквизиты для выплаты вознаграждения

⚠️ Важно: Информация о финансовом положении клиента и сведения о правах собственности в совокупности с паспортными данными образуют особо чувствительный массив данных. Утечка такой информации может повлечь мошеннические сделки с недвижимостью — и тогда агентство окажется под угрозой не только административного, но и уголовного преследования.

Многие риелторы ошибочно полагают, что работают «просто с документами». На деле каждый договор аренды или купли-продажи — это полноценная обработка персональных данных, требующая соблюдения всего комплекса требований 152-ФЗ.

---

Правовая база: что обязано соблюдать агентство

Деятельность агентства недвижимости по обработке персональных данных регулируется несколькими нормативными актами. Игнорирование хотя бы одного из них — прямой путь к штрафам.

Основные нормативные документы:

1. Федеральный закон № 152-ФЗ «О персональных данных» от 27.07.2006 — базовый закон, устанавливающий принципы и правила обработки сведений о физических лицах.
2. Постановление Правительства РФ № 1119 от 01.11.2012 — требования к защите персональных данных при их обработке в информационных системах.
3. Приказ ФСТЭК России № 21 от 18.02.2013 — конкретные меры защиты для информационных систем персональных данных.
4. КоАП РФ, ст. 13.11 — административная ответственность за нарушения в этой сфере.
5. УК РФ, ст. 137, 272, 274.2 — уголовная ответственность за незаконный сбор сведений о частной жизни и неправомерный доступ к компьютерной информации.

📎 Ст. 5 152-ФЗ: Обработка персональных данных должна осуществляться на законной и справедливой основе, ограничиваться достижением конкретных, заранее определённых и законных целей. Запрещается обрабатывать данные, несовместимые с целями их сбора.

Ключевой принцип, который нарушается чаще всего, — минимизация данных. Агентства нередко собирают избыточный объём информации «на всякий случай» или хранят её годами после завершения сделки. Оба подхода прямо противоречат закону.

Правовые основания для обработки данных в агентстве недвижимости:

• Исполнение договора, стороной которого является субъект данных (агентский договор, договор оказания услуг)
• Согласие субъекта персональных данных
• Требования законодательства (например, при проверке документов по Федеральному закону № 115-ФЗ «О противодействии легализации доходов...»)

---

Согласие на обработку персональных данных: как оформить правильно

Согласие на обработку персональных данных — это не формальность и не пустая бумага с подписью. Это юридически значимый документ, отсутствие или неправильное оформление которого само по себе является административным правонарушением.

⚠️ Важно: Согласие, взятое «по умолчанию», через заранее проставленную галочку на сайте или устно — не имеет юридической силы. Роскомнадзор при проверке потребует доказательств того, что согласие было получено до начала обработки данных.

Что обязательно должно содержать согласие клиента агентства недвижимости:

1. ФИО и контактные данные субъекта персональных данных
2. Наименование и реквизиты оператора (агентства или ИП-риелтора)
3. Перечень конкретных данных, на обработку которых даётся согласие
4. Цели обработки (например: «подбор объектов недвижимости», «заключение договора купли-продажи», «проверка документов»)
5. Перечень действий с данными: сбор, запись, хранение, передача третьим лицам
6. Срок действия согласия
7. Способ отзыва согласия
8. Перечень третьих лиц, которым могут передаваться данные (банки, нотариусы, Росреестр)

Последний пункт критически важен для агентств недвижимости. В ходе сделки данные клиента передаются нотариусу, банку (при ипотеке), Росреестру, страховой компании. Каждая такая передача должна быть прямо предусмотрена согласием.

📋 Пример: Клиент пришёл в агентство за помощью в продаже квартиры. Он подписал договор об оказании риелторских услуг, но согласие на обработку персональных данных отдельным документом получено не было. Агентство передало его паспортные данные в банк покупателя для проверки. Формально это уже нарушение: отсутствие отдельного согласия на конкретную передачу данных третьей стороне.

Согласие необходимо получать не только от клиентов, но и от сотрудников агентства, включая агентов, работающих по гражданско-правовым договорам. Обработка их данных в кадровых документах также подпадает под действие 152-ФЗ.

---

Уведомление Роскомнадзора: обязанность, о которой забывают

Большинство агентств недвижимости относятся к операторам персональных данных и обязаны уведомить Роскомнадзор о начале обработки до её фактического начала. Это требование ст. 22 152-ФЗ.

Когда уведомление обязательно:

• Агентство обрабатывает данные физических лиц в информационных системах
• Данные используются для принятия решений, порождающих правовые последствия
• Обрабатываются данные более чем одного субъекта

Исключения из обязанности уведомления немногочисленны и к типичному агентству недвижимости практически не применимы.

Что грозит за отсутствие уведомления:

Согласно ст. 13.11 КоАП РФ (в редакции, действующей с 2023 года):

• Для должностных лиц — штраф от 10 000 до 20 000 рублей
• Для юридических лиц — штраф от 100 000 до 300 000 рублей

Уведомление подаётся через портал Роскомнадзора в электронном виде. После его принятия агентство вносится в реестр операторов персональных данных.

⚠️ Важно: Помимо первичного уведомления, оператор обязан сообщать в Роскомнадзор об изменениях в обработке данных: изменении целей, появлении новых категорий данных, смене адреса и т.д. Многие забывают об этой обязанности, продолжая работать по устаревшим сведениям в реестре.

---

Организационные и технические меры защиты данных

Получить согласие и подать уведомление — это только начало. Закон требует от оператора принятия организационных и технических мер для защиты персональных данных от несанкционированного доступа, уничтожения, изменения или распространения.

Организационные меры для агентства недвижимости:

• Назначение ответственного за организацию обработки персональных данных (это может быть руководитель или специально назначенный сотрудник)
• Разработка и утверждение Политики в отношении обработки персональных данных — документ должен быть размещён на сайте агентства в открытом доступе
• Разработка внутренних регламентов и инструкций для сотрудников
• Ограничение доступа к данным клиентов по принципу «необходимо знать»
• Периодическое обучение сотрудников правилам работы с персональными данными
• Установление сроков хранения данных и порядка их уничтожения

Технические меры:

• Защита компьютеров и сети паролями, антивирусным ПО
• Шифрование баз данных клиентов
• Ограничение прав доступа в информационных системах
• Резервное копирование данных
• Запрет на использование личных устройств для хранения клиентских данных

📋 Пример: В небольшом агентстве недвижимости все риелторы используют общий аккаунт в CRM-системе без разграничения прав. Это означает, что любой сотрудник видит полную базу клиентов, включая паспортные данные и финансовую информацию лиц, с которыми лично не работал. Такая практика нарушает принцип минимизации доступа и создаёт прямой риск утечки.

Отдельного внимания заслуживает вопрос хранения бумажных документов. Договоры, копии паспортов, анкеты клиентов — всё это должно храниться в условиях, исключающих несанкционированный доступ. Шкафы с документами должны запираться, доступ к ним — быть ограничен.

Платформа Bejure позволяет организовать хранение кадровых документов в единой защищённой системе с разграничением прав доступа, а все документы подписываются электронной подписью, которая работает только внутри экосистемы — данные не уходят третьим лицам.

---

Ответственность за нарушения: штрафы и уголовное преследование

С принятием Федерального закона № 266-ФЗ (2022) и последующих изменений в КоАП РФ ответственность за нарушения в сфере персональных данных кратно возросла. Разберём актуальную картину санкций.

Административные штрафы по ст. 13.11 КоАП РФ:

Нарушение	Штраф для ИП/должностного лица	Штраф для юридического лица
Обработка без согласия	до 300 000 ₽	до 700 000 ₽
Повторное нарушение	до 500 000 ₽	до 1 500 000 ₽
Утечка данных (нарушение мер защиты)	до 500 000 ₽	до 3 000 000 ₽
Необеспечение уничтожения данных	до 200 000 ₽	до 500 000 ₽
Нарушение при трансграничной передаче	до 500 000 ₽	до 6 000 000 ₽

⚠️ Важно: С 2025 года в России введена уголовная ответственность за незаконный оборот персональных данных (ст. 272.1 УК РФ). Незаконная передача или продажа базы данных клиентов может повлечь наказание в виде лишения свободы сроком до 10 лет — в зависимости от объёма данных и наступивших последствий.

Помимо штрафов, Роскомнадзор вправе заблокировать сайт агентства за нарушение требований к обработке данных. Для агентства недвижимости, активно использующего сайт для привлечения клиентов, это равносильно остановке бизнеса.

Наиболее частые нарушения, выявляемые при проверках агентств:

1. Отсутствие Политики конфиденциальности на сайте
2. Форма обратной связи без согласия на обработку данных
3. Хранение данных сверх установленных сроков
4. Передача данных третьим лицам без соответствующего указания в согласии
5. Отсутствие уведомления в Роскомнадзоре
6. Работа без назначенного ответственного за обработку персональных данных

---

Специфика агентских договоров и комиссионных выплат с точки зрения персональных данных

Агентства недвижимости активно используют агентские договоры с риелторами, работающими на процентном вознаграждении от сделок. Это порождает дополнительный пласт обязательств в сфере защиты данных.

Когда агент-физическое лицо (самозанятый или ИП) ведёт клиента, он получает доступ к полному массиву его персональных данных. Возникает вопрос: кто несёт ответственность за защиту этих сведений — агентство или агент?

Ответ: Ответственность несёт агентство как основной оператор персональных данных. Агент, которому переданы данные клиентов, действует от имени агентства и в рамках агентского договора. Агентство обязано:

• Включить в агентский договор положения о конфиденциальности и защите персональных данных
• Установить запрет на передачу данных клиентов третьим лицам
• Определить порядок уничтожения данных после завершения сотрудничества
• Зафиксировать ответственность агента за нарушение условий конфиденциальности

📎 Обратите внимание: Если агент утечёт базу клиентов, агентство не сможет полностью «переложить» ответственность на него перед Роскомнадзором. Административный штраф будет наложен именно на агентство как оператора данных.

Отдельный вопрос — документирование комиссионных выплат. Акты о выплате агентского вознаграждения содержат персональные данные агента (ФИО, реквизиты, ИНН). Эти документы также подпадают под требования 152-ФЗ и должны храниться с соблюдением мер безопасности. Использование платформы вроде Bejure для автоматизации документооборота с агентами помогает выстроить системный подход: документы формируются по актуальным шаблонам, хранятся в защищённой среде, а при проверке нужный документ можно предъявить за считанные секунды без поиска по папкам.

---

Часто задаваемые вопросы

Обязан ли ИП-риелтор регистрироваться как оператор персональных данных?

Да, обязан. Статус ИП не освобождает от обязанностей оператора персональных данных по 152-ФЗ. Если ИП-риелтор работает с паспортными данными клиентов, хранит их в электронном виде или CRM-системе, он обязан подать уведомление в Роскомнадзор, получать согласие на обработку данных и соблюдать все требования закона. Отсутствие уведомления грозит штрафом до 20 000 рублей для физического лица в статусе ИП.

Как долго агентство может хранить персональные данные клиентов после завершения сделки?

Чёткого единого срока в 152-ФЗ не установлено, но действует принцип: данные не должны храниться дольше, чем этого требуют цели их обработки. На практике агентствам недвижимости рекомендуется хранить данные в течение срока исковой давности по договору — как правило, 3 года с момента завершения сделки (ст. 196 ГК РФ). Для документов, связанных с налоговой отчётностью, применяются сроки по налоговому законодательству — 5 лет. После истечения установленного срока данные необходимо уничтожить с составлением акта об уничтожении.

Нужно ли получать согласие на обработку данных, если клиент сам обратился в агентство?

Да, нужно. Факт того, что клиент сам позвонил или пришёл в офис, не является правовым основанием для обработки его персональных данных. Исключение составляет ситуация, когда обработка данных необходима для исполнения договора, стороной которого является клиент (ст. 6 152-ФЗ). Однако договор должен быть фактически заключён, а обработка данных — ограничена тем, что необходимо для его исполнения. Для любых дополнительных действий с данными (например, отправки рекламных предложений, передачи данных партнёрам) требуется отдельное согласие.

Что делать, если произошла утечка персональных данных клиентов?

С 2023 года агентство обязано уведомить Роскомнадзор об утечке в течение 24 часов с момента её обнаружения, а затем направить уточнённое уведомление с результатами расследования инцидента в течение 72 часов. Замалчивание утечки значительно усугубляет ответственность. Параллельно необходимо: установить источник утечки, ограничить дальнейшее распространение данных, зафиксировать инцидент документально, уведомить пострадавших клиентов.

Распространяется ли 152-ФЗ на данные юридических лиц — собственников недвижимости?

Нет. 152-ФЗ защищает данные исключительно физических лиц. Если контрагент агентства — юридическое лицо, его реквизиты (наименование, ИНН, адрес и т.д.) не являются персональными данными и под действие закона не подпадают. Однако контактные данные конкретных сотрудников этого юридического лица — их ФИО, телефоны, должности — являются персональными данными физических лиц и обрабатываются по общим правилам.

---

Заключение

Персональные данные клиентов агентства недвижимости — это не просто «бумаги», а зона повышенной юридической ответственности. Паспортные данные, финансовые сведения, информация о собственности — всё это охраняется законом, и нарушение требований обходится всё дороже. Штрафы исчисляются сотнями тысяч рублей, а уголовная ответственность за незаконный оборот данных стала реальностью.

Выстроить правильную систему — вполне реальная задача даже для небольшого агентства или ИП-риелтора. Ключевые шаги: зарегистрироваться в Роскомнадзоре, разработать пакет внутренних документов (Политику конфиденциальности, регламенты, согласия), правильно оформить агентские договоры с условиями о конфиденциальности и организовать защищённое хранение данных.

Хаотичный документооборот — один из главных источников риска. Файлы в мессенджерах, общие папки без паролей, бумажные копии паспортов в открытом доступе — это не рабочий процесс, это уязвимость. Систематизация начинается с правильных документов и правильных инструментов для их ведения. Начните с аудита того, какие данные вы обрабатываете сегодня, — и вы уже сделаете первый шаг к реальной защите своего бизнеса.