LGPD na rotina do corretor de imóveis

Este artigo aprofunda um tema de Ferramentas digitais do corretor.

O corretor de imóveis lida com dados pessoais o tempo todo. Nome, telefone e CPF do proprietário, estado civil e dados do cônjuge, renda e uso de FGTS do comprador, cópias de documentos de identidade, comprovantes de residência, matrículas em que constam os titulares do imóvel. A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, a LGPD) estabelece regras para esse tratamento, e elas se aplicam à atividade de intermediação imobiliária.

Na rotina, a lei se traduz em cuidados práticos: o que coletar, como guardar, com quem compartilhar, quando eliminar e como responder a pedidos dos titulares. O comentário dos dispositivos está em LGPD: conceitos e bases legais e LGPD: direitos e segurança.

A LGPD se aplica ao corretor?

Sim. O art. 4º da lei exclui de sua aplicação o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos. A intermediação imobiliária é atividade profissional e econômica, e por isso não se enquadra nessa exceção, seja o corretor autônomo, associado a uma imobiliária ou integrante de uma empresa.

A lei distingue dois papéis principais (art. 5º):

Controlador: pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais.
Operador: pessoa natural ou jurídica que realiza o tratamento em nome do controlador.

Quem exerce cada papel depende de como o trabalho está organizado. O corretor autônomo que decide quais dados coletar e como usá-los tende a atuar como controlador. Quando o corretor trabalha associado a uma imobiliária, os papéis dependem da relação entre as partes e do que estiver definido entre elas. Vale esclarecer esse ponto com a imobiliária, porque ele define quem responde por cada obrigação.

Conceitos que o corretor precisa conhecer

O art. 5º da LGPD define, entre outros:

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável. Nome, CPF, telefone, e-mail, endereço e renda são dados pessoais.
Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Titular: a pessoa natural a quem os dados se referem.
Tratamento: toda operação realizada com dados pessoais, como coleta, recepção, utilização, acesso, reprodução, transmissão, armazenamento, arquivamento, eliminação, comunicação e transferência.

Pela amplitude do conceito de tratamento, receber um documento por mensagem, salvar uma planilha de clientes ou encaminhar uma cópia ao cartório já são operações de tratamento.

Quais dados aparecem na rotina

Etapa	Dados mais comuns	Cuidado principal
Captação	Nome, contato, CPF e estado civil dos proprietários; matrícula; dados do cônjuge	Coletar o necessário para a autorização e a análise documental
Atendimento ao comprador	Contato, preferências, faixa de valor, renda, uso de FGTS, financiamento	Registrar só o que orienta a busca e a negociação
Visitas	Agenda, nomes de acompanhantes, contato de quem guarda as chaves	Não divulgar a terceiros horários e endereços associados a pessoas
Proposta e fechamento	Documentos pessoais das partes, comprovantes, dados bancários para pagamento	Canais seguros e compartilhamento restrito
Pós-venda	Contato para relacionamento futuro	Finalidade informada e respeito a pedidos de não contato

Dados sensíveis não costumam ser necessários na intermediação, mas podem aparecer sem que o corretor peça. Exemplo hipotético: um comprador explica que precisa de um imóvel sem escadas por causa de uma condição de saúde. Para a busca, basta registrar a necessidade objetiva ("imóvel térreo ou com elevador, sem degraus na entrada"), sem anotar o diagnóstico. O art. 11 da LGPD restringe as hipóteses em que dados sensíveis podem ser tratados.

Princípios que orientam o tratamento

O art. 6º lista os princípios que o tratamento deve observar. Na prática da corretagem, alguns pesam mais:

Finalidade: tratar dados para propósitos legítimos, específicos, explícitos e informados ao titular.
Adequação: o tratamento deve ser compatível com a finalidade informada.
Necessidade: limitar o tratamento ao mínimo necessário, com dados pertinentes, proporcionais e não excessivos.
Transparência: informações claras e acessíveis ao titular sobre o tratamento.
Segurança: medidas técnicas e administrativas para proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas.

O princípio da necessidade é o mais útil no dia a dia. Antes de pedir um documento, pergunte: para que ele serve nesta etapa? Se a resposta não for clara, provavelmente ainda não é o momento de pedi-lo.

Bases legais: com que fundamento os dados são tratados

O art. 7º estabelece as hipóteses em que o tratamento de dados pessoais pode ser realizado. Entre elas, as que mais se relacionam com a intermediação imobiliária são:

consentimento do titular (inciso I);
cumprimento de obrigação legal ou regulatória pelo controlador (inciso II);
execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular (inciso V);
exercício regular de direitos em processo judicial, administrativo ou arbitral (inciso VI);
legítimo interesse do controlador ou de terceiro, exceto quando prevalecerem direitos e liberdades fundamentais do titular (inciso IX).

A escolha da base legal depende de cada situação e não deve ser feita de forma automática. Alguns pontos da lei ajudam a orientar:

o consentimento deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular, referir-se a finalidades determinadas e pode ser revogado a qualquer momento (art. 8º). Autorizações genéricas são nulas (art. 8º, § 4º);
quando o tratamento se baseia no legítimo interesse, somente os dados estritamente necessários para a finalidade podem ser tratados (art. 10, § 1º);
o controlador que obteve consentimento e precisa compartilhar os dados com outros controladores deve obter consentimento específico para isso (art. 7º, § 5º).

Coleta: o que pedir e o que informar

O art. 9º assegura ao titular acesso facilitado a informações sobre o tratamento, como a finalidade específica, a forma e a duração, a identificação e o contato do controlador e o uso compartilhado dos dados. Na prática, isso significa explicar ao cliente, de forma simples, por que cada informação é pedida e com quem ela poderá ser compartilhada.

Cuidados úteis na coleta:

peça documentos na etapa em que eles serão usados, e não "por precaução" no primeiro contato;
em formulários de site ou de anúncios, peça apenas os campos necessários para o retorno e informe a finalidade;
não colete dados de terceiros que não participam do negócio;
registre a origem do contato (indicação, anúncio, site), o que também ajuda a responder se o titular perguntar como seus dados foram obtidos.

Armazenamento: onde os dados ficam

Os dados de clientes costumam se espalhar por vários lugares: conversas de mensagem, galeria do celular, e-mail, planilhas, CRM, pastas em nuvem, papéis no carro ou na pasta de visitas. Cada um desses lugares precisa de cuidado.

Aplicativos de mensagem: transfira os documentos recebidos para uma pasta organizada e protegida, e evite mantê-los indefinidamente na galeria do celular.
CRM e planilhas: acesso com senha forte e autenticação em dois fatores; permissões apenas para quem precisa.
Nuvem: evite links de compartilhamento abertos a qualquer pessoa; revise periodicamente com quem as pastas estão compartilhadas.
Papel: cópias impressas de documentos não devem circular sem necessidade nem ficar expostas.

As ferramentas e seus riscos estão descritos em ferramentas digitais do corretor.

Compartilhamento com as partes e com terceiros

A intermediação envolve compartilhar dados com várias pessoas: o proprietário recebe dados do comprador na proposta, o comprador recebe dados do proprietário para a análise documental, parceiros de negócio, cartórios e instituições financeiras também recebem informações. O compartilhamento deve se limitar ao necessário para cada finalidade.

envie a cada parte apenas os documentos que ela precisa analisar;
em parcerias com outros corretores, combine como os dados serão tratados e não repasse a base de contatos inteira; o artigo sobre parcerias entre corretores trata da formalização desses acordos;
prefira canais que permitam controlar o acesso, em vez de reenviar documentos em grupos de mensagem;
registre o que foi enviado, para quem e quando.

Segurança da informação

O art. 46 determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Para profissionais que trabalham sozinhos ou em estruturas pequenas, a ANPD editou a Resolução CD/ANPD nº 2/2022, que regulamenta a aplicação da LGPD para agentes de tratamento de pequeno porte. O regulamento inclui, entre esses agentes, pessoas naturais que realizam tratamento de dados assumindo obrigações típicas de controlador ou de operador (art. 2º, I). Alguns pontos:

o tratamento diferenciado não se aplica a quem realiza tratamento de alto risco para os titulares ou ultrapassa os limites de receita definidos no regulamento (art. 3º);
o registro das operações de tratamento pode ser feito de forma simplificada (art. 9º), e a ANPD disponibiliza um modelo;
o agente de pequeno porte não é obrigado a indicar encarregado, mas deve disponibilizar um canal de comunicação com o titular (art. 11);
deve adotar medidas administrativas e técnicas essenciais de segurança, considerando o nível de risco e a realidade do agente (art. 12), e pode estabelecer política simplificada de segurança da informação (art. 13).

O guia orientativo da ANPD sobre segurança da informação para agentes de pequeno porte traz recomendações práticas e um checklist de medidas. Entre os cuidados básicos que podem ser adotados imediatamente estão senhas fortes e diferentes para cada serviço, autenticação em dois fatores, bloqueio de tela no celular, cópias de segurança e atualização dos dispositivos.

Incidentes de segurança

Perda de um celular sem bloqueio, envio de documentos para a pessoa errada e acesso indevido a uma conta são exemplos de situações que podem configurar incidente de segurança. O art. 48 determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante aos titulares, em prazo razoável conforme definido pela autoridade. A ANPD mantém uma página com orientações e o formulário para essa comunicação.

Diante de um incidente, registre o que aconteceu, quais dados foram afetados e quais medidas foram tomadas, e verifique as orientações da ANPD sobre a necessidade de comunicação.

Término do tratamento e descarte

O art. 15 prevê o término do tratamento, entre outras hipóteses, quando a finalidade é alcançada ou os dados deixam de ser necessários, ao fim do período de tratamento ou por comunicação do titular. O art. 16 determina que os dados sejam eliminados após o término do tratamento, autorizada a conservação, por exemplo, para cumprimento de obrigação legal ou regulatória.

Na prática:

defina por quanto tempo vai manter documentos de negócios não concluídos e de clientes que deixaram de buscar imóvel;
separe o que precisa ser guardado por razões legais, fiscais ou de prova do que pode ser eliminado;
ao eliminar, apague também as cópias em celular, e-mail e pastas compartilhadas;
destrua documentos em papel de forma que não possam ser reconstituídos.

Os prazos de guarda variam conforme o tipo de documento e a finalidade. Se houver dúvida, busque orientação profissional antes de definir sua política.

Direitos do titular

O art. 18 garante ao titular o direito de obter do controlador, mediante requisição, entre outros: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; eliminação dos dados tratados com consentimento, ressalvadas as hipóteses do art. 16; informação sobre as entidades com as quais os dados foram compartilhados; e revogação do consentimento.

Para atender a esses pedidos, é preciso saber onde estão os dados de cada pessoa. Esse é mais um motivo para manter um registro organizado de clientes, em vez de informações espalhadas em vários aplicativos. Quando um cliente pedir para não receber mais contatos, registre o pedido e respeite-o; o artigo sobre controle de follow-up trata do encerramento de atendimentos.

Checklist prático

Saiba quais dados você coleta em cada etapa e para quê.
Peça documentos apenas quando forem necessários.
Informe ao cliente a finalidade e com quem os dados poderão ser compartilhados.
Mantenha os dados em locais protegidos, com senhas fortes e autenticação em dois fatores.
Compartilhe com cada parte só o que ela precisa.
Revise periodicamente acessos a pastas e planilhas.
Defina prazos de guarda e elimine o que não precisa mais ser mantido.
Tenha um canal para receber pedidos dos titulares e responda a eles.
Saiba como agir em caso de incidente de segurança.

A proteção de dados também aparece na divulgação de imóveis e no relacionamento com clientes; veja marketing para corretor de imóveis e qualificação do comprador.

Na biblioteca de referência

LGPD, arts. 5º a 7º e 11: conceitos, princípios e bases legais aplicados ao trabalho do corretor (Legislação comentada)
LGPD, arts. 17 a 22 e 46 a 49: direitos do titular, segurança dos dados e incidentes (Legislação comentada)

Conteúdo informativo, elaborado a partir da legislação citada. Não substitui a orientação de um advogado para um caso concreto.

LGPD na rotina do corretor: dados de clientes e proprietários