Сайт агентства недвижимости и персональные данные клиентов

Что в работе агентства считается персональными данными

Границу обычно проводят так: паспорт на сделке — персональные данные, телефон из заявки — «просто контакт». Закон такой границы не знает: персональные данные — это любая информация, относящаяся к прямо или косвенно определяемому человеку (п. 1 ст. 3 152-ФЗ). Поэтому риэлтор и обработка персональных данных начинаются не с договора, а с первой строки в CRM.

Работает определение по совокупности. «Двушка до 12 млн в Приморском» сама по себе — не данные: по ней никого не найти. Она же рядом с номером телефона — уже данные, человек стал определяемым. Под определение в обычной работе агентства попадают:

• имя и телефон из формы;
• бюджет и срок покупки;
• район и требования к объекту;
• состав семьи и наличие детей;
• статус ипотеки и одобренная сумма;
• адрес объекта в связке с ФИО собственника;
• запись телефонного разговора.

Сразу снимем лишний страх: состав семьи, дети, материнский капитал, ипотека и доход — обычные персональные данные, а не специальная категория (ст. 10 152-ФЗ относит к ней сведения о здоровье, убеждениях, национальности, интимной жизни). Особый режим тут не возникает. Оговорка одна: вопросы про здоровье в анкете — например, нужен ли безбарьерный доступ — это уже спецкатегория.

Что агентства и риэлторы работают с персональными данными, регулятор проговорил отдельно: по услугам в сфере недвижимости есть отраслевая памятка Роскомнадзора. Посмотрим, где эти данные собирает сайт.

Где сайт агентства недвижимости собирает персональные данные: девять точек

У типового сайта агентства недвижимости персональные данные собираются примерно в девяти точках, и часть из них владелец формой не считает:

• форма «подобрать квартиру» и запись на просмотр;
• заявка «оценить мою квартиру» от собственника;
• ипотечный калькулятор и заявка на одобрение;
• подписка на подборки новых объектов;
• онлайн-чат и кнопки мессенджеров;
• коллтрекинг и обратный звонок с записью;
• личный кабинет и «избранное»;
• форма «стать агентом» с резюме;
• счётчик Метрики с Вебвизором, который пишет ввод в поля форм.

Точки закрываются разными основаниями. Заявку «перезвоните мне по этой квартире» можно обработать без отдельного согласия — как обработку, необходимую для исполнения договора, стороной которого является клиент (п. 5 ч. 1 ст. 6 152-ФЗ). Но ровно в объёме заявки: перезвонить, показать, подобрать. Всё, что дальше — хранить «на будущее», слать подборки, передать партнёру, — этим основанием не покрывается, там нужно согласие (ч. 1 ст. 9).

Показательный пример — паспорт. На сделке брать паспортные данные законно: посредники при сделках купли-продажи недвижимости названы субъектами антиотмывочного закона и обязаны идентифицировать клиента (ст. 5 и ст. 7 115-ФЗ), у ИП обязанности те же, что у организации. Это обработка во исполнение обязанности, возложенной законом (п. 2 ч. 1 ст. 6 152-ФЗ). Но в форме заявки такого основания нет — там ещё нет ни сделки, ни обязанности, а лишние поля вроде места работы или паспорта отсекает правило неизбыточности (ч. 5 ст. 5 152-ФЗ). Одна строка данных — два разных ответа.

И про согласие в заявке на подбор квартиры: это отдельный непредзаполненный пункт, а не общая галочка «согласен со всем». Политика должна открываться с той страницы, где стоит форма, — с карточки объекта и лендинга ЖК, а не только с главной.

Что происходит с контактом после заявки: CRM, телефон агента, таблица

Форма отработала — дальше начинается то, чего клиент не видит. Здесь и живёт главный вопрос: что закон говорит про базу клиентов агентства недвижимости, которая собирается по кусочкам и хранится сразу в нескольких местах. Пройдём маршрут по шагам, задавая на каждом один вопрос — а основание?

1. Заявка попала в CRM. Основание есть: обработка в объёме исполнения заявки.
2. Агент скопировал номер себе в телефон. А основание? Клиент соглашался на подбор квартиры, а не на хранение номера в личном телефоне сотрудника.
3. Номер переехал в личную таблицу «мои клиенты». А основание? Его нет, и база уже вне контура агентства.
4. Контакт переслали коллеге в мессенджере. А основание? Пересылка — это передача, то есть обработка: к ней закон относит любое действие с данными (п. 3 ст. 3 152-ФЗ).
5. Через год по базе делают обзвон и рассылку подборок. А основание? Согласия на обработку для этого мало.
6. Заявки 2019 года лежат «на всякий случай». А основание? Цель достигнута — данные пора удалять.

CRM, коллтрекинг, рассыльщик, виджет чата и хостинг — подрядчики агентства: они обрабатывают данные по поручению, на основании договора (ч. 3 ст. 6 152-ФЗ), собственное согласие клиента им не нужно (ч. 4 ст. 6), а перед клиентом за них отвечает агентство (ч. 5 ст. 6). Рядом строка риска: с 01.07.2025 норма о локализации сформулирована как прямой запрет собирать данные россиян в базы за пределами России (ч. 5 ст. 18).

«Прозвонить базу» и «разослать подборку всем, кто когда-то оставлял заявку» — отдельный сюжет. Согласие на обработку не даёт права на рекламные звонки: обработка для продвижения путём прямых контактов допускается только с предварительного согласия и считается сделанной без него, пока оператор не докажет обратное (ст. 15 152-ФЗ). То же в законе о рекламе, плюс прямой запрет автообзвона и автоматической рассылки (ч. 1 и ч. 2 ст. 18 38-ФЗ). Как оформить такой opt-in отдельно, разбирали в материале про согласие на рекламную рассылку.

И про сроки, которые в отрасли соблюдают редко: хранить данные дольше, чем требуют цели, нельзя (ч. 7 ст. 5 152-ФЗ), а по достижении цели их уничтожают в срок не более 30 дней; при отзыве согласия — тоже 30 дней (ч. 4 и ч. 5 ст. 21).

Контакт уходит застройщику: передача персональных данных третьим лицам

Агентство работает с новостройками, «закрепляет» клиента за застройщиком и передаёт ему контакт ради комиссии. В отрасли это внутренняя кухня. Юридически — передача персональных данных третьим лицам, и сценария здесь два.

Различает их один проверяемый признак — кто определяет цели обработки. Оператор по закону — тот, кто организует и осуществляет обработку и определяет её цели, состав данных и совершаемые действия (п. 2 ст. 3 152-ФЗ). Подрядчик по поручению работает по чужим целям — по целям агентства. Если застройщик сам звонит клиенту, ведёт его и оформляет договор, он действует в своём интересе: это самостоятельный оператор, а не ваш подрядчик. Это вывод из текста норм — отдельного разъяснения регулятора по схеме «агентство — застройщик» нет.

Практический вывод: договор поручения такую передачу не покрывает. Поручение (ч. 3 ст. 6 152-ФЗ) — это когда сервис обрабатывает данные по вашим целям и правилам, а в договоре перечислены данные, действия, цели, конфиденциальность и требования к защите; механику разбирали в статье про поручение обработки персональных данных третьим лицам. Она закрывает CRM, коллтрекинг и чат. Для застройщика, который ведёт клиента сам, нужна своя правовая основа — на практике согласие.

А согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 152-ФЗ). Формулировка «передаём данные партнёрам» требованию конкретности не отвечает: из неё непонятно, кому уходит контакт. Безопаснее назвать компанию или закрытый перечень прямо в тексте согласия. Косвенное подтверждение: в письменном согласии закон прямо требует указать лицо, которому поручается обработка (п. 6 ч. 4 ст. 9) — для веб-формы паспортные данные, конечно, не нужны, это требование к письменной форме.

Второй частый вариант — «в договоре на подбор написано, что мы можем передавать данные и слать подборки». Комиссия Московского УФАС указывала: навязывание обязанности получать рекламу надлежащим согласием не считается, ведь у принявшего оферту человека выбора не было. А с 1 сентября 2025 согласие оформляется отдельно от иных информации и документов (ч. 1 ст. 9 в ред. 156-ФЗ) — общая галочка «согласен со всем» этому не отвечает. И доказывать, что согласие получено, обязано агентство (ч. 3 ст. 9).

Три вопроса к своей практике:

• кому конкретно уходит контакт — назовите компании поимённо;
• названы ли они в тексте согласия на сайте;
• есть ли документ: договор поручения с подрядчиком или зафиксированное основание передачи самостоятельному оператору.

Данные, которых клиент вам не давал: обмен базами и ушедший агент

Обмен контактами между агентами — норма отрасли, и разбирать его как злой умысел бессмысленно. Дело в другом: у контакта, полученного не от самого человека, другой правовой статус. Если данные получены не от субъекта, оператор до начала обработки обязан сообщить ему своё наименование и адрес, цель и правовое основание обработки, перечень данных, предполагаемых пользователей, права субъекта и источник получения (ч. 3 ст. 18 152-ФЗ). Исключения есть, но «коллега скинул номер» ни под одно не подходит.

Купленный список дольщиков или «база новостройки». Та же обязанность плюс уголовная норма: с декабря 2024 действует ст. 272.1 УК о незаконном обороте персональных данных. Ответственность по ней личная — у конкретного человека, который собирал, хранил или передавал данные, а не «у компании за факт утечки».

«Пробив» собственника. С 1 марта 2023 ФИО и дата рождения правообладателя не включаются в общедоступную выписку из ЕГРН для третьих лиц, если сам собственник не внёс запись о раскрытии (ст. 36.3 218-ФЗ); доступ остался у уполномоченных органов, отдельных категорий частных лиц и через нотариуса (ст. 62 218-ФЗ). Данные собственника закрыты по умолчанию — это меняет привычный порядок работы, а обходной путь создаёт риск.

И последний сюжет, который считают внутренним конфликтом: агент уволился и унёс базу. Юридически это не конфликт, а инцидент с нормативными сроками.

Превращает такой сценарий из форс-мажора в управляемый риск не папка с бумагами, а конкретная обязанность: назначить ответственного за организацию обработки, издать политику и локальные акты и ознакомить работников с требованиями законодательства (ч. 1 ст. 18.1 152-ФЗ). Агент, который под подпись знает, что клиентская база — не его личный актив, уносит её заметно реже.

Отзывы и фото объектов: где начинается распространение

Закон разводит предоставление — раскрытие данных определённому лицу или кругу лиц — и распространение, то есть раскрытие неопределённому кругу лиц (п. 5 и п. 6 ст. 3 152-ФЗ). Отдать контакт застройщику — предоставление. Повесить отзыв клиента с фото на сайт — распространение, и режим у него строже.

«Семья Ивановых у своей новой квартиры» — это сразу две нормы. Первая: согласие на распространение оформляется отдельно от иных согласий, человеку дают возможность определить перечень данных по каждой категории, а молчание или бездействие согласием не считаются ни при каких обстоятельствах (ст. 10.1 152-ФЗ); требования к его содержанию утверждены приказом Роскомнадзора от 24.02.2021 № 18. Вторая — охрана изображения гражданина: обнародовать фотографию можно только с его согласия (ст. 152.1 ГК РФ). Обычная галочка «даю согласие на обработку» блок отзывов не закрывает. Чтобы отзыв стоял законно, нужны три вещи:

• отдельное согласие на распространение с перечнем сведений;
• согласие на использование изображения;
• возможность быстро снять публикацию по требованию человека.

Последнее не формальность: человек вправе в любой момент потребовать прекратить передачу данных, и на исполнение даётся три рабочих дня. Отзыв придётся снимать быстро, а не «когда вернётся подрядчик по сайту».

Отдельная отраслевая история — фотографии объектов. На съёмке квартиры в кадр попадают личные вещи, документы на столе, детские фото на стенах, а адрес объекта вместе с именем собственника делает человека определяемым по тому же определению из ст. 3. Согласовывать с собственником стоит и то, что снимаем, и то, где размещаем. То же с выгрузкой на площадки объявлений: наружу уходят контакты и адрес объекта, а площадка обрабатывает их по своим правилам и выступает самостоятельным оператором.

Что должно быть на сайте: минимум для сайта недвижимости по 152-ФЗ

Маршрут пройден. Теперь короткий список того, что должно быть на самом сайте — независимо от того, сколько у агентства партнёров и в какой CRM оно живёт.

Политика. Тот, кто собирает данные через интернет, обязан опубликовать документ о политике обработки персональных данных и обеспечить доступ к нему (ч. 2 ст. 18.1 152-ФЗ). Нишевая деталь: формы у агентства живут на карточках объектов и лендингах ЖК, а политика висит только на главной. Доступ обеспечен тогда, когда документ открывается оттуда, где стоит форма.

Реквизиты. Должно быть видно, кто именно обрабатывает данные: конкретное ООО или ИП с наименованием и адресом, а не «наше агентство». По отраслевой памятке Роскомнадзора у риэлторской организации должен быть и внутренний комплект: политика, обязательство о конфиденциальности, письменные согласия работника и заказчика услуги.

Уведомление. Уведомить Роскомнадзор о намерении обрабатывать данные нужно до начала обработки (ч. 1 ст. 22 152-ФЗ). С 1 сентября 2022 массовые исключения утратили силу, осталось три узких случая, и агентство с сайтом, формой заявки и CRM ни под один не подпадает: «обработка исключительно без средств автоматизации» — это не про CRM. Обязанность одинакова для ООО и ИП-риэлтора; как её закрыть — в статье про реестр операторов и уведомление в Роскомнадзор.

Ещё две строки, о которых забывают. Вебвизор записывает то, что человек вводит в поля формы: Метрика умеет распознавать конфиденциальные поля и заменять содержимое звёздочками, но это алгоритм, а не гарантия — поля лучше закрывать от записи явно. И у заявок должен быть определён срок хранения, а не «храним вечно».

Что бывает, если этого нет

Нагнетать не будем — важнее механика. Самая недооценённая обязанность здесь как раз уведомление: за неуведомление Роскомнадзора предусмотрен штраф 100 000–300 000 ₽, причём по этой части индивидуальный предприниматель отвечает как юридическое лицо, а не как должностное (ч. 10 ст. 13.11 КоАП и примечание 1 к статье). Для отрасли, где много ИП, факт неочевидный.

В жизни это выглядит спокойнее, чем в заголовках. Типовой отраслевой сценарий: региональное управление Роскомнадзора запросило у риэлторских организаций сведения об обработке персональных данных, три компании не представили их в срок, материалы ушли мировому судье, организации признали виновными. Начинается не с рейда, а с письма — и проигрывают его те, кто не может быстро показать документы.

Чек-лист «да/нет», с которым можно идти на свой сайт:

1. под формой подбора отдельный пункт согласия, а не общая галочка с офертой;
2. политика открывается с карточки объекта и лендинга ЖК, а не только с главной;
3. в форме подбора нет лишних полей вроде места работы и паспорта;
4. на подборки и обзвон есть отдельное согласие;
5. в тексте согласия названа компания, которой передаётся контакт;
6. с CRM, коллтрекингом и сервисом чата подписан договор поручения;
7. в начале записываемого разговора звучит предупреждение о записи;
8. на каждый отзыв с именем и фото есть согласие на распространение;
9. срок хранения заявок определён, уведомление подано и совпадает с тем, что делает сайт.

Первые пункты проверяются глазами минут за десять, последние — уже нет: чтобы понять, есть ли агентство в реестре операторов, что записывает счётчик и каким сторонним сервисам уходят данные с форм, нужна проверка сайта на 152-ФЗ по всем страницам, а не по одной главной.

Материал носит информационный характер и не является юридической консультацией. Нормы приведены по состоянию на дату публикации.