Um interessado preenche um formulário sobre um imóvel. Minutos depois, conversa com um corretor pelo WhatsApp, agenda uma visita, envia documentos e faz uma proposta. Se o negócio avançar, novas informações entram na operação e podem passar por CRM, e-mail, financeiro, parceiros e arquivos internos.
Conteúdo
LGPD no mercado imobiliário: como proteger dados em cada etapa da operação
É nesse percurso que a LGPD no mercado imobiliário deixa de parecer um assunto restrito ao jurídico. A lei acompanha o dado desde a coleta até o armazenamento, o compartilhamento e a eventual eliminação.
Para aplicar isso à rotina, sua imobiliária precisa enxergar por onde as informações circulam, por que são usadas e quem realmente precisa acessá-las. Coletar um dado leva segundos. A partir daí, começa uma responsabilidade que pode durar toda a relação com o cliente. Descubra como a LGPD acompanha esse ciclo e onde a imobiliária precisa manter atenção.
O que a LGPD muda na rotina de uma imobiliária?
A Lei 13.709/18, Lei Geral de Proteção de Dados Pessoais, ou LGPD, disciplina o tratamento de dados pessoais, e “tratamento” é um conceito amplo. Ele inclui operações como coleta, acesso, armazenamento, uso, compartilhamento, alteração e eliminação. A lei também alcança dados mantidos em meios físicos, não apenas aqueles que estão em sistemas digitais.
Na prática, isso envolve várias atividades corriqueiras da imobiliária. Um contato recebido pelo portal, um cadastro no site, uma conversa registrada no CRM, documentos enviados para análise, um contrato arquivado ou uma base usada em campanha envolvem tratamento de dados pessoais.
Por isso, ter uma política de privacidade não basta. A imobiliária também precisa saber por que cada dado é coletado, para qual finalidade será usado, quem consegue acessá-lo, com quais empresas será compartilhado e por quanto tempo precisa permanecer armazenado.
Essas respostas ajudam a transformar uma exigência jurídica em decisões concretas de processo. E, como cada operação tem suas particularidades, a adequação deve considerar a realidade da própria imobiliária e, quando necessário, receber avaliação jurídica específica.
Por onde os dados passam dentro de uma imobiliária?
O caminho pode começar antes mesmo do primeiro atendimento. Um interessado envia nome, telefone e e-mail por um portal ou formulário. Depois, o histórico cresce com mensagens, preferências, imóveis visitados e propostas.
Se a negociação avança, podem entrar CPF, endereço, documentos de identificação, comprovantes de renda, informações financeiras e dados necessários à formalização do contrato. Na locação, o fluxo ainda pode envolver fiador, proprietário, vistoria, cobrança, repasses e parceiros.
A proteção precisa acompanhar a informação em todo esse percurso:
captação do lead → atendimento → CRM → visitas e propostas → documentos → contrato → financeiro e administrativo → relacionamento posterior.
Esse mapeamento também evita uma confusão comum. CPF, comprovantes de renda e dados financeiros são informações pessoais que merecem proteção, mas não viram automaticamente “dados pessoais sensíveis”. A LGPD reserva essa categoria, por exemplo, para dados sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, genética ou biometria vinculada a uma pessoa.
Dependendo da atividade, uma imobiliária pode eventualmente tratar alguma dessas informações sensíveis, o que pede análise específica.
Saber por onde os dados passam é o primeiro passo. O seguinte é entender por que a empresa pode usá-los em cada etapa.
Sua imobiliária precisa pedir consentimento para tudo?
Não. O consentimento é uma das bases legais previstas pela LGPD, mas não é a única.
A lei também prevê hipóteses como cumprimento de obrigação legal ou regulatória, execução de contrato ou procedimentos preliminares relacionados a ele, exercício regular de direitos, proteção do crédito e legítimo interesse, entre outras.
Pense em situações diferentes. Uma pessoa pede contato sobre um imóvel. Depois envia documentos para avançar na negociação. Mais tarde, há um contrato em execução. Em outro momento, a imobiliária pretende usar uma base antiga para uma campanha de marketing.
Embora todos esses casos envolvam dados pessoais, a finalidade e o contexto mudam. Por isso, a base legal adequada precisa ser definida a partir do tratamento realizado, e não escolhida apenas porque parece mais simples operacionalmente.
O legítimo interesse também exige cuidado. A ANPD orienta avaliar finalidade, necessidade, expectativa do titular e salvaguardas para os direitos das pessoas. Ele não funciona como uma autorização genérica para manter ou usar qualquer informação.
Na rotina, isso significa documentar o raciocínio por trás de cada tratamento relevante. Quando houver dúvida sobre a base aplicável, mudança de finalidade ou situação com maior risco, o ideal é consultar quem responde juridicamente pela adequação da empresa.
Como adequar a rotina da imobiliária à LGPD?
A adequação não termina quando o site ganha uma política de privacidade. É preciso olhar para o ciclo completo dos dados e verificar como as regras aparecem no trabalho diário.
Mapeie os dados e suas finalidades
Comece fazendo um inventário prático. Quais dados a imobiliária coleta? De quem? Por qual canal? Para quê? Onde eles ficam? Quem consegue acessar? Com quais empresas são compartilhados? Por quanto tempo permanecem armazenados?
O ponto é acompanhar as cópias que surgem ao longo do caminho. Um documento recebido pelo WhatsApp pode ser salvo no computador do corretor, enviado por e-mail, anexado ao sistema e copiado para uma pasta compartilhada.
Se o mapa considera apenas o CRM, uma parte importante da circulação fica invisível. Esse levantamento ajuda a identificar duplicidades, armazenamentos sem finalidade clara e acessos que podem ser revistos.
Um bom mapa também precisa registrar a origem de cada informação e a relação entre os sistemas. Se um lead chega por um portal, entra no CRM e depois recebe uma campanha por e-mail, a imobiliária deve conseguir reconstruir esse caminho sem depender da memória de quem fez o atendimento.
O mesmo vale para documentos enviados a parceiros: registre por que foram compartilhados, qual etapa exigiu esse envio e onde permanecem depois. Esse cuidado ajuda a responder pedidos de titulares e também a revisar processos quando uma ferramenta, fornecedor ou rotina muda.
Na prática, o inventário não precisa nascer perfeito. Comece pelas áreas que concentram mais dados ou informações de maior impacto, como atendimento, locação, contratos e financeiro. Depois amplie o levantamento para outros fluxos. O importante é transformar o mapeamento em um documento vivo, que acompanhe novas integrações, campanhas, formulários e parceiros em vez de ficar esquecido depois da primeira adequação.
Revise os pontos de coleta e a transparência
Depois, observe onde os dados entram: formulários do site, landing pages, portais, WhatsApp, campanhas, atendimentos presenciais e aplicativos.
O titular deve receber informações claras sobre o tratamento de seus dados, incluindo finalidade, identificação do controlador, compartilhamentos e formas de exercer seus direitos. A própria LGPD prevê esse dever de informação ao titular.
Isso não significa colocar uma caixa de consentimento em todos os lugares. A transparência precisa acompanhar o tratamento realizado e a base legal usada. Se a finalidade muda, o fluxo também merece nova análise.
Defina acesso, compartilhamento e retenção
Pergunte quem realmente precisa visualizar cada informação. Um corretor precisa ter acesso irrestrito a todos os documentos financeiros de um locatário? Um colaborador desligado ainda mantém credenciais ativas? Arquivos antigos continuam em computadores pessoais porque ninguém definiu quando apagá-los?
O mesmo cuidado vale para parceiros. Seguradoras, correspondentes, empresas de vistoria, plataformas e outros fornecedores podem receber dados para executar determinadas atividades. Esse compartilhamento precisa ser conhecido, documentado e coerente com a finalidade do tratamento.
A retenção também merece regras. Guardar tudo indefinidamente “por segurança” pode criar o efeito contrário: mais informação acumulada significa mais dados que precisam de proteção e justificativa. A LGPD prevê hipóteses para o término do tratamento e também situações em que a conservação pode continuar após esse momento.
Crie procedimentos que a equipe consiga seguir
Uma política bem escrita ajuda pouco se o processo real continua acontecendo fora dela.
Defina regras simples para envio de documentos, uso de dispositivos pessoais, senhas, credenciais, compartilhamentos, pedidos de titulares, desligamento de usuários e resposta a incidentes. Depois, treine a equipe com exemplos próximos da rotina.
Em vez de falar apenas “proteja os dados”, explique situações concretas: onde salvar um documento recebido pelo WhatsApp, quem pode encaminhá-lo, quando apagar uma cópia local e a quem comunicar um envio feito para o destinatário errado.
Quanto mais claro o procedimento, menor a chance de cada profissional improvisar sua própria regra.
Controlador, operador e encarregado: quem faz o quê?
Esses nomes aparecem bastante quando se fala em LGPD, mas o importante é entender a função de cada um.
O controlador é quem toma as principais decisões sobre a finalidade e os elementos essenciais do tratamento. O operador trata dados pessoais em nome do controlador e conforme suas instruções.
A ANPD ressalta que essa qualificação depende da atuação concreta de cada organização, e não apenas do nome escrito no contrato. Em uma operação imobiliária, portanto, imobiliária, fornecedor de sistema, empresa de vistoria ou outro parceiro podem assumir papéis diferentes conforme o tratamento realizado.
O encarregado atua como canal de comunicação relacionado à proteção de dados entre titulares, agente de tratamento e ANPD, além de exercer atribuições definidas na LGPD e na regulamentação da Autoridade. A propósito, atuação dessa função foi regulamentada pela Resolução CD/ANPD nº 18/2024.
Há uma particularidade importante para agentes de tratamento de pequeno porte. A Resolução CD/ANPD nº 2/2022 prevê que eles não são obrigados a indicar encarregado quando se enquadram nas condições do regulamento. Nesse caso, precisam disponibilizar um canal de comunicação com o titular.
Essas funções devem ser analisadas conforme cada operação e relação contratual, evitando assumir automaticamente que determinado fornecedor será sempre operador ou que toda imobiliária terá exatamente a mesma estrutura.
E quando o cliente pede seus dados ou ocorre um incidente?
A proteção não termina depois que a informação entra na empresa. A imobiliária também precisa conseguir responder a solicitações e agir quando algo sai do esperado.
Direitos do titular
A LGPD prevê direitos como confirmação da existência de tratamento, acesso aos dados e correção de informações incompletas, inexatas ou desatualizadas.
Em determinadas condições, também podem existir pedidos de anonimização, bloqueio ou eliminação. Quando o tratamento se baseia em consentimento, a lei ainda prevê a possibilidade de revogá-lo e, ressalvadas as exceções legais, solicitar a eliminação dos dados tratados dessa forma.
Agora traga isso para a operação: se uma pessoa atendida há dois anos perguntar quais dados sua imobiliária possui sobre ela, você consegue localizar as informações sem procurar em vários computadores, contas de e-mail e conversas?
Esse é um dos motivos para o mapeamento ser tão importante. Atender um direito do titular fica muito mais difícil quando ninguém sabe onde as cópias estão.
Incidentes com dados pessoais
Um incidente pode envolver perda de arquivo, acesso indevido, comprometimento de conta ou envio de informação para a pessoa errada. Mas isso não significa que qualquer ocorrência deva automaticamente ser comunicada à ANPD e aos titulares.
Pela regulamentação vigente, o controlador deve fazer a comunicação quando o incidente puder acarretar risco ou dano relevante aos titulares. Nesses casos, o prazo é de três dias úteis, salvo quando existir prazo específico em outra legislação.
Por isso, a empresa precisa ter um procedimento para identificar o ocorrido, conter o problema, registrar informações e avaliar rapidamente impacto, dados envolvidos e pessoas afetadas. Improvisar somente depois do incidente torna essa análise muito mais difícil.
A tecnologia ajuda na LGPD, mas não substitui os processos
Centralizar informações pode facilitar localização de dados, controle de permissões, atualização de cadastros e rastreabilidade. Ainda assim, nenhum sistema torna uma empresa automaticamente adequada à LGPD.
No Imoview, oferecemos recursos que ajudam justamente em alguns dos controles operacionais discutidos aqui. O CRM permite criar perfis com diferentes níveis de permissão e acompanhar acessos e alterações por meio do histórico de auditoria.
Na prática, isso ajuda sua imobiliária a limitar quem pode acessar determinadas funções e a reconstruir ações realizadas no sistema quando precisa entender o que aconteceu.
Esse tipo de recurso trabalha junto com outras medidas. A empresa ainda precisa definir finalidade, base legal, retenção, regras de compartilhamento, treinamento e procedimentos para direitos dos titulares e incidentes.
Lembre-se de que a tecnologia organiza e registra, mas a adequação depende de como pessoas, processos, regras e sistemas funcionam em conjunto.
LGPD precisa fazer parte da rotina, não apenas dos documentos
A LGPD no mercado imobiliário aparece toda vez que uma informação entra, circula, é consultada, compartilhada, armazenada ou deixa de ser necessária.
Sua imobiliária pode ter política de privacidade e contratos revisados e, ainda assim, manter arquivos dispersos, acessos amplos demais ou bases sem finalidade clara. Por isso, o trabalho precisa continuar na rotina: mapear dados, revisar permissões, treinar a equipe e acompanhar mudanças nos processos e nas regras aplicáveis.
Siga a Universal Software no LinkedIn e no YouTube para acompanhar mais conteúdos sobre gestão, tecnologia e segurança de dados e levar essas discussões para as decisões do dia a dia da sua imobiliária.
