LGPD no mercado imobiliário: clientes, proprietários e inquilinos

Um setor que lida com muitos dados pessoais

Poucos negócios concentram tantos dados pessoais quanto uma imobiliária, uma administradora de locações ou uma incorporadora. Em uma única negociação circulam documentos de identidade, comprovantes de renda e residência, certidões, dados bancários, informações de cônjuges e fiadores, além de conversas por WhatsApp e e-mail. A Lei Geral de Proteção de Dados Pessoais, a Lei 13.709/2018, estabelece regras para coletar, usar, compartilhar, armazenar e eliminar esses dados, e a Autoridade Nacional de Proteção de Dados é o órgão responsável por fiscalizar sua aplicação.

Este texto tem caráter informativo e não substitui parecer jurídico. Cada empresa deve contar com orientação de profissionais do Direito para definir suas políticas. Nosso papel, como escritório de engenharia de software, é traduzir essas definições em sistemas: modelar dados, permissões, registros e fluxos de forma que as regras adotadas pela empresa sejam aplicadas no dia a dia, e não fiquem apenas em um documento arquivado. A seguir, reunimos os pontos que mais aparecem nos projetos do setor, sempre do ponto de vista de quem projeta e opera sistemas.

Bases legais: por que cada dado é tratado

A LGPD exige que todo tratamento de dados pessoais esteja apoiado em uma base legal. O consentimento é apenas uma delas, e nem sempre a mais adequada, porque pode ser revogado a qualquer momento pelo titular. No mercado imobiliário, muitos tratamentos se apoiam na execução de contrato ou de procedimentos preliminares a pedido do titular, como a análise de uma proposta de compra ou de uma ficha cadastral de locação. Outros decorrem do cumprimento de obrigação legal ou regulatória, como as exigências de identificação de clientes previstas nas normas de prevenção à lavagem de dinheiro aplicáveis ao setor.

Há também a proteção do crédito, relevante na análise de inquilinos e fiadores, o exercício regular de direitos em processos judiciais ou administrativos e o legítimo interesse, que exige avaliação cuidadosa do equilíbrio entre o interesse da empresa e as expectativas do titular. Definir a base legal de cada finalidade é uma decisão jurídica, mas o sistema precisa registrá-la: saber por que um dado foi coletado é o que permite decidir por quanto tempo ele pode ser mantido e com quem pode ser compartilhado.

Clientes, proprietários e inquilinos: finalidades diferentes

Cada perfil de titular tem uma relação distinta com a empresa. O interessado que preencheu um formulário em um portal forneceu dados para ser atendido sobre um imóvel específico; o proprietário que autorizou a venda ou a administração da locação mantém uma relação contratual contínua; o inquilino e seus fiadores entregaram documentos para análise cadastral e assinatura do contrato regido pela Lei 8.245/1991. Tratar todos esses dados da mesma forma, em uma única base sem distinção de finalidade nem de perfil de acesso, dificulta respeitar os limites de uso de cada um.

Na prática, isso significa separar o que é necessário para cada etapa e evitar coletar dados em excesso. Uma ficha de locação não precisa ser acessível a toda a equipe comercial; o comprovante de renda de um comprador não deve circular por grupos de mensagens; os documentos de um candidato a inquilino que não fechou contrato não precisam permanecer indefinidamente na base. A minimização, um dos princípios da lei, é também uma forma de reduzir a exposição da empresa em caso de incidente.

Retenção e eliminação de dados e documentos

Uma das perguntas mais frequentes é por quanto tempo os dados podem ser guardados. A LGPD prevê que, ao fim do tratamento, os dados sejam eliminados, mas autoriza a conservação em hipóteses como o cumprimento de obrigação legal ou regulatória e o exercício regular de direitos. Contratos, comprovantes de pagamento, registros exigidos pela regulação do setor e documentos que podem ser necessários em eventual disputa judicial têm prazos próprios, que devem ser definidos com a assessoria jurídica e contábil da empresa.

O sistema precisa transformar essa política em regras aplicáveis. Isso inclui classificar documentos por tipo e finalidade, registrar a data a partir da qual o prazo de guarda é contado, sinalizar o que pode ser eliminado ou anonimizado e manter registro de quando e por quem a eliminação foi feita. Sem esse controle, a tendência natural é acumular tudo indefinidamente, em servidores, e-mails e pastas compartilhadas, o que aumenta o risco sem trazer benefício para a operação. A eliminação programada também reduz custos de armazenamento e simplifica cópias de segurança.

Consentimento e marketing

O uso de dados para comunicações de marketing merece atenção especial. Enviar ofertas de imóveis, novidades de lançamentos ou campanhas de captação para uma base de contatos exige base legal adequada, transparência sobre a finalidade e um meio simples de o titular se opor ou revogar o consentimento. Listas compradas ou contatos obtidos sem relação com a empresa representam risco jurídico e reputacional. No WhatsApp, além da legislação, as políticas da plataforma exigem que o destinatário tenha aceitado receber mensagens da empresa.

Do ponto de vista técnico, recomendamos registrar o consentimento com data, canal, texto apresentado ao titular e finalidade aceita, e não apenas uma caixa marcada sem contexto. O CRM e as ferramentas de automação devem consultar essa informação antes de cada envio e respeitar descadastramentos imediatamente. Quando conversões são enviadas a plataformas de anúncios ou públicos personalizados são criados, é preciso verificar se essa finalidade está coberta pela base legal escolhida e informada na política de privacidade. Essa verificação deve acontecer antes da integração ser ativada, não depois.

Direitos dos titulares, segurança e incidentes

Os titulares têm direitos previstos na lei, como confirmação da existência de tratamento, acesso aos dados, correção, eliminação de dados tratados com consentimento, informação sobre compartilhamentos e portabilidade. A empresa deve indicar um encarregado pelo tratamento de dados e ter um processo para receber e responder a essas solicitações. Quando os dados estão espalhados por vários sistemas e planilhas, localizar tudo o que se refere a uma pessoa é demorado e sujeito a falhas; uma arquitetura de dados organizada torna essa resposta viável.

A segurança completa o quadro: controle de acesso por perfil, autenticação forte, criptografia de dados em trânsito e em repouso, registros de acesso, cópias de segurança e cuidado com o compartilhamento de documentos com parceiros, cartórios e instituições financeiras. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a lei prevê comunicação à ANPD e aos afetados. Ter registros confiáveis sobre o que aconteceu, quais dados foram afetados e quais medidas foram tomadas é decisivo nesse momento. Por isso, recomendamos que o plano de resposta seja definido e testado antes de qualquer ocorrência.

• Permissões por perfil e registro de acessos
• Criptografia e autenticação forte
• Fluxo para solicitações de titulares
• Plano de resposta a incidentes