RGPD nas agências imobiliárias: o que a lei exige

• Regulamento Geral sobre a Proteção de Dados (RGPD), Regulamento (UE) 2016/679, diretamente aplicável.
• Lei n.º 58/2019, que assegura a execução do RGPD em Portugal, designa a CNPD como autoridade de controlo e fixa coimas e regras nacionais, como a do prazo de conservação (art. 21.º).
• Lei n.º 41/2004, sobre comunicações eletrónicas, que regula o envio de marketing direto por email, SMS e chamadas automáticas (arts. 13.º-A e 13.º-B).
• Leis do setor que obrigam a tratar e guardar dados: Lei n.º 15/2013 (mediação) e Lei n.º 83/2017 (branqueamento de capitais).

O consentimento é apenas um dos fundamentos de licitude do artigo 6.º do RGPD. A CNPD sublinha que, numa relação contratual, o fundamento é em geral a execução do contrato e não o consentimento, e que o consentimento só é adequado para o que vai além do necessário, como a definição de perfis de clientes.

Quando o consentimento é a base certa, tem de ser livre, específico, informado e inequívoco, a agência tem de o conseguir provar e deve ser tão fácil de retirar como de dar (art. 7.º, n.º 3, do RGPD, citado pela CNPD). Não se pode fazer depender um serviço do consentimento para tratamentos que não são necessários a esse serviço.

O artigo 21.º da Lei n.º 58/2019 manda conservar os dados pelo prazo fixado em norma legal ou regulamentar ou, na falta desta, pelo necessário à finalidade. Quando cessa a finalidade, os dados são destruídos ou anonimizados. Enquanto houver um prazo legal de conservação, o direito ao apagamento só pode ser exercido depois de esse prazo terminar.

1. Acesso: saber se os dados são tratados, para quê, de onde vieram, a quem são comunicados e por quanto tempo serão guardados (art. 15.º do RGPD).
2. Retificação de dados inexatos.
3. Apagamento, por exemplo quando os dados já não são necessários e nenhuma lei impõe a sua conservação, ou quando o consentimento foi retirado (art. 17.º do RGPD).
4. Oposição: a qualquer momento e sem justificação ao tratamento para marketing direto, incluindo perfis; nos tratamentos baseados em interesses legítimos, por motivos relacionados com a situação particular (art. 21.º do RGPD).
5. Limitação e portabilidade, nos casos previstos.

Prazo: a CNPD indica que o titular se pode queixar se não obtiver resposta do responsável no prazo legal de 30 dias. Cobrar pela resposta fora dos casos permitidos, não informar a finalidade ou dificultar o exercício destes direitos são contraordenações muito graves (art. 37.º da Lei n.º 58/2019).

Informação a dar: no momento da recolha, informe a identidade da agência, finalidades, destinatários, prazos e direitos (arts. 13.º e 14.º do RGPD). Aos novos clientes, a Lei n.º 83/2017 exige ainda um aviso geral sobre o tratamento de dados para prevenção do branqueamento (art. 59.º, n.º 2).

• Email e SMS a particulares: exigem consentimento prévio e expresso. Exceção: a quem já foi cliente e deu o contacto na venda de um serviço, a agência pode enviar marketing dos seus próprios serviços análogos, desde que permita recusar de forma gratuita e fácil no momento da recolha e em cada mensagem (art. 13.º-A da Lei n.º 41/2004). A agência deve manter a lista de quem consentiu.
• Empresas: podem receber comunicações até recusarem e se inscreverem na lista da Direção-Geral do Consumidor, que a agência tem de consultar (arts. 13.º-A e 13.º-B).
• Registo das atividades de tratamento (art. 30.º do RGPD): a CNPD esclarece que a obrigação também abrange empresas com menos de 250 trabalhadores, sendo a exceção absolutamente excecional, e disponibiliza modelos.
• Violação de dados: notificar a CNPD em 72 horas após ter conhecimento, salvo se não houver risco para os titulares, e documentar todas as violações (art. 33.º do RGPD).
• Encarregado de proteção de dados: nas empresas, só é obrigatório se tratarem em larga escala dados sensíveis ou de condenações, ou se fizerem controlo regular e sistemático em larga escala; a CNPD não se pronuncia sobre casos concretos.
• Subcontratantes (software, fotógrafos, portais): a CNPD recomenda mecanismos de controlo eficazes sobre a sua atuação; a violação das obrigações do artigo 28.º do RGPD é contraordenação grave (art. 38.º da Lei n.º 58/2019).

Um software de gestão como o Imobigest guarda contactos, imóveis, documentos e o histórico de negócios num só lugar, o que facilita responder a pedidos de acesso e aplicar os prazos de conservação.

Aplica-se o valor mais elevado. Exceto em caso de dolo, a CNPD adverte previamente o infrator para cumprir em prazo razoável (art. 39.º, n.º 3).

Erros comuns: usar a cópia do cartão de cidadão recolhida para o branqueamento numa campanha comercial; enviar newsletters a todos os contactos sem consentimento; guardar fichas de interessados sem prazo; partilhar dados de proprietários com outras agências sem base legal; e não ter registo das atividades de tratamento.