RGPD para inmobiliarias: compradores y visitas

RGPD en una inmobiliaria: panorama 2026

El RGPD para una inmobiliaria es el conjunto de obligaciones del Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 (LOPDGDD), la Ley 34/2002 (LSSI-CE) y la Ley 10/2010 de prevención del blanqueo de capitales que regulan cómo una agencia inmobiliaria capta, conserva, trata, cede y suprime los datos personales de propietarios, compradores, inquilinos, visitantes a inmuebles, empleados y proveedores. Una inmobiliaria media en España gestiona simultáneamente datos identificativos, económicos, financieros y de solvencia de cientos de personas físicas distintas, en un sector en el que la propia agencia es además sujeto obligado del régimen de prevención del blanqueo cuando interviene en transacciones de compraventa o arrendamiento de inmuebles.

La Agencia Española de Protección de Datos (AEPD) ha publicado guías sectoriales y resoluciones específicas sobre el sector inmobiliario en los últimos años, y la concentración de denuncias se sitúa en cinco focos: portales de anuncios que reciben datos sin contrato de encargo del Art. 28 RGPD, hojas de visita firmadas sin información del Art. 13 RGPD, marketing por WhatsApp a leads antiguos sin consentimiento, consulta a ASNEF de inquilinos sin la base jurídica del Art. 38 LOPDGDD y conservación indefinida de copias de DNI más allá del plazo legal. Cardeseo cierra los seis frentes documentales y técnicos en un único pack anual desde 349 €/año IVA no incluido, con SLA de 24 horas ante requerimiento de la AEPD. La adecuación se construye sobre dos bases jurídicas principales: el contrato de exclusiva o intermediación con el propietario (Art. 6.1.b RGPD) y la obligación legal de identificación del cliente del Art. 7 de la Ley 10/2010 (Art. 6.1.c RGPD). El resto del documento desgrana cada bloque por orden de criticidad operativa.

Datos del propietario y contrato de intermediación

El primer flujo de datos personales que entra en una inmobiliaria procede del propietario que confía la venta o el alquiler del inmueble. El contrato de intermediación, en exclusiva o sin exclusividad, es el instrumento jurídico que habilita el tratamiento de los datos del propietario y de los datos del inmueble que permiten identificarlo de forma indirecta (dirección postal, fotografía de fachada, planos, escritura). La base jurídica del Art. 6.1.b RGPD (ejecución de un contrato en el que el interesado es parte) ampara el tratamiento durante toda la vigencia del encargo y los plazos de conservación posteriores que imponen otras normas (cuatro años fiscales por el Art. 66 de la Ley 58/2003 General Tributaria, cinco años civiles por el Art. 1964 del Código Civil, diez años por la Ley 10/2010 cuando hay obligación de blanqueo).

El contrato de intermediación debe contener una cláusula informativa del Art. 13 RGPD donde se identifique al responsable del tratamiento (la inmobiliaria, con CIF y domicilio), las finalidades (intermediación, marketing del inmueble en portales, contacto con compradores y arrendatarios potenciales), las bases jurídicas, las cesiones previstas (portales inmobiliarios, notaría, banco, tasador), los plazos de conservación y los derechos del titular (Arts. 15-22 RGPD). La cláusula de marketing posterior (newsletter, ofertas cruzadas) es tratamiento adicional que requiere consentimiento separado del Art. 6.1.a RGPD y, en canales electrónicos, del Art. 21 LSSI-CE. La fotografía de la fachada con número de portal o el plano con la distribución exacta del inmueble permiten identificar al titular catastral, por lo que su uso en portales debe limitarse a lo necesario para la comercialización y retirarse al finalizar el encargo. Cardeseo entrega el modelo de contrato de intermediación con anexo informativo del Art. 13 RGPD y casillas separadas para los consentimientos adicionales.

Datos del comprador/inquilino y obligación de blanqueo (Ley 10/2010)

Cuando una persona física se interesa por un inmueble en venta o alquiler, la inmobiliaria recoge datos identificativos (nombre, NIF, teléfono, email), datos económicos (ingresos, situación laboral, capacidad financiera) y, en el caso de la venta con financiación, datos bancarios para la nota de tasación. La base jurídica del tratamiento durante la fase precontractual es el Art. 6.1.b RGPD (medidas precontractuales a petición del interesado), y a partir del momento en que la operación pasa a fase de oferta firme entra en juego la obligación legal de la Ley 10/2010 de Prevención del Blanqueo de Capitales y la Financiación del Terrorismo.

La Ley 10/2010, en su Art. 2.q, califica a los agentes inmobiliarios que intervienen en operaciones de compraventa o arrendamiento de bienes inmuebles como sujetos obligados del régimen de prevención del blanqueo. La condición de sujeto obligado activa cuatro deberes principales:

• Identificación formal del cliente mediante documento fehaciente (DNI, NIE, pasaporte) antes del establecimiento de relación de negocio (Art. 4 Ley 10/2010).
• Identificación del titular real cuando el cliente es persona jurídica o actúa por cuenta ajena (Art. 4.2 Ley 10/2010).
• Conservación de la documentación durante diez años desde la finalización de la relación de negocio (Art. 25 Ley 10/2010).
• Comunicación al SEPBLAC de operaciones sospechosas (Arts. 17-18 Ley 10/2010).

La base jurídica del tratamiento es la obligación legal del Art. 6.1.c RGPD, y el conflicto aparente entre la conservación decenal del blanqueo y el principio de limitación del plazo de conservación del Art. 5.1.e RGPD se resuelve por la primacía de la obligación legal. La copia del DNI del comprador o inquilino se custodia con medidas técnicas reforzadas del Art. 32 RGPD: cifrado en reposo, control de accesos por rol, registro de auditoría y borrado seguro al cumplir el plazo. La AEPD inspecciona especialmente las inmobiliarias que conservan copias de DNI escaneadas en carpetas compartidas sin cifrar o que olvidan suprimir la documentación tras los diez años. Cardeseo audita el sistema de archivo del despacho, fija la política de retención decenal compatible con el Art. 5.1.e RGPD y entrega el procedimiento documentado de borrado al cumplir el plazo.

Visitas al inmueble: hoja de visita y videovigilancia

La visita física al inmueble es el momento operativo donde más datos personales se manejan en un único acto: el agente inmobiliario recoge los datos identificativos y de contacto del visitante en la hoja de visita, mientras el inmueble puede tener instaladas cámaras de videovigilancia del propietario que graban a quien entra. Las dos vertientes tienen reglas distintas.

La hoja de visita es un documento contractual cuya base jurídica es el Art. 6.1.b RGPD (medidas precontractuales). Debe contener cláusula informativa del Art. 13 RGPD donde se identifique a la inmobiliaria como responsable, la finalidad (gestión de la visita, contacto posterior si hay interés), la base jurídica, las cesiones previstas (eventualmente al propietario si hay oferta) y los derechos del titular. La firma de la hoja no es consentimiento de marketing: el envío posterior de inmuebles similares por WhatsApp o email exige consentimiento separado del Art. 6.1.a RGPD y del Art. 21 LSSI-CE.

Las cámaras de videovigilancia instaladas por el propietario y conectadas durante la visita merecen tratamiento aparte. La Guía AEPD de Videovigilancia 2024 prohíbe por defecto la grabación del visitante sin información previa adecuada. El propietario que mantiene cámaras activas durante la visita debe informar al visitante antes de su entrada mediante cartel homologado AEPD visible desde el exterior, identificando al responsable del sistema de videovigilancia y los derechos del titular. La inmobiliaria, como organizadora de la visita, debe documentar en el contrato de intermediación con el propietario la existencia o no de cámaras y trasladar la información al visitante. Cuando el visitante solicita expresamente la desconexión, el agente inmobiliario presente debe garantizar la desactivación durante la visita o cancelarla. La grabación del agente inmobiliario en su jornada laboral por cámaras del propietario es además materia laboral sujeta al Art. 89 LOPDGDD (cartel informativo previo a los empleados) y al Estatuto de los Trabajadores. Cardeseo entrega protocolo de visita con cláusula informativa para visitantes y cláusula contractual para el propietario sobre videovigilancia.

Portales inmobiliarios (Idealista, Fotocasa, Habitaclia)

La publicación del inmueble en portales especializados (Idealista, Fotocasa, Habitaclia, Pisos.com, Yaencontre) implica una cesión de datos a un tercero que tratará información identificativa del propietario indirectamente (dirección, fotografías) y datos de contacto del agente inmobiliario, y que a su vez captará los datos de los leads interesados que rellenen el formulario del portal. La relación jurídica entre inmobiliaria y portal puede articularse de dos maneras distintas en función de quién determina los fines y los medios del tratamiento.

En la práctica, los grandes portales operan como corresponsables o como responsables independientes según el producto contratado, y publican sus términos en política de privacidad. La inmobiliaria debe leer el clausulado de cada portal, comprobar el rol declarado y dejar constancia en su Registro de Actividades del Tratamiento (Art. 30 RGPD) de las cesiones efectuadas y de la base jurídica concreta. Si el portal actúa como encargado, el contrato del Art. 28 RGPD debe contener las cláusulas obligatorias del Art. 28.3 letras a-h, y la inmobiliaria conserva la condición de responsable principal. Si actúa como corresponsable, el acuerdo del Art. 26 RGPD debe distribuir las responsabilidades de cara al titular. Si actúa como responsable independiente, debe existir base jurídica para la cesión (consentimiento del lead o interés legítimo motivado). Cardeseo audita los contratos con los portales utilizados por la inmobiliaria y documenta los flujos de datos en el RAT.

Cartel "Se vende" y derecho a la intimidad

El cartel de "Se vende" o "Se alquila" colocado en la fachada del inmueble es un acto de comercialización que, aunque no contenga el nombre del propietario, lo identifica de forma indirecta: la dirección postal del inmueble es un dato personal cuando se asocia a una persona física titular del derecho de propiedad. La AEPD ha resuelto reiteradamente que la dirección postal asociada a una persona física es dato personal en el sentido del Art. 4.1 RGPD.

La base jurídica de la colocación del cartel es el Art. 6.1.b RGPD (ejecución del contrato de intermediación con el propietario), siempre que el contrato contemple expresamente la autorización del propietario para esta forma de comercialización. La cláusula de comercialización debe incluirse en el contrato de intermediación y debe permitir al propietario revocarla en cualquier momento. La cláusula informativa del Art. 13 RGPD que firma el propietario debe identificar esta finalidad concreta. Cuando el propietario es un copropietario en régimen de comunidad, la colocación del cartel debe contar con el consentimiento de todos los comuneros conforme al Art. 397 del Código Civil. La fotografía del cartel con número de portal publicada en redes sociales de la inmobiliaria es tratamiento adicional sujeto a la misma base jurídica del contrato.

ASNEF, RAI y consulta de morosidad

Cuando una inmobiliaria gestiona el alquiler de un inmueble, la solvencia del candidato a inquilino es un dato económicamente relevante que los propietarios suelen exigir verificar. La consulta a ficheros de morosidad como ASNEF (Asociación Nacional de Establecimientos Financieros de Crédito), RAI (Registro de Aceptaciones Impagadas) o equivalentes está expresamente regulada por el Art. 38 LOPDGDD y solo es lícita cuando concurren las condiciones del precepto.

El Art. 38.1 LOPDGDD prevé como lícito el tratamiento de datos relativos al incumplimiento de obligaciones dinerarias en sistemas comunes de información crediticia siempre que se cumplan determinados requisitos sobre la deuda (cuantía, vencimiento, requerimiento previo). El Art. 38.2 LOPDGDD permite la consulta del fichero por el responsable del tratamiento cuando existe una relación contractual previa con el interesado o cuando se vaya a establecer una relación contractual que implique el pago aplazado del precio. El arrendamiento de vivienda con pago mensual encaja en el segundo supuesto, pero la consulta solo es lícita con consentimiento expreso del candidato a inquilino, recogido por escrito antes de la consulta y revocable. La consulta sin consentimiento es infracción tipificada en el Art. 73.r LOPDGDD.

El procedimiento operativo correcto exige cláusula específica en el formulario de candidatura del inquilino donde se le informa de la consulta a ficheros de morosidad y se le pide consentimiento expreso, con casilla independiente del resto de tratamientos. La negativa del candidato no puede ser causa única de rechazo automático, pero sí información relevante para la decisión del propietario. La nómina, la declaración de IRPF o el contrato de trabajo aportados voluntariamente por el candidato para acreditar solvencia son datos económicos del Art. 6.1.b RGPD y deben suprimirse al finalizar el proceso de selección de inquilino, conservando únicamente la documentación del inquilino seleccionado por el plazo del contrato más cuatro años fiscales. Cardeseo entrega el formulario de candidatura con cláusula de ASNEF separada y el procedimiento documentado de supresión de candidatos no seleccionados.

Marketing por WhatsApp y email

El marketing inmobiliario por canales electrónicos está sometido a la doble regulación del Art. 6.1.a RGPD (base jurídica del consentimiento) y del Art. 21 LSSI-CE (comunicaciones comerciales electrónicas). El Art. 21.1 LSSI-CE prohíbe el envío de comunicaciones comerciales por correo electrónico u otros medios de comunicación electrónica equivalentes (WhatsApp incluido) que previamente no hubieran sido solicitadas o expresamente autorizadas por sus destinatarios.

El Art. 21.2 LSSI-CE establece una excepción para clientes ya existentes: cuando exista una relación contractual previa, el envío de comunicaciones sobre productos o servicios similares a los contratados es lícito sin consentimiento adicional, siempre que se ofrezca al destinatario la posibilidad de oponerse en cada envío y al recabar los datos. La excepción tiene tres condiciones acumulativas: relación contractual previa real, similitud objetiva del producto promocionado y mecanismo de oposición permanente. En el sector inmobiliario, un comprador o inquilino con contrato formalizado puede recibir comunicaciones sobre operaciones similares al amparo del Art. 21.2 LSSI-CE; un mero candidato que rellenó un formulario sin contrato firmado no genera relación contractual y exige consentimiento expreso del Art. 21.1 LSSI-CE.

Las consecuencias del envío sin consentimiento se sancionan en el Art. 38 LSSI-CE como infracción leve (3.000-30.000 €) o grave (30.001-150.000 €) según la masividad. La AEPD, en aplicación de su criterio de proporcionalidad para pymes, mueve el rango orientativo entre 5.000 y 100.000 €. Cardeseo configura el flujo de doble opt-in con confirmación por email o WhatsApp para los nuevos leads y entrega plantillas de cláusulas separadas para consentimiento de marketing en el formulario de captación.

Cesión de leads entre inmobiliarias

La práctica habitual de derivar leads entre inmobiliarias colaboradoras, redes MLS (Multiple Listing Service) o grupos de franquicia constituye una cesión de datos personales a un tercero en el sentido del Art. 4.10 RGPD. La cesión exige base jurídica propia del Art. 6 RGPD y, salvo supuesto excepcional de interés legítimo prevalente debidamente documentado, la base más segura es el consentimiento expreso del titular en el momento de la captación del lead.

La cláusula informativa del Art. 13 RGPD del formulario de captación del lead debe identificar nominalmente a las inmobiliarias colaboradoras o, cuando el listado es amplio y cambiante, hacer referencia a la red MLS o al grupo de franquicia con remisión a la página web donde figura el listado actualizado. La AEPD ha sancionado en varias resoluciones la cesión de leads a redes de colaboración sin información previa adecuada al titular. El acuerdo de colaboración entre inmobiliarias debe contemplar las obligaciones de cada parte como responsable independiente del tratamiento (no como encargado, salvo que efectivamente una actúe por cuenta de la otra), incluyendo el deber de información al titular en cada paso de la cadena. Cardeseo audita los acuerdos MLS de la inmobiliaria, dimensiona la cláusula del Art. 13 RGPD a la red real de colaboración y documenta el flujo en el RAT.

Empleados (agentes inmobiliarios) y registro de jornada

Los empleados de la inmobiliaria, ya sean agentes en plantilla con contrato laboral o colaboradores autónomos vinculados por contrato mercantil, son interesados del tratamiento cuyos datos personales se manejan con base en el Art. 6.1.b RGPD (ejecución del contrato laboral o mercantil) y el Estatuto de los Trabajadores. El registro de jornada del Art. 34.9 ET, introducido por el Real Decreto-ley 8/2019, es de aplicación obligatoria a todos los trabajadores por cuenta ajena con independencia de la modalidad contractual y de la duración de la jornada.

El Art. 34.9 ET obliga a la empresa a garantizar el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora. La conservación del registro durante cuatro años se ampara en el Art. 21.5 del texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social (LISOS), aprobado por Real Decreto Legislativo 5/2000, que regula los plazos a efectos de comprobación por la Inspección de Trabajo y Seguridad Social. El plazo de prescripción de las infracciones laborales es de tres años conforme al Art. 4.1 LISOS. La inexistencia o defecto sustancial del registro de jornada se tipifica conforme al criterio técnico canónico CT 101/2019 de la Inspección de Trabajo y Seguridad Social. La sanción aplicable es la del Art. 7.5 LISOS (infracción grave en materia de relaciones laborales) con rango económico determinado por el Art. 40 LISOS.

El control horario por sistemas biométricos (huella, reconocimiento facial) en la inmobiliaria está sometido a las Directrices AEPD de 2023 sobre tratamiento biométrico, que exigen base jurídica clara y alternativa proporcional cuando se utiliza para fichaje laboral. La videovigilancia del personal de la inmobiliaria exige cumplimiento del Art. 89 LOPDGDD: información previa expresa, clara y concisa a los trabajadores y, en su caso, a sus representantes. Cardeseo entrega manual de personal con anexos sobre registro de jornada, videovigilancia, uso de dispositivos digitales y desconexión digital, junto con los modelos de información del Art. 89 LOPDGDD.

Sanciones AEPD orientativas para inmobiliarias

El régimen sancionador del RGPD (Arts. 83-84) y de la LOPDGDD (Arts. 70-78) establece dos tramos teóricos de multa administrativa: hasta 10.000.000 € o 2% del volumen de negocio anual mundial (lo que sea mayor) para infracciones del tipo del Art. 83.4 RGPD, y hasta 20.000.000 € o 4% para las del Art. 83.5 RGPD. Para inmobiliarias pyme el rango orientativo aplicado por la AEPD se mueve entre 5.000 € y 100.000 € en función de los factores agravantes y atenuantes del Art. 83.2 RGPD y del Art. 76 LOPDGDD.

Los supuestos sancionadores más frecuentes en el sector son:

• Conservación de copias de DNI más allá del plazo decenal de la Ley 10/2010 sin justificación: tipificación del Art. 83.5.a RGPD.
• Consulta a ASNEF de candidatos a inquilinos sin consentimiento expreso del Art. 38 LOPDGDD: tipificación del Art. 73.r LOPDGDD.
• Envío masivo de comunicaciones comerciales por WhatsApp o email sin consentimiento del Art. 21 LSSI-CE: tipificación del Art. 38 LSSI-CE.
• Cesión de leads a inmobiliarias colaboradoras sin información previa al titular: tipificación del Art. 83.5.a RGPD.
• Ausencia de contrato de encargo del Art. 28 RGPD con tasador externo o software de gestión: tipificación del Art. 83.4.a RGPD.
• Falta de cláusula informativa del Art. 13 RGPD en la hoja de visita o en el formulario de captación: tipificación del Art. 83.5.b RGPD.

En infracciones de menor gravedad documental, la AEPD puede optar por advertencia conforme al Art. 58.2.b RGPD en combinación con el Art. 83.2 RGPD y el Art. 76 LOPDGDD, en lugar de multa, especialmente cuando hay buena fe acreditada y colaboración con la inspección. La Audiencia Nacional y el Tribunal Supremo valoran positivamente la existencia de un programa documental de cumplimiento previo a la inspección como factor atenuante material. Las resoluciones AEPD publicadas en el sector inmobiliario muestran un patrón coherente: cuando el responsable acredita pack documental firmado, RAT actualizado y procedimientos de respuesta a derechos del titular, la sanción se modera significativamente y en ocasiones se sustituye por apercibimiento del Art. 58.2.b RGPD.

Cómo adecua Cardeseo una inmobiliaria

El servicio anual de Cardeseo para inmobiliarias parte de 349 €/año (IVA no incluido) para agencias de hasta 5 empleados y se adapta al número real de trabajadores, sociedades vinculadas, oficinas y volumen de operaciones blanqueo. El alcance del pack incluye:

• Pack documental completo de la inmobiliaria como responsable: política de privacidad web, aviso legal, política de cookies conforme a la Guía AEPD 2024, manual de personal y Registro de Actividades del Tratamiento (Art. 30 RGPD).
• Contrato de intermediación con anexo informativo del Art. 13 RGPD personalizable por propietario, con casillas separadas para comercialización del inmueble, fotografía de fachada, publicación en portales y marketing posterior.
• Hoja de visita con cláusula del Art. 13 RGPD y protocolo de videovigilancia compatible con la Guía AEPD 2024.
• Formulario de candidatura de inquilino con consulta a ASNEF separada del Art. 38 LOPDGDD y procedimiento documentado de supresión de candidatos no seleccionados.
• Contrato de encargo del Art. 28 RGPD modelo v1.1 personalizable para tasador externo, software de gestión, plataforma CRM, proveedor de email marketing y otros encargados.
• Procedimiento documentado de identificación del cliente del Art. 4 de la Ley 10/2010 con custodia decenal del DNI y borrado seguro al cumplir el plazo.
• Procedimiento de respuesta a derechos del titular (Arts. 15-22 RGPD) con quince plantillas validadas por jurista.
• Protocolo de notificación de brechas (Arts. 33-34 RGPD) con plazo de 72 horas y soporte de Cardeseo.
• Soporte AEPD continuo con SLA de respuesta de 24 horas en caso de inspección o requerimiento.
• Auditoría anual del RAT y de los contratos con portales y encargados.

Para inmobiliarias con alto volumen de operaciones (más de cincuenta operaciones de compraventa al año, redes MLS con más de diez agencias colaboradoras o cartera de inmuebles de lujo con clientes internacionales) procede valorar la designación de Delegado de Protección de Datos conforme al Art. 37 RGPD. Cardeseo evalúa este supuesto y, cuando proceda, ofrece la figura externa de DPD como servicio compatible con el pack anual.

Preguntas frecuentes

Próximos pasos

La adecuación RGPD de una inmobiliaria no es un proyecto puntual sino un sistema vivo que debe mantenerse cada vez que entra un inmueble nuevo en cartera, se incorpora un agente, se firma un acuerdo con un portal o cambia una norma sectorial. Cardeseo acompaña a la inmobiliaria durante todo el ciclo anual con soporte continuo y SLA de 24 horas ante inspección AEPD, requerimiento del SEPBLAC en materia de blanqueo o denuncia de un cliente.

Si quieres dar el siguiente paso, revisa el alcance del servicio en cumplimiento legal y la calculadora pública de tarifas sin formulario. Para arrancar la adecuación, dispones del onboarding RGPD con cuestionario sectorial específico de inmobiliarias. Las plantillas de respuesta a derechos del titular están incluidas en el pack y disponibles en versión editable. La pieza complementaria sobre administradores de fincas cierra el círculo cuando la inmobiliaria opera también como administradora de alquileres en gestión integral. Para inmobiliarias con volumen elevado o cartera internacional, valora la figura externa de Delegado de Protección de Datos que Cardeseo ofrece como servicio independiente compatible con el pack anual de 349 €/año.