Что должен знать риелтор о работе с персональными данными в 2025 году

В 2025 году в 60 раз выросли штрафы за некорректную работу с персональными данными: под новые санкции попадает каждый риелтор. Разбираем, как правильно обрабатывать персональные данными клиентов при подготовке к сделкам с недвижимостью.

Александра Матвеева Редактор Контур.Недвижимости

Что относится к персональным данным

Многие ошибочно считают, что к персональным данным относится только реквизиты удостоверяющих документов, например, номер и серия паспорта. Но на самом деле персональные данные (ПД) — это любые сведения о конкретном человеке: его имя, дата и место рождения, биографическая информация, семейное положение и, конечно, номер паспорта, ИНН, СНИЛС и других документов.

Поэтому, независимо от того, какие услуги оказывает риелтор, он неизбежно получает персональные данные клиента. А, значит, становится их оператором и должен выполнять требования 152-ФЗ «О персональных данных».

Работа с персональными данными в агентстве недвижимости

30 мая 2025 года вступили в силу поправки в ст. 13.11 КоАП РФ, которые повысили штрафы за неуведомление Роскомнадзора о работе с ПД. Подробнее о размере штрафов мы расскажем ниже. Сначала разберем, как правильно работать с персональными данными участников сделки.

Политика обработки персональных данных

У каждого оператора должны быть внутренние регламенты работы с персональными данными — политика обработки ПД или политика конфиденциальности. Отдельные правила нужны для работы с персональными данными разных категорий граждан, например, сотрудников и клиентов.

Что нужно указать в политике:

• Какие ПД вы можете использовать, например, ФИО, паспортные данные, СНИЛС и адрес прописки.
• Какие действия вы можете выполнять с ПД и какими способами будете их обрабатывать.
• Где и как вы будете хранить ПД.
• Кто в организации будет иметь доступ к ПД и кто получит право их обрабатывать.
• Кто будет отвечать за организацию обработки ПД.
• Как будет проводиться внутренний контроль за соблюдением правил.

Если в агентстве доступ к ПД имеют несколько сотрудников, их нужно обязательно ознакомить с правилами работы с такой информацией. Также в должностные инструкции можно внести пункт об обязательном соблюдении конфиденциальности.

Если вы планируете хранить персональные данные на бумажных носителях — нужно подготовить для этого закрывающийся опечатываемый сейф. А если на компьютере — обеспечить техническую защиту данных в соответствии с требованиями законодательства.

Политика обработки ПД должна быть общедоступной. Храните распечатанный документ в офисе, а, если у вас есть сайт — обязательно разместите информацию там.

Протестируйте сервис для проверки сделок. Получайте сведения о недвижимости и участниках сделки из официальных источников. Первые три проверки — бесплатно.

Попробовать

Согласие на обработку ПД

По закону никто не может использовать персональные данные человека без его одобрения. Поэтому, перед тем, как начать работу с клиентом риелтор должен получить специальный документ — согласие на обработку ПД, в котором должно быть указано:

Какие сведения о физлице можно использовать. Нельзя указать, что риелтор в праве использовать любые данные — список должен быть закрытым.

Для чего нужны сведения. Пропишите конкретные цели, для которых понадобились ПД. От целей зависит и перечень данных данных, так как оператор не может запрашивать излишнюю информацию. При этом перечня личных данных, которые нужны для определенных целей не существует. Каждый оператор должен сам обосновать свои запросы.

На какой срок дается согласие. Оно не может быть бессрочным. Если срок не указан в документе, риелтор должен прекратить обработку ПД в течение 30 дней с момента достижения цели этой обработки, то есть после оказания услуги. Например, если риелтор сопровождает сделку по продаже недвижимости, цель обработки будет достигнута после того, как Росреестр зарегистрирует переход прав собственности.

Можно ли передавать данные третьим лицам. Например, если вы используете сервисы для взаимодействия с Росреестром или подбора ипотеки, в согласии нужно перечислить как, для каких целей и в какой сервис передаются сведения с указанием данных правообладателей.

Проводите регистрацию сделок в сервисе Контур.Недвижимость

ЭП выпускаются онлайн в течение 10 минут. Стоимость подписей входит в стоимость регистрации и не зависит от количества участников сделки.

Узнать подробнее

Не всегда можно заранее сказать, в какие организации будут переданы данные клиента. Например, риелтор помогает продать квартиру и находит продавца, который также работает с агентством недвижимости. В этом случае риелтору продавца понадобится передать его ПД риелтору покупателя. В этом случае лучше письменно известить человека о том, кому и для каких целей вы передаете его ПД.

Форма согласия может быть произвольной, не обязательно получать его в письменном виде. Мы рекомендуем риелтору или агентству обратиться за помощью к юристу, чтобы составить шаблон документа с учетом особенностей вашей работы. Также отметим, что нельзя получить согласие на обработку любых сведений для любых целей для неограниченного круга лиц — это противоречит законодательству. Согласие должно быть конкретным и однозначным.

Учитывайте, что клиент может в любой момент отозвать согласие без объяснения причин. В этом случае нужно уничтожить его данные в течение 30 дней с момента получения отзыва. Отказаться можно только в случае, если ПД нужны для исполнения положений договора или закона. Например, если данные клиента указаны в налоговой или бухгалтерской отчетности.

Кому, как и когда нужно уведомлять Роскомнадзор

Недостаточно просто разработать политику конфиденциальности и собирать согласия с клиентов. Перед тем, как начать работу с персональными данными важно уведомить об этом Роскомнадзор. Есть только три исключения, когда можно обойтись без уведомления.

• Если вы планируете обрабатывать ПД без автоматизации, то есть только на бумаге.
• ПД есть в государственных информационных системах для защиты безопасности и общественного порядка.
• ПД обрабатываются в ситуации, которая предусмотрена законодательством о транспортной безопасности.

Ни одно из этих исключений не применимо к риелтору. Поэтому, если вы по каким-то причинам не уведомили Роскомнадзор — сделайте это как можно скорее одним из трех способов:

По почте. Форму уведомления можно найти на портале ведомства. Заполните ее, распечатайте и отправьте по адресу территориального отделения РКН.

Онлайн на портале Роскомнадзора. Если у вас есть сертификат квалифицированной электронной подписи (КЭП), уведомление можно заполнить и подписать прямо на сайте.

Онлайн на портале Госуслуг. В этом случае можно использовать сертификат КЭП, но у вас должна быть подтвержденная учетная запись на портале.

Уведомление нужно отправить только один раз. Но, если изменилось положение о работе с ПД или вы прекращаете работу с такими данными, нужно сообщить об этом в Роскомнадзор до 15 числа следующего месяца.

Что делать, если случилась утечка ПД

Независимо от того, как произошла утечка — случайно или умышленно — нужно уведомить об этом Росреестр. На первичное уведомление дается 24 часа. В нем нужно описать причину утечки, какой вред она нанесла и как вы планируете решить проблему. Описание причины и оценка вреда могут быть предположительными.

Затем, в течение 72 часов нужно провести внутреннее расследование, выявить точную причину и виновных в утечке. О результатах проверки нужно уведомить РКН. В уведомлении нужно также указать, какие меры приняты, чтобы избежать повторения утечек.

Проверка юридических лиц Роскомнадзором

По закону Роскомнадзор может назначить проверку любого индивидуального предпринимателя или юридического лица. Она может быть выездной или документарной, плановой или внеплановой. Как правило, ведомство проводит именно документарную проверку. В этом случае в организацию или ИП отправляют уведомление о проверке и запрос документов.

Основанием для проверки может стать жалоба гражданина о нарушении его прав. Теоретически, любой клиент может пожаловаться на нарушения в обработке его ПД, однако проверки проведут не в каждом случае. Так, чтобы провести выездную проверку, Роскомнадзор должен получить согласие от прокуратуры.

Если в ходе проверки выявят небольшие нарушения, оператору дадут возможность их устранить.

Штрафы за неуведомление об обработке персональных данных

Как мы уже сказали, в 2025 году выросли штрафы за неверную работу с персональными данными граждан.

Если не уведомить Роскомнадзор о намерении работать с ПД:

• физлицо могут оштрафовать на 5 000—10 000 ₽;
• должностное лицо — на 30 000—50 000 ₽;
• юридическое лицо — на 100 000— 300 000 ₽.

Наказание могут установить и в случаях, если оператор известил РКН несвоевременно.

Если произойдет утечка персональных данных от 1000 до 10 000 человек ИП или организации могут выписать штраф на сумму 3 млн—5 млн ₽.

При этом, если не уведомить РКН об утечке, грозит отдельный штраф: от 1 млн до 3 млн ₽.

Если оператор ПД использует идентификаторы — специальные обозначения физлиц в своих базах данных, за утечку от 10 000 до 100 000 таких идентификаторов штраф от 3 млн до 5 млн ₽.

Раньше максимальное наказание, которое грозило организации на неуведомление о работе с персональными данными, — штраф в 5 000 ₽. Теперь, когда штраф вырос в 60 раз важно внимательнее отнестись к работе с ПД, тщательно продумать положение, собирать согласия со всех клиентов и, конечно, выполнять все требования законодательства.