Wolk logoWolk

agosto 2026

GDPR agenzie immobiliari: cosa fare per essere in regola

GDPR agenzie immobiliari: cosa fare per essere in regola

Per rispettare il GDPR la tua agenzia deve fare quattro cose, e deve farle ora: censire i trattamenti, tracciare i consensi, verificare il Registro Pubblico delle Opposizioni prima di ogni chiamata commerciale e documentare ogni fornitura di liste da terzi. Non sono suggerimenti generici: sono le stesse mancanze che il Garante ha sanzionato nel provvedimento del 9 ottobre 2025, quando ha vietato a diverse agenzie di trattare ulteriormente contatti acquistati senza un consenso libero, specifico e documentato.

Concretamente, oggi stesso puoi:

  • Definire la base giuridica di ogni trattamento (contratto, obbligo legale antiriciclaggio, consenso marketing) e scriverla nero su bianco, non lasciarla implicita.
  • Censire i trattamenti principali e appuntarli in un registro operativo, anche semplice, con finalità e tempi di conservazione.
  • Verificare sempre il Registro Pubblico delle Opposizioni prima di contattare un numero per finalità commerciali.
  • Bloccare l’uso di liste acquistate se non hai evidenza scritta del consenso di chi le ha fornite.

Chi salta questi passaggi non rischia solo la sanzione: rischia che un controllo trasformi un problema di modulistica in un problema legale vero.

Punti chiave

La conformità GDPR per un’agenzia immobiliare si basa su tre pilastri concreti: basi giuridiche documentate, tracciamento dei consensi nel CRM e verifica sistematica dei fornitori di dati.

Punto Dettagli
Verifica sempre l’RPO Consulta il Registro Pubblico delle Opposizioni prima di ogni chiamata commerciale e conserva evidenza del controllo.
Separa marketing e KYC Tieni distinti i dati raccolti per antiriciclaggio (conservazione dieci anni) da quelli per finalità promozionali.
Audit sui fornitori di liste Richiedi evidenza documentale del consenso e inserisci clausole di audit prima di acquistare contatti.
Informative specifiche per finalità Evita informative generiche: pubblicazione annuncio, marketing e verifica identità richiedono testi separati.
Riduci i dati trattati con strumenti on-device Wolk elabora foto e audio dei sopralluoghi sul dispositivo, evitando upload non necessari di dati vocali su server esterni.

Indice

Adempimenti GDPR per il settore immobiliare: la checklist operativa

La conformità non è un documento firmato una volta e archiviato. È una sequenza di attività che l’agenzia ripete nel tempo, e che deve poter dimostrare in caso di controllo del Garante o di richiesta di un cliente.

  1. Censisci i trattamenti reali dell’agenzia. Elenca ogni flusso di dati: acquisizione lead da portali, gestione trattative, verifica antiriciclaggio, invio newsletter, marketing telefonico. Per ognuno annota finalità, base giuridica e tempo di conservazione.
  2. Costruisci un registro operativo sintetico. Non serve un documento da cinquanta pagine: basta una tabella con trattamento, responsabile interno, categoria di dati e destinatari esterni (portali, fornitori di liste, commercialista).
  3. Nomina gli incaricati e definisci i permessi. Chi in agenzia può vedere i dati finanziari di un cliente? Chi può esportare la rubrica contatti? Assegna ruoli distinti nel CRM invece di dare a tutti accesso completo.
  4. Scrivi informative mirate per ogni finalità. Un’informativa generica che copre “pubblicazione annuncio”, “marketing” e “verifica identità” nello stesso paragrafo è una debolezza che salta all’occhio in un controllo, perché ogni finalità richiede un’informativa specifica.
  5. Pianifica controlli interni e formazione periodica. Un aggiornamento annuale al team, anche di un’ora, riduce drasticamente gli errori più comuni: consensi mancanti, retention infinita, esportazioni non autorizzate.

Un consiglio: Non affidare la conformità a un solo file Excel dimenticato in un server. Metti la scadenza di revisione del registro in agenda, come fai con il rinnovo delle polizze assicurative dell’agenzia.

Come configurare il CRM per tracciare consensi e opposizioni

Il CRM è lo strumento che decide se la tua conformità resta teoria o diventa pratica quotidiana. Ogni contatto inserito deve portare con sé la prova di come e quando è arrivato, non solo nome e numero di telefono.

I campi minimi che ogni scheda contatto dovrebbe avere:

  • Data e ora di acquisizione del contatto.
  • Fonte esatta (portale, passaparola, lista acquistata, form sul sito).
  • Finalità dichiarata al momento della raccolta (trattativa, marketing, semplice richiesta informazioni).
  • Flag di consenso marketing separato dal consenso per la gestione della trattativa.
  • Flag di verifica sul Registro Pubblico delle Opposizioni, con data del controllo.

Un buon CRM verticale per il settore immobiliare può bloccare automaticamente l’invio di comunicazioni promozionali a chi non ha dato consenso esplicito, invece di lasciare la decisione alla memoria dell’agente di turno. Questo è il punto debole più comune: un contatto importato per una richiesta di visita finisce nella lista newsletter senza che nessuno abbia mai chiesto il permesso.

Un consiglio: Registra ogni verifica del Registro Pubblico delle Opposizioni con timestamp automatico nel CRM. In caso di controllo, un log coerente vale più di mille rassicurazioni verbali.

L’audit trail, cioè la cronologia di chi ha fatto cosa e quando su ogni contatto, è quello che distingue un’agenzia che può dimostrare la propria diligenza da una che deve sperare che nessuno chieda spiegazioni.

Come verificare e gestire i fornitori di liste e database

Comprare un elenco di nominativi da un fornitore terzo non trasferisce automaticamente il diritto di usarli per marketing. Il Garante ha imposto misure organizzative e verifiche a campione esattamente per questo motivo: molte agenzie trattavano contatti forniti da list provider senza alcuna evidenza che chi li aveva raccolti avesse ottenuto un consenso valido.

Prima di firmare un contratto con un fornitore di liste, verifica che includa:

  • Evidenza documentale del consenso raccolto all’origine, non una semplice dichiarazione generica di conformità.
  • Una clausola chiara su chi è titolare e chi è eventualmente contitolare o responsabile del trattamento, secondo l’articolo 28 del GDPR.
  • Garanzie contrattuali che ti permettano di sospendere l’uso della lista in caso di dubbi sulla provenienza dei dati.
  • Il diritto di condurre audit a campione sui contatti forniti, verificando una selezione casuale di nominativi.

Se il fornitore non riesce a produrre prove verificabili per una parte della lista, quei contatti vanno isolati e cancellati, non “messi da parte per dopo”. Le linee guida richiamate nello stesso provvedimento trattano proprio questo scenario: la responsabilità del trattamento resta in capo a chi lo effettua, anche quando il dato arriva da terzi.

Le misure tecniche e organizzative che ogni piccola agenzia dovrebbe avere

Non serve un reparto IT dedicato per essere in regola. Serve applicare poche misure in modo costante, che è più difficile di quanto suoni.

  • Assegna permessi differenziati nel CRM: chi gestisce le trattative non deve necessariamente vedere i documenti finanziari raccolti per l’antiriciclaggio.
  • Cifra i dispositivi aziendali (portatili, tablet usati durante le visite) e attiva backup regolari e verificati.
  • Introduce l’autenticazione a due fattori sugli account che accedono a dati sensibili, oltre a una policy password minima.
  • Distruggi in modo sicuro i documenti cartacei (copie di documenti d’identità, buste paga) con uno shredder, non nel cestino della carta.
  • Mantieni un registro accessi per sapere chi ha consultato quali pratiche e quando.

Le guide di settore più pragmatiche insistono su un punto: il GDPR per le agenzie diventa gestibile quando si trasforma in una serie di azioni proporzionate, non in un progetto titanico da rimandare all’infinito. Una piccola agenzia con cinque persone non ha bisogno delle stesse strutture di una grande catena immobiliare, ma ha bisogno di applicare con costanza quello che decide di fare.

Cosa fare in caso di violazione dei dati: la procedura in 72 ore

Un data breach non è solo un attacco informatico. È anche la chiavetta USB persa con le schede clienti, l’email con dati sensibili inviata al destinatario sbagliato, l’accesso non autorizzato a un account del CRM.

  1. Valuta il rischio reale in poche ore. Quali dati sono coinvolti? Documenti identificativi, dati finanziari, semplici contatti? Il livello di rischio determina se la notifica è obbligatoria.
  2. Notifica il Garante entro 72 ore se il rischio è concreto. La notifica deve indicare natura della violazione, categorie e numero approssimativo di interessati coinvolti, misure adottate per contenere il danno.
  3. Comunica agli interessati quando il rischio per loro è elevato. Se sono esposti dati finanziari o documenti d’identità, chi li ha forniti ha diritto a saperlo, in modo chiaro e diretto.
  4. Rivedi e testa la procedura ogni anno. Una procedura scritta ma mai provata si scopre inadeguata proprio nel momento peggiore.

Un consiglio: Prepara un modello di notifica al Garante già pronto da compilare, con i campi essenziali. In un momento di emergenza, avere solo da riempire gli spazi vuoti fa risparmiare ore preziose.

I diritti degli interessati nel contesto immobiliare: come gestirli

Chi ti affida i propri dati, sia un venditore, un acquirente o un semplice contatto raccolto durante un open house, ha diritti concreti che vanno oltre la firma su un modulo iniziale.

Il diritto di accesso permette a chiunque di chiedere quali dati l’agenzia possiede su di lui e per quale finalità li tratta. Devi poter rispondere in tempi ragionevoli, indicando categorie di dati, fonte e destinatari eventuali, come i portali o il commercialista che gestisce le pratiche.

Il diritto alla cancellazione è più delicato nel settore immobiliare perché si scontra spesso con obblighi legali paralleli. Un cliente può chiedere la rimozione dei propri dati dalla lista marketing in qualsiasi momento, ma non può richiedere la cancellazione dei documenti raccolti per l’antiriciclaggio prima che scada il periodo di conservazione obbligatorio di dieci anni previsto dal D.Lgs. 231/2007. Qui la distinzione tra le due finalità, fatta bene nel registro dei trattamenti, evita confusione e risposte sbagliate.

Il diritto alla portabilità riguarda soprattutto i dati forniti direttamente dall’interessato in formato strutturato, come le preferenze di ricerca immobiliare salvate nel tuo sistema. Meno frequente da esercitare, ma va comunque previsto un processo per rispondere.

In pratica, conviene avere una procedura scritta con tempi di risposta definiti (il GDPR indica un mese, prorogabile in casi complessi) e un punto di contatto unico in agenzia a cui indirizzare queste richieste, evitando che si perdano tra caselle email diverse.

Quando serve una DPIA per un’agenzia immobiliare

La valutazione d’impatto sulla protezione dei dati, la DPIA, non è richiesta per ogni trattamento. Serve quando un’attività comporta un rischio elevato per i diritti delle persone, e nel settore immobiliare questo scenario si presenta più spesso di quanto si pensi.

Mani che segnano una checklist sulla scrivania dell'agenzia

Un caso tipico è il trattamento sistematico di dati finanziari sensibili per le verifiche antiriciclaggio su larga scala, specialmente se l’agenzia gestisce un volume alto di compravendite e centralizza documenti di identità, dichiarazioni di provenienza dei fondi e informazioni patrimoniali in un unico sistema. Un altro caso riguarda l’uso di strumenti di profilazione automatizzata sui portali, ad esempio sistemi che classificano i lead in base al comportamento online per prioritizzare i contatti commerciali.

Prima di introdurre un nuovo strumento che tratta dati su scala ampia, ad esempio un sistema di scoring dei lead o una piattaforma che centralizza documenti sensibili di centinaia di clienti, vale la pena chiedersi se il rischio per gli interessati sia aumentato in modo significativo rispetto alla gestione precedente. Se la risposta è sì, la DPIA documenta il rischio, le misure di mitigazione previste e la proporzionalità del trattamento. Anche una DPIA semplificata, di poche pagine, mette l’agenzia in una posizione difendibile molto più solida che l’assenza totale di valutazione.

Il sito dell’agenzia e i portali immobiliari dove pubblichi gli annunci sono un altro punto di raccolta dati spesso trascurato. Il modulo di contatto sotto ogni annuncio, i cookie di tracciamento, il pixel per il retargeting pubblicitario: ognuno di questi elementi tratta dati personali e richiede una base giuridica precisa.

Tastiera di un laptop con schermo spento e pianta

Il banner cookie deve distinguere chiaramente tra cookie tecnici, necessari al funzionamento del sito e non soggetti a consenso, e cookie di marketing o analytics, che richiedono un consenso esplicito prima di attivarsi. Un banner che attiva tutto prima ancora del clic dell’utente è una delle non conformità più frequenti e più facili da individuare in un controllo.

I moduli di contatto sul sito devono avere un’informativa visibile prima dell’invio, non nascosta in un link a fondo pagina che nessuno apre. E quando un visitatore compila un form per richiedere informazioni su un immobile, quella richiesta non autorizza automaticamente l’inserimento in una lista marketing: la finalità dichiarata al momento della raccolta resta quella vincolante, a meno che l’utente non abbia dato un consenso separato e specifico.

Anche i dati pubblici sui portali, come numero di telefono e nome pubblicati su un annuncio, non diventano automaticamente utilizzabili per contatti promozionali: restano soggetti alla stessa logica di finalità e consenso di qualsiasi altro dato raccolto.

Perché la conformità è un vantaggio competitivo, non solo un obbligo

Un’agenzia che gestisce i dati con ordine trasmette fiducia, e nel settore immobiliare la fiducia si traduce direttamente in mandati firmati. Meno errori operativi significano anche meno tempo perso a rincorrere problemi: uno strumento come Wolk, che elabora foto e audio dei sopralluoghi direttamente sul dispositivo senza caricare tracce vocali su server esterni, riduce di partenza la quantità di dati che l’agenzia deve gestire e proteggere. Meno dati trattati significa meno rischio da amministrare.

Wolk: meno dati da gestire, meno tempo perso in amministrazione

Wolk trasforma un sopralluogo in un annuncio pronto per l’MLS in circa quindici secondi, con un vantaggio concreto sulla privacy che pochi strumenti del settore offrono: l’elaborazione avviene sul dispositivo, non su un server remoto, quindi le tracce vocali dei tuoi tour non vengono mai caricate altrove.

Wolk

Questo significa due cose pratiche per la tua agenzia. Primo, riduci il numero di dati che devi tracciare, proteggere e giustificare in un eventuale controllo del Garante, perché quello che non viene caricato non deve essere gestito come un trattamento da registrare a parte. Secondo, il workspace condiviso di Wolk mantiene uno storico dei tour e delle bozze generate, utile proprio come traccia interna in caso di verifica su chi ha creato cosa e quando.

Se gestisci più annunci alla settimana e vuoi ridurre sia il tempo amministrativo che i punti di rischio privacy legati a strumenti che caricano dati non necessari, la piattaforma di Wolk è pensata esattamente per questo scenario. Puoi provare Wolk gratuitamente con i primi tour senza costo e verificare di persona quanto tempo recuperi ogni settimana.

Documenti e guide utili sulla privacy immobiliare

Per approfondire i provvedimenti e le linee guida citate, queste risorse offrono il testo integrale e analisi pratiche:

Fonti

Domande frequenti

Il GDPR si applica anche alle piccole agenzie immobiliari?

Sì, il GDPR non fa distinzioni per dimensione dell’agenzia: si applica a chiunque tratti dati personali, ma le misure richieste devono essere proporzionate alla scala del trattamento.

Serve sempre il consenso per contattare un lead da un portale?

No: se il contatto riguarda direttamente una trattativa in corso non serve consenso specifico, ma per finalità di marketing separate serve un consenso distinto e la verifica del Registro Pubblico delle Opposizioni.

Quanto tempo si devono conservare i documenti antiriciclaggio?

I documenti raccolti per gli obblighi di adeguata verifica previsti dal D.Lgs. 231/2007 vanno conservati per dieci anni, separatamente dai dati trattati per finalità di marketing.

Cosa succede se un fornitore di liste non ha consensi validi?

L’agenzia resta responsabile del trattamento anche quando i dati arrivano da terzi: se il fornitore non dimostra un consenso valido, il Garante impone di sospendere l’uso di quei contatti e di cancellarli.

Uno strumento che elabora dati sul dispositivo riduce davvero i rischi privacy?

Sì: se l’elaborazione avviene interamente sul dispositivo, come nel caso di Wolk per la trascrizione vocale dei sopralluoghi, non ci sono trasferimenti di dati vocali a server esterni da tracciare e proteggere separatamente.

Raccomandati

← Torna al blog