A responsabilidade pelo tratamento de dados no mercado imobiliário

A transformação digital tem impulsionado o uso intensivo de dados pessoais em diversos setores, e o mercado imobiliário não é exceção. Com a disseminação de tecnologias capazes de coletar, analisar e compartilhar informações em larga escala, o setor imobiliário passou a tratar volumes significativos de dados de clientes, o que exige conformidade rigorosa com a LGPD - Lei Geral de Proteção de Dados Pessoais.

Embora o compartilhamento ou comercialização de dados não seja, por si só, ilegal, toda organização que atua no Brasil deve observar os princípios da LGPD, entre eles, o da finalidade, necessidade, transparência e, especialmente, o consentimento informado do titular, quando necessário.

Ao passo que aumenta a preocupação sobre privacidade e segurança da informação, acende o alerta para empresas que se valem dos dados para mapear o comportamento dos consumidores, facilitando o direcionamento de ofertas e de sugestões de compras. Por ter a participação de diversos agentes antes e depois das negociações, e ser necessária a análise de diferentes informações de todas as partes envolvidas, o segmento imobiliário é um dos ramos que demanda maior cuidado durante o período de tratamento dos dados. 

Construtoras, incorporadoras, imobiliárias, bancos e financeiras, chegando até aos corretores, todos têm acesso aos dados durante o processo de locação ou compra de um imóvel. São etapas que envolvem a coleta e o processamento de uma série de dados pessoais dos clientes, como informações financeiras, histórico de crédito, e dados de identidade. Sendo assim, quem é responsável pela segurança e pelo uso adequado desses itens?

Responsabilidade dos envolvidos

Além de discorrer sobre o papel de cada envolvido, é importante destacar que a consulta legal sobre essas questões deve ultrapassar a LGPD, devendo ser feita também no CC e no Código do Consumidor (sobre cláusulas abusivas, boa-fé objetiva, proteção do hipossuficiente), e na lei do inquilinato (acerca das regras sobre garantias e documentos exigidos). Ou seja, a LGPD é o guia central quando se trata de proteção de dados, mas deve ser aplicada em conjunto com normas específicas, especialmente para garantir a proporcionalidade, minimização e finalidade do uso dos dados.

Ao levar em conta a LGPD, a responsabilidade vai recair primariamente sobre o controlador, que deve demonstrar que adotou as medidas de segurança adequadas. O operador também pode responder solidariamente, se violar as instruções do controlador ou não adotar as medidas exigidas. E se houver controladores conjuntos, a responsabilidade pode ser compartilhada, conforme o acordo contratual e a atuação de cada um.

Mas, quem é quem?

• Controlador: Responsável pelas decisões sobre o tratamento de dados pessoais. Ex: a imobiliária que define quais dados coletar dos inquilinos, a finalidade e com quem compartilha.
• Operador: Responsável pelo tratamento dos dados em nome do controlador, sob suas instruções. Ex: empresa de marketing digital contratada para realizar campanhas de imóveis para os clientes.
• Controladores conjuntos e singulares: Quando dois ou mais responsáveis pelo tratamento decidem conjuntamente as finalidades e meios de tratamento (controladores conjuntos), no entanto, quando as finalidades não são comuns, caracteriza a controladoria singular. Ex: em casos como construtoras e corretores que tratam os dados para finalidades próprias ou conjuntas.

No contexto imobiliário, uma das principais especificidades no tratamento de dados diz respeito ao compartilhamento de informações com outras empresas. Muitas vezes, dados de clientes, como interesses de compra ou aluguel, são compartilhados com empresas de decoração, arquitetos e prestadores de serviços relacionados ao imóvel. Esse compartilhamento, no entanto, deve ser feito com a autorização do cliente.

De acordo com a LGPD, o compartilhamento de dados só pode ocorrer com o consentimento do titular ou em hipóteses legais estabelecidas, como a execução de um contrato. Ou seja, é essencial que as empresas envolvidas em transações imobiliárias garantam que o titular dos dados tenha conhecimento sobre o uso de suas informações e consinta com esse compartilhamento, caso necessário.

Como mitigar os riscos relacionados?

Essas responsabilidades podem ser formalizadas por meio de contratos de operação de dados (DPA - Data Processing Agreement), entre controlador e operador, para definir obrigações, medidas de segurança e responsabilidade por incidentes; acordos entre co-controladores para regular as decisões conjuntas e deveres de transparência; e cláusulas de privacidade em contratos principais (de corretagem, locação ou parceria com bancos).

Em caso de incidente, quem responde sempre é o controlador, função estipulada conforme determinação em contrato, que posiciona especificamente os agentes de tratamento. A investigação deve verificar se a falha ou o vazamento teve origem na imobiliária, construtora, banco ou corretor, por exemplo, o que pode ser uma tarefa complexa devido à multiplicidade de agentes envolvidos. Isso pode ser verificado conforme registro de log no sistema para identificar as ações que foram feitas, por quem, em qual data e horário.

Por serem operações que tratam de informações confidenciais, é essencial que todas as empresas adotem medidas técnicas de proteção do sistema, como duplo fator de autenticação, controle de acesso, criptografia e firewall. Também é indispensável investir no treinamento das equipes, com programas de conscientização e assinaturas de acordos de confidencialidade (NDAs - Non-Disclosure Agreement). São processos que precisam estar bem detalhados, com especificações sobre como os profissionais devem tratar os dados dos clientes, onde devem estar armazenados, e que não é permitido qualquer tipo de cópia ou download dessas informações do sistema. 

Com todas essas variáveis, cada vez mais a proteção de dados no setor imobiliário exige atenção cuidadosa e a implementação de práticas de segurança robustas, além de contratos claros e a adoção de medidas técnicas eficazes. A conformidade com a LGPD, aliada a boas práticas de governança, segurança da informação e contratos robustos, não apenas reduz riscos legais, como fortalece a confiança do cliente e valoriza a reputação das empresas no mercado.