Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: октябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Риелтор снимает на телефон паспорт продавца, пересылает фото коллеге в WhatsApp, а тот — в чат с ипотечным брокером. К вечеру один и тот же разворот паспорта лежит в трёх мессенджерах, на двух личных телефонах и в галерее стажёра, который уволился на прошлой неделе. Для агентства это обычный вторник. Для Роскомнадзора это несколько нарушений сразу, и ни одно из них не выглядит громким, пока не придёт жалоба от клиента. Поэтому 152 ФЗ для агентства недвижимости упирается в простой вопрос: где физически лежат документы людей, которые доверили вам самую дорогую сделку в жизни.
Ниже — какие данные вы реально обрабатываете, на каком основании, как передавать их банкам и застройщикам и что делать с базами «холодных» собственников.
Какие данные проходят через агентство
Список длиннее, чем кажется. Паспорт продавца и покупателя, СНИЛС и ИНН (для налогового вычета и ипотеки), свидетельства о браке и рождении детей — потому что в сделке участвуют доли несовершеннолетних, согласие супруга, справки об отсутствии долгов. Выписка из ЕГРН с ФИО собственника, кадастровым номером и обременениями. Справки о доходах 2-НДФЛ и выписки по счетам, если вы помогаете с ипотекой. Скан доверенности. Аудиозапись показа и фото интерьера, на которых иногда видны документы на столе.
Часть этого попадает под ст. 10 (специальные категории): сведения о состоянии здоровья всплывают в сделках с участием недееспособных или при продаже из-за переезда на лечение. Их вы не просили, но если клиент прислал медицинское заключение как довод в переговорах, оно уже у вас.
Первое практическое следствие: вы оператор по ст. 3 и обязаны выполнять ст. 18.1, сколько бы людей ни работало в офисе — три человека или сорок агентов на самозанятости. Если не уверены, где проходит граница, посмотрите материал о том, кто считается оператором: форма заявки на сайте уже делает вас оператором, а в недвижимости таких форм несколько — «оценить квартиру», «подобрать ипотеку», «записаться на показ».
Основания обработки: когда согласие нужно, а когда нет
Здесь ошибаются в обе стороны. Одни берут согласие на всё подряд, на пяти страницах, и всё равно не покрывают нужного. Другие считают, что договор агентских услуг снимает все вопросы.
Для вашего клиента (того, кто подписал договор оказания услуг или агентский договор) основание — ст. 6 ч. 1 п. 5: обработка нужна для исполнения договора, стороной которого он является. Согласие на сам факт обработки паспорта здесь не требуется. Но это основание покрывает только то, без чего договор нельзя исполнить. Реклама своих услуг, рассылки «новые объекты в вашем районе» и передача данных партнёрам за комиссию уже выходят за его границы.
Для второй стороны сделки картина другая. Продавец — ваш клиент, а покупатель, которого привёл другой агент, с вами договора не подписывал. Его паспортные данные вы получаете для проверки чистоты сделки и подготовки договора купли-продажи. Основание строится либо на согласии (ст. 9), либо на том, что обработка нужна для заключения договора, где субъект будет стороной (тот же п. 5 ч. 1 ст. 6 охватывает и действия до подписания). Практичный путь — короткое согласие отдельной строкой в листе показа или в предварительном договоре.
Отдельная история — созаёмщики, супруги и дети в ипотечной сделке. Вы получаете их данные от клиента, а не от них самих. Если вы только передаёте пакет документов банку, вы посредник; если храните копии у себя, вы оператор этих данных со всеми обязанностями. Лучше копии не хранить: сняли для банка, передали, удалили из мессенджера и из галереи.
Если согласие всё-таки нужно, помните про форму: оно должно быть конкретным, предметным, информированным и сознательным, а не одной галочкой под сайтом. Структура по ст. 9 разобрана в статье про согласие на обработку персональных данных.
Передача данных банкам, застройщикам и страховым
Три типичных канала, и в каждом своя юридическая конструкция.
Банк при ипотеке. Банк обрабатывает данные заёмщика для собственных целей — кредитного решения, регуляторной отчётности. Это самостоятельный оператор, а не ваш подрядчик. Договор поручения тут обычно не подходит: вы не поручаете банку ничего, вы передаёте ему данные по просьбе клиента. Основание для передачи — согласие клиента, которое лучше собрать до первой отправки пакета, с перечнем получателей. «Банки-партнёры агентства» звучит расплывчато, названия надёжнее.
Застройщик. В новостройках вы работаете по агентскому договору с девелопером. Бронирование квартиры требует паспортных данных покупателя, и вы передаёте их застройщику. Нередко агентству дают вести клиента в CRM застройщика. Выясните, кто оператор системы и где она размещена: если в зарубежном облаке, это предмет локализации баз данных по ст. 18 ч. 5, то есть первичная запись и хранение данных граждан РФ должны идти на серверах в России.
Подрядчики агентства: юрист, оформляющий сделку, оценщик, фотограф, колл-центр, разработчик CRM. Они обрабатывают данные по вашему заданию, и здесь нужен договор поручения по ст. 6 ч. 3: перечень действий, требования к защите, обязанность сообщать об инцидентах. Без него юрист, которому вы переслали сканы, получает доступ без оформленного основания, а ответственность перед субъектом остаётся на вас.
Один сценарий, который стоит запомнить. Агент отправил скан паспорта продавца ипотечному брокеру без согласия клиента и без договора с брокером. Через месяц брокер использует контакты для собственной рекламы. Клиент подаёт жалобу в РКН, и спрашивать будут с агентства: передало данные именно оно.
Базы «холодных» собственников
Самое неудобное место. Модель «набрать собственников из объявлений и выгрузок, обзвонить, предложить услуги» распространена, и юридически она шаткая по нескольким причинам.
Данные из выписок ЕГРН, полученные для проверки конкретного объекта, нельзя потом превращать в базу для обзвона: цель обработки изменилась, а ст. 5 требует ограничивать обработку заранее определёнными и законными целями. Номер телефона из объявления на Авито размещён ради продажи квартиры, а не ради звонков агентств с предложением своих услуг. То, что номер виден всем, не означает, что с ним можно делать что угодно: для данных, которые субъект сам сделал общедоступными, действуют условия ст. 10.1, и ограничения по цели они не отменяют.
Отдельно работает ФЗ «О рекламе»: звонок с предложением услуг без предварительного согласия абонента нарушает ч. 1 ст. 18. Это самостоятельная ответственность, не связанная со ст. 13.11 КоАП.
Что остаётся практичным:
- Работать с теми, кто сам оставил заявку: форма на сайте, входящий звонок, переписка в чате. Основание есть, цель понятна.
- Для рассылок собирать отдельное согласие на рекламу и не смешивать его с согласием на исполнение договора. Как это сделать на форме, показано в материале про формы на сайте.
- Если база уже есть и вы не знаете её происхождения, зафиксируйте источник каждой записи или перестаньте её использовать. Запись без понятного источника при проверке становится проблемой, а не активом.
Если вы покупали базу у стороннего поставщика, о происхождении данных вы знаете только со слов продавца. Перед Роскомнадзором он за вас отвечать не будет.
Что проверят и сколько это стоит
Самая частая причина проверки в нише — обращение клиента: «агентство не уничтожило мои паспортные данные после отказа от сделки» или «мне звонят после расторжения договора». Вторая причина — автоматический мониторинг сайта, где нет политики конфиденциальности или чекбокса на форме заявки.
Штрафы по ст. 13.11 КоАП после ФЗ № 420-ФЗ такие. Обработка без правового основания по ч. 1 — для юридических лиц от 150 000 до 300 000 ₽. Утечка данных — до 20 млн ₽; при повторной утечке штраф считается от оборотной выручки: 1–3%, но не меньше 20 млн и не больше 500 млн ₽. Для небольшого агентства повторная утечка закрывает бизнес, а первая бьёт по репутации: клиенты не возвращаются туда, где паспорт «утёк».
При утечке сроки жёсткие: 24 часа на уведомление Роскомнадзора, 72 часа на результаты внутреннего расследования. Как выстроить действия по часам, написано в регламенте реагирования на инцидент.
Минимальный набор документов для агентства недвижимости:
- Политика обработки ПДн и её публикация на сайте.
- Приказ об ответственном и положение об обработке — часть мер по ст. 18.1.
- Согласия: на передачу банкам и партнёрам, на рекламные контакты, на обработку данных второй стороны сделки.
- Договоры поручения с юристами, оценщиками, колл-центром, поставщиком CRM.
- Перечень лиц, допущенных к ПДн (в том числе агентов на самозанятости), и журнал выдачи доступа.
- Регламент хранения и акты уничтожения: что делать со сканами после закрытия сделки.
- Уведомление в Роскомнадзор по ст. 22 об обработке.
Что делать прямо сейчас
Начните не с документов, а с одного вопроса сотрудникам: где сейчас лежат паспорта клиентов за последний год? Скорее всего, в телефонах, личных облаках и мессенджерах. Дайте агентам один рабочий канал хранения, запретите пересылать сканы через личные чаты и пропишите срок удаления после сделки. Это закрывает большую часть рисков до того, как вы напишете первую страницу политики. Дальше — проверка сайта: есть ли политика, есть ли согласие на формах, какие счётчики и скрипты загружаются.
Знаете ли вы, какие нарушения 152-ФЗ видит на вашем сайте автоматический мониторинг? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, есть ли на сайте политика и согласия, какие формы собирают данные без основания и какие сторонние сервисы получают данные ваших посетителей.
Нормативные акты: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 3, 5, 6, 9, 10, 10.1, 18, 18.1, 22); КоАП РФ ст. 13.11 в редакции ФЗ № 420-ФЗ от 30.11.2024; Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18).