GDPR při prodeji nemovitosti: Jak správně nakládat s daty zájemců

Prodej nemovitosti je v Česku dnes už nejen o tom, jak rychle najít kupce. Je to také o tom, jak správně zacházet s daty zájemců. Pokud jste realitní agent, majitel nemovitosti nebo i jen někdo, kdo prodává byt na vlastní pěst, musíte vědět, že GDPR neříká jen „neměňte data“ - říká, kdy, proč a jak můžete data vůbec použít. A to platí i pro vaši nejmenší inzerát na Sreality.cz.

Co vlastně GDPR říká o datech zájemců?

GDPR (Obecné nařízení o ochraně osobních údajů) není jen evropský dokument, který si někdo v Bruselu vymyslel. Je to právní rámec, který každý, kdo zpracovává osobní údaje, musí dodržovat. A kdo zpracovává? Všechny, kdo mají jméno, telefon, email nebo dokonce fotku zájemce na Facebooku. To znamená vás - i když jste jen jednou zaregistrovali zájemce v Excelu.

Nejčastější chyba? Předpokládat, že „když mi zájemce dal telefon, můžu mu volat, kdykoliv chci“. To není pravda. GDPR říká: každý údaj musí mít svůj jasný, zákonný důvod. A ten důvod nemůže být „abych měl seznam“ nebo „aby to bylo pohodlnější“.

Které údaje můžete vůbec sbírat?

Není všechno stejné. Některé údaje můžete sbírat bez problémů, jiné jen pod podmínkami.

• Povolené bez omezení: jméno, příjmení, telefonní číslo, emailová adresa, adresa trvalého pobytu.
• Povolené jen při potřebě: rodné číslo (jen pokud je to nutné k ověření identity, např. při uzavření smlouvy), IČ (pokud zájemce je podnikatel), číslo účtu (pouze při převodu zálohy).
• Povolené jen se souhlasem: údaje z sociálních sítí (Facebook, Instagram), fotky, informace o vlastnictví jiných nemovitostí.

Nezapomeňte: když zájemce napsal na Facebooku „Mám zájem o byt na ulici X“, neznamená to, že můžete jeho profil vytáhnout do databáze. To je porušení. Můžete ho kontaktovat, ale data z Facebooku nesmíte ukládat, pokud nemáte jeho explicitní souhlas.

Na jakém základě můžete data zpracovávat?

GDPR neříká „žádná data“. Říká: „pouze na základě jasně definovaného právního důvodu“. U prodeje nemovitosti je těchto důvodů dva:

1. Smlouva - když zájemce podepsal smlouvu o realitním zprostředkování, můžete jeho údaje použít k plnění této smlouvy. Například k předání informací o nových nabídkách, k vyhledání vhodné nemovitosti nebo k přípravě smlouvy o koupi.
2. Opravný zájem - to znamená, že zpracování je nutné pro vaši obchodní činnost. Například ukládání kontaktu do systému, aby jste mohli efektivně spárovat zájemce s nemovitostí. Ale tohle důvod musí být vážně zásadní - nemůžete ho použít jen proto, že „to je pohodlnější“.

Co není základ? Souhlas - ano, to je možné, ale není to vždy nejlepší volba. Pokud používáte smlouvu jako základ, nemusíte každý údaj zvlášť žádat o souhlas. Ale pokud chcete použít data i po skončení smlouvy (např. pro marketing), pak musíte mít explicitní souhlas.

Jak dlouho můžete data uchovávat?

Největší chyba? Ukládat data „na případné časy“. GDPR říká: jen tolik, kolik je potřeba.

U prodeje nemovitosti je to jasné:

• Po uzavření smlouvy o realitním zprostředkování můžete data uchovávat po dobu 3 let - to je podle zákona č. 110/2019 Sb. pro případné soudní spory.
• Pokud zájemce nepodepsal smlouvu, ale jen zájel, můžete data uchovávat maximálně 1 rok - a to jen, pokud máte jeho souhlas.
• Po uplynutí této doby musíte data trvale smazat. Neukládejte je do „archivu“, nezatěžujte svůj počítač. Pokud nejste přesvědčeni, že data budou potřeba v případě sporu, smažte je.

Nezapomeňte: i když zájemce přestal reagovat, i když se neozval, i když „to už je ztracený zákazník“ - data stále patří jemu. A on má právo je požadovat k odstranění.

Komu můžete data předávat?

Nemůžete je posílat kamkoli. Pokud předáte data třetí osobě (např. notáři, bankě, účetnímu), musíte mít:

• Právní základ - obvykle to je smlouva o realitním zprostředkování, která jasně uvádí, že data budou předána třetím osobám pro účely transakce.
• Dohodu o zpracování - pokud předáváte data účetnímu nebo notáři, musíte mít s nimi podepsanou smlouvu, že budou data chránit stejně jako vy.
• Informaci zájemci - musíte mu říct, kdo dostane jeho data a proč. Například: „Vaše údaje budou předány notáři pro přípravu smlouvy o koupi.“

Nezapomeňte: pokud používáte systém jako Sreality.cz nebo Bazoš.cz, neříkáte zájemci, že jeho data tam budou uložena. To je porušení. Tyto platformy jsou zpracovateli - vy jste správcem - a vy musíte zajistit, že i oni dodržují GDPR.

Jaké práva má zájemce?

Zájemce není „zákazník“, kterého musíte „získat“. Je subjektem údajů - a má práva, která nemůžete ignorovat.

• Právo na přístup - může požádat o kopii všech dat, která o něm máte.
• Právo na smazání - může požádat, abyste jeho data smazali (pokud není důvod k jejich uchování).
• Právo na omezení zpracování - může požádat, abyste data „zamrzli“ a nepoužívali je, dokud nevyřešíte nějaký spor.
• Právo na přenositelnost - může požádat o data ve strukturovaném formátu (např. CSV), aby je mohl přenést jinému agentovi.

Co dělat, když to někdo požádá? Reagujte do 30 dní. Pokud neodpovíte, může podat stížnost na Úřad pro ochranu osobních údajů. A ten už neřeší „to jsem nevěděl“ - řeší pokuty.

Co musíte mít na papíře?

GDPR neříká „mějte to v hlavě“. Říká: dokumentujte to.

Bez dokumentace nemáte důkaz, že jste dodržovali zákon. A bez důkazu jste v případě kontroly vinný.

Co musíte mít:

• Souhlas - pokud používáte souhlas jako základ, musí být psaný, podepsaný, s datem. Elektronický souhlas (např. přes formulář na webu) je také platný, pokud je zaznamenaný.
• Dokumentaci zpracování - seznam, co zpracováváte, proč, jak dlouho, kdo má přístup. Stačí jednoduchá tabulka v Excelu.
• Informační list - při prvním kontaktu sájemcem musíte mu dát list, který říká: „Tady je, co děláme s vašimi daty.“

Tento list nemusí být 10 stran. Stačí: Jméno agenta, účel zpracování, doba uchování, práva zájemce, kontakt na správce údajů. To je všechno.

Co se stane, když to nesplníte?

Úřad pro ochranu osobních údajů v Česku v roce 2025 předložil 127 případů týkajících se realitních agentur. Z toho 43 byly potrestány pokutami - od 15 000 Kč do 200 000 Kč. Nejčastější důvod? Ukládání dat bez zákonného důvodu.

Nejde jen o peníze. Jde o důvěru. Pokud zájemce zjistí, že jste ho „přidali do databáze“ bez jeho vědomí, nebude vás věřit. A to je horší než pokuta.

Co dělat dnes?

Nechcete být příští případ na hlavních zprávách? Udělejte tohle:

1. Prohlédněte si všechny seznamy zájemců - smažte vše, co je starší než 1 rok (pokud nemáte smlouvu) nebo 3 roky (pokud máte smlouvu).
2. Připravte jednoduchý informační list - dejte ho každému zájemci při prvním kontaktu.
3. Požádejte každého, kdo vám dal data bez smlouvy, aby podepsal souhlas.
4. Uložte všechno do jednoduché tabulky: kdo, kdy, proč, jak dlouho.
5. Nezadávejte data do systémů, které neříkají, jak je chrání. Pokud Sreality.cz neřekne, že dodržuje GDPR, nezavádějte do něj údaje.

GDPR není váš nepřítel. Je to nástroj, který vás chrání - před žádostmi, které nevíte, jak zpracovat, před nároky na data, která nemáte právo mít, a před pokutami, které vás mohou stát více než měsíc výdělku.

Nejde o to, kolik zájemců máte. Jde o to, jak dobře s nimi zacházíte.