LGPD para Corretores de Imóveis: Guia de Conformidade

A LGPD (Lei nº 13.709/2018) é a lei brasileira que define como qualquer pessoa ou empresa pode coletar, usar, guardar e compartilhar dados pessoais de terceiros. Para corretores e imobiliárias, ela alcança exatamente aquilo que sustenta o negócio: o nome e o telefone do lead que chegou pelo portal, o CPF do proprietário no contrato de captação, os comprovantes de renda de quem vai financiar, a lista de contatos acumulada no WhatsApp ao longo de anos.

Em 2026 o assunto saiu do campo teórico. A Autoridade Nacional de Proteção de Dados (ANPD) deixou de ser uma autarquia de natureza especial e passou a operar como agência reguladora, com autonomia funcional, técnica, decisória e financeira, por força da Lei nº 15.352, de 25 de fevereiro de 2026. Antes disso, em dezembro de 2025, ela já havia aprovado o Mapa de Temas Prioritários para o biênio 2026-2027 (Resolução CD/ANPD nº 30/2025), e o primeiro dos quatro eixos de fiscalização escolhidos é justamente direitos dos titulares.

Ou seja: a fase de "a lei existe mas ninguém fiscaliza" acabou. Este guia mostra o que muda na prática para quem trabalha com imóveis no Brasil, com os prazos, as bases legais e um checklist aplicável. É orientação prática, não parecer jurídico: para casos específicos, consulte um advogado especializado em proteção de dados.

---

A LGPD se aplica a corretores autônomos e imobiliárias pequenas?

Sim, sem exceção por porte. A LGPD não tem faixa de faturamento mínimo nem número mínimo de funcionários. Se você coleta o telefone de um interessado para retornar depois, você está tratando dado pessoal e está dentro da lei.

O que existe é uma flexibilização de obrigações, não uma isenção. A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 criou a figura do agente de tratamento de pequeno porte, que abrange microempresas, empresas de pequeno porte, startups e pessoas naturais que tratam dados. Para quem se enquadra, valem três facilidades relevantes:

• Dispensa de encarregado (art. 11): não é obrigatório indicar um DPO, mas é obrigatório disponibilizar um canal de comunicação com o titular.
• Política simplificada de segurança (art. 13): a política pode contemplar apenas os requisitos essenciais, considerando o custo e a estrutura da operação.
• Prazos em dobro (art. 14): para atender solicitações de titulares, comunicar incidentes e responder à própria ANPD.

Há uma armadilha aqui. O art. 3º da resolução exclui do regime simplificado quem realiza tratamento de alto risco. O critério é cumulativo: um critério geral (tratamento em larga escala ou que afete significativamente direitos fundamentais) somado a um critério específico (uso de dados sensíveis, decisões automatizadas, vigilância de espaços públicos, tecnologias emergentes, entre outros). Uma imobiliária de bairro com uma carteira local dificilmente cruza essa linha. Uma rede com dezenas de milhares de leads, câmeras em plantões de venda e scoring automatizado de crédito precisa avaliar o caso com mais cuidado.

O que a LGPD considera dado pessoal no dia a dia do corretor?

Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável. No fluxo de trabalho imobiliário, isso inclui muito mais do que o óbvio:

• Nome, telefone, e-mail e endereço do lead, do comprador e do proprietário
• CPF, CNPJ, RG e estado civil coletados para contrato ou financiamento
• Comprovantes de renda, extratos e informações de crédito enviados para análise
• Áudios de WhatsApp, prints de conversa e anotações sobre o cliente no CRM
• Fotos do interior de um imóvel habitado, que revelam a rotina de quem mora ali
• Endereço IP, cookies e histórico de navegação de quem visita o seu portal

Um recorte merece atenção redobrada: dados sensíveis (origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, biometria). O corretor quase nunca precisa deles, e a melhor política de conformidade é simplesmente não coletar. Se um cliente menciona uma condição de saúde para justificar a busca por um imóvel adaptado, essa informação não precisa virar campo no cadastro.

Você é controlador ou operador dos dados?

Se você decide por que e como os dados são usados, você é o controlador, e a responsabilidade principal é sua. A imobiliária ou o corretor autônomo é o controlador dos dados de leads, proprietários e compradores. O sistema que você contrata para guardar esses dados é o operador, que trata a informação seguindo as suas instruções.

Isso tem uma consequência prática que muita gente inverte: nenhum software transfere a sua responsabilidade. Um fornecedor sério assume as obrigações técnicas de segurança e documenta o que faz, mas quem responde perante o titular e perante a ANPD pela base legal da coleta é você. O Revi documenta essa divisão na Política de Privacidade: a plataforma é controladora apenas dos dados de cadastro e cobrança da imobiliária, e é operadora em relação aos dados dos clientes finais.

---

Qual base legal usar para cada dado que você coleta?

Toda coleta de dado pessoal precisa de uma das dez bases legais do art. 7º da LGPD, e o erro mais comum do setor é achar que tudo depende de consentimento. Não depende. Na rotina imobiliária, o consentimento costuma ser a base legal menos usada.

Situação	Base legal provável
Lead preenche formulário no seu portal pedindo contato	Procedimentos preliminares a contrato, a pedido do titular (art. 7º, V)
Cadastro do proprietário para o contrato de captação	Execução de contrato (art. 7º, V)
Guarda de cadastro e registro de operação exigida pelo COAF	Cumprimento de obrigação legal (art. 7º, II)
Registro de IP e navegação no portal para segurança e antifraude	Legítimo interesse (art. 7º, IX)
Newsletter, disparo para lista fria, remarketing	Consentimento (art. 7º, I)

Quando o interessado clica no seu anúncio e preenche o formulário pedindo mais informações sobre aquele apartamento, ele iniciou um procedimento preliminar a um contrato. Você não precisa de um checkbox de consentimento para ligar de volta e falar daquele imóvel. O que você precisa é ser transparente sobre quem você é, o que vai fazer com o contato e como ele pode pedir para sair.

A linha muda quando o uso se afasta da finalidade original. Pegar aquele mesmo telefone e incluí-lo numa lista de disparo semanal de lançamentos é outra finalidade, e aí o terreno é o consentimento (ou o legítimo interesse bem documentado, com opt-out fácil e visível em toda mensagem).

Como o consentimento precisa ser coletado para valer?

O consentimento válido é livre, informado, inequívoco e vinculado a uma finalidade determinada. Três consequências práticas:

1. Checkbox pré-marcada não vale. O titular precisa agir para consentir.
2. Consentimento genérico não vale. "Autorizo o uso dos meus dados" sem dizer para quê é nulo.
3. Consentimento é revogável a qualquer momento, por procedimento gratuito e facilitado. Se alguém pede para sair da lista, sair precisa ser tão fácil quanto entrar.

Na prática, isso significa um texto curto e honesto abaixo do formulário do seu portal, com link para a sua política de privacidade, e um caminho real de descadastro no rodapé de cada e-mail ou mensagem de marketing.

---

Os direitos do titular e os prazos que você precisa cumprir

O art. 18 da LGPD dá ao titular o direito de pedir confirmação da existência do tratamento, acesso aos dados, correção de informação incompleta ou desatualizada, anonimização ou eliminação de dados desnecessários, portabilidade, informação sobre com quem os dados foram compartilhados e revogação do consentimento.

Os prazos vêm do art. 19 e são mais curtos do que a maioria imagina:

• Imediatamente, em formato simplificado, você confirma se tem ou não os dados daquela pessoa.
• Em até 15 dias, você entrega a declaração clara e completa, indicando a origem dos dados, os critérios usados e a finalidade do tratamento.

Agentes de tratamento de pequeno porte têm esses prazos em dobro, pelo art. 14 da Resolução CD/ANPD nº 2/2022. Ainda assim, 30 dias passam rápido quando o pedido chega por e-mail e ninguém sabe em quantos lugares aquele contato está guardado. É por isso que o checklist mais adiante começa pelo mapeamento, e não pela redação de documentos.

Por quanto tempo você pode guardar os dados de um lead?

Enquanto a finalidade durar, mais o prazo que a lei exigir. Fora disso, o dado precisa ser eliminado ou anonimizado. O art. 16 da LGPD prevê exceções claras, e a mais importante para o setor imobiliário é o cumprimento de obrigação legal ou regulatória.

E essa obrigação existe. Pela Resolução COFECI nº 1.336/2014, combinada com a Lei nº 9.613/1998, corretores e imobiliárias precisam manter arquivo próprio com o registro de todo negócio imobiliário igual ou superior a R$ 100.000,00, comunicar ao COAF operações com indício dos crimes previstos na lei e conservar esses registros por cinco anos, à disposição das autoridades.

O efeito prático é que "apagar tudo" nem sempre é possível, e isso não é uma falha sua. Se um cliente que fechou uma compra em 2024 pedir a eliminação total dos dados, você elimina o que sobra de marketing e relacionamento, mas mantém o que a legislação de prevenção à lavagem de dinheiro manda manter, e explica isso a ele por escrito. O que não se sustenta é o inverso: guardar por tempo indeterminado a base de leads que nunca respondeu, sem finalidade nenhuma, "porque um dia pode servir".

---

Onde os dados dos seus clientes estão hoje?

Em boa parte das operações imobiliárias brasileiras, em três lugares que tornam a conformidade quase impossível: o WhatsApp pessoal de cada corretor, uma planilha compartilhada por link e um caderno.

Cada um desses lugares cria um problema concreto diante da LGPD:

• WhatsApp pessoal: quando o corretor sai da equipe, a base de clientes sai junto, no aparelho dele. Do ponto de vista da lei, houve compartilhamento de dados sem base legal e perda de controle pelo controlador.
• Planilha compartilhada por link: qualquer pessoa com o link acessa a carteira inteira, sem registro de quem viu o quê e sem limite por perfil. É o oposto do princípio da necessidade.
• Grupos de WhatsApp com clientes: colocar interessados diferentes no mesmo grupo expõe o telefone de cada um a todos os outros, sem consentimento.

O caminho de saída é banal e eficaz: centralizar os dados em um sistema com controle de acesso por papel, onde cada pessoa enxerga apenas o que precisa para trabalhar. É o princípio da necessidade traduzido em software.

No CRM do Revi, por exemplo, a permissão nasce do papel do usuário: proprietário, administrador e gerente veem os leads de toda a equipe, enquanto o corretor enxerga apenas os leads atribuídos a ele. Cada lead carrega o histórico de interações (ligação, WhatsApp, e-mail, visita, proposta, mudança de etapa), e desligar um corretor é mudar o status dele para inativo, sem que a carteira saia pela porta. No plano do banco de dados, o isolamento entre imobiliárias é feito por Row Level Security, detalhado na página de segurança.

Quer ver como fica na prática? O Revi tem teste grátis por 14 dias, sem cartão de crédito.

Se a sua operação ainda depende de planilha, vale ler primeiro o guia completo de CRM imobiliário, que trata da estrutura do funil, e o guia de leads imobiliários, que cobre a coleta e a qualificação.

---

Checklist prático de conformidade para imobiliárias

Nove passos, na ordem em que fazem sentido. Nenhum deles exige contratar uma consultoria antes de começar.

1. Mapeie onde os dados estão

Liste todos os lugares que guardam dado de cliente hoje: CRM, planilhas, WhatsApp, e-mail, portais de anúncio, sistema do banco parceiro, pastas no computador da recepção. Sem esse mapa, nenhum prazo do art. 19 é cumprível.

2. Elimine o que não tem finalidade

Base de leads de cinco anos atrás que nunca respondeu, planilha duplicada, backup de WhatsApp de um corretor que saiu. Menos dado guardado é menos risco e menos trabalho.

3. Defina a base legal de cada coleta

Use a tabela deste artigo como ponto de partida e escreva a sua versão em uma página. Esse documento é o que você mostra se a ANPD perguntar.

4. Publique um aviso de privacidade no seu site

Ele precisa dizer, em linguagem simples: quais dados você coleta, para quê, com quem compartilha (portais, sistemas, parceiros), por quanto tempo guarda e como o titular exerce os direitos dele. É o documento mais visível da sua conformidade.

5. Crie um canal de atendimento ao titular

Um e-mail dedicado já resolve para operações pequenas. Publique-o no aviso de privacidade e defina internamente quem responde e em quantos dias.

6. Feche o acesso por papel

Cada corretor com o próprio login, vendo a própria carteira. Nada de conta compartilhada. Ative a autenticação de dois fatores onde o sistema oferecer.

7. Ajuste o consentimento de marketing

Reveja os formulários do portal, tire checkbox pré-marcada e coloque descadastro visível em todo disparo. Separe a base "pediu contato sobre um imóvel" da base "aceitou receber novidades".

8. Revise os contratos com fornecedores e parceiros

Todo sistema que guarda dado dos seus clientes é operador e precisa oferecer termos de tratamento de dados. Vale para o CRM, para o disparador de e-mail e para a plataforma que gera o feed dos seus imóveis para os portais.

9. Tenha um plano de incidente antes de precisar dele

Quem liga para quem, quem avalia o risco, quem comunica. Escrever isso em meia página economiza dias quando o problema acontece.

---

O que fazer se houver um vazamento de dados?

Comunicar. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15, de 24 de abril de 2024) fixa o prazo de três dias úteis para o controlador comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante, contados de quando ele soube que dados pessoais foram afetados. Para agentes de tratamento de pequeno porte o prazo é contado em dobro, seis dias úteis. A comunicação é feita por formulário eletrônico da própria agência e pode ser complementada depois, de forma fundamentada, em até vinte dias úteis.

Na prática imobiliária, incidente não é só ataque hacker. É o notebook com a planilha de clientes esquecido no carro, o e-mail com a lista de proprietários enviado ao destinatário errado, o ex-funcionário que ainda tem login ativo. A avaliação de risco vem antes da comunicação, mas o relógio já está correndo.

Fornecedores sérios encurtam esse caminho. O Revi se compromete a notificar as imobiliárias afetadas em até 48 horas a partir da constatação de uma violação envolvendo dados pessoais, com a natureza do incidente, os registros afetados e as medidas de mitigação, exatamente para que a controladora consiga cumprir o próprio prazo.

---

Quanto custa não cumprir a LGPD?

As sanções do art. 52 vão de advertência até proibição de exercer atividades de tratamento. A que mais aparece nas manchetes é a multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Existem ainda multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos, e suspensão parcial do funcionamento do banco de dados.

O teto de R$ 50 milhões diz pouco para uma imobiliária de bairro. O que diz muito é o resto da conta:

• Ação judicial do titular, que independe de a ANPD ter aplicado sanção alguma. O custo de defesa aparece mesmo quando o pedido não prospera.
• Exigência contratual de parceiros maiores. Incorporadoras, construtoras e bancos costumam cobrar cláusulas de proteção de dados em contrato, e não ter resposta trava a parceria.
• Dano de reputação local, o mais caro de todos em um mercado que funciona por indicação.

E o cenário de fiscalização mudou de patamar. Além de virar agência reguladora em fevereiro de 2026, a ANPD colocou direitos dos titulares como o primeiro eixo do seu mapa de fiscalização para 2026 e 2027, com dados biométricos, de saúde e financeiros no centro do escrutínio.

---

Toda imobiliária precisa de um encarregado (DPO)?

Não, se ela se enquadra como agente de tratamento de pequeno porte. O art. 11 da Resolução CD/ANPD nº 2/2022 dispensa a indicação do encarregado nesse caso, com uma condição: disponibilizar um canal de comunicação com o titular de dados.

Isso significa que a imobiliária pequena pode publicar um e-mail de contato para assuntos de privacidade no rodapé do site e no aviso de privacidade, e cumprir a exigência. O que não pode é ficar sem canal nenhum. E vale lembrar que a dispensa é do cargo formal, não da função: alguém precisa saber responder ao titular dentro do prazo.

Operações maiores, com equipe grande, volume alto de leads ou uso de tecnologias que se encaixem nos critérios de alto risco, devem indicar um encarregado formalmente e divulgar a identidade e o contato dele publicamente.

---

O que perguntar ao fornecedor do seu sistema?

Como controlador, você responde pelas escolhas de operador que faz. Antes de assinar, pergunte:

1. Onde os dados ficam hospedados e há transferência internacional? Se houver, sob qual mecanismo do art. 33 da LGPD.
2. Quais sub-operadores participam do tratamento? Provedor de nuvem, gateway de pagamento, disparador de e-mail, serviços de IA. A lista precisa ser pública.
3. Como os dados são protegidos em trânsito e em repouso? Criptografia TLS e criptografia de disco são o mínimo.
4. Como os dados de uma imobiliária são isolados dos de outra? Em plataformas multi-tenant, essa é a pergunta que separa o profissional do amador.
5. Há autenticação de dois fatores e controle de acesso por papel?
6. Existe processo documentado de exclusão de conta e de dados? E em quanto tempo ele roda.
7. Existe decisão automatizada sobre pessoas? Se o sistema pontua ou classifica leads, o art. 20 da LGPD dá ao titular o direito de pedir revisão.

O Revi publica as respostas dessas perguntas em uma central legal aberta, com política de privacidade, política de cookies, página de segurança e um documento próprio sobre exclusão de conta e de dados. A triagem de contatos por IA, que atribui uma nota de 0 a 100 aos interessados que chegam pelo portal, é declarada explicitamente como decisão automatizada de apoio: cada nota vem acompanhada dos critérios que a geraram, e ela não bloqueia o atendimento humano de ninguém.

Uma ressalva honesta para fechar: o Revi não vende um módulo de conformidade, e nenhum sistema do mercado faz a sua conformidade por você. O software cuida da parte técnica (isolamento, criptografia, permissão, registro de quem fez o quê). A base legal de cada coleta, o aviso de privacidade, o canal do titular e a decisão sobre o que guardar continuam sendo responsabilidade da imobiliária controladora.

Conclusão

Conformidade com a LGPD no mercado imobiliário não começa com um contrato de consultoria. Começa com uma pergunta desconfortável: se um cliente ligar hoje pedindo tudo o que você tem sobre ele, você consegue responder em 15 dias?

Se a resposta depende de vasculhar três celulares, duas planilhas e um caderno, o problema não é jurídico, é operacional. Centralizar os dados, fechar o acesso por papel, definir a base legal de cada coleta e publicar um aviso de privacidade honesto resolve a maior parte do risco real de uma imobiliária brasileira, e custa mais disciplina do que dinheiro.

Em 2026, com a ANPD operando como agência reguladora e com direitos dos titulares no topo da agenda de fiscalização, tratar dados de cliente com cuidado deixou de ser diferencial e virou condição para operar. A boa notícia é que a mesma organização que protege você juridicamente é a que faz o seu funil funcionar.

Se quiser ver como fica com tudo centralizado, o Revi tem teste grátis por 14 dias, sem cartão de crédito.