Normativa4 min di lettura

GDPR e locazioni: la checklist del professionista

Registro, minimizzazione, tempi di conservazione, diritti delle persone, responsabili del trattamento: i punti da verificare per trattare i dati locativi.

Il team homePad·10 ottobre 2025

Un fascicolo di candidatura, un contratto di locazione, un verbale di consegna e le sue foto, una richiesta di intervento: la gestione immobiliare si fonda su dati personali. Nell'Unione europea, il regolamento generale sulla protezione dei dati (GDPR) si applica a ogni professionista che li tratta. Questa checklist propone un ordine di lavoro. È una guida pratica, non una consulenza legale: per una situazione particolare, rivolgetevi alla vostra autorità di protezione dei dati o a un consulente legale.

Censire i trattamenti e tenere il registro

Iniziate dall'elenco di ciò che fate dei dati: selezione dei candidati, gestione dei contratti di locazione, verbali di consegna, interventi, contabilità, prospezione commerciale. Per ogni trattamento, il registro delle attività di trattamento indica la finalità, le categorie di interessati e di dati, i destinatari, il periodo di conservazione e le misure di sicurezza. Un'agenzia o uno studio di gestione immobiliare tratta questi dati in modo regolare: il registro va quindi tenuto, qualunque sia la dimensione della struttura.

• ogni trattamento ha una finalità scritta e una base giuridica, il più delle volte l'esecuzione del contratto o un obbligo legale, talvolta il legittimo interesse, più raramente il consenso
• una persona è incaricata del registro e lo aggiorna a ogni nuovo strumento

Raccogliere meno, conservare meno a lungo

Il principio di minimizzazione vieta di chiedere un dato «per ogni evenienza». In Francia, l'elenco dei documenti giustificativi che un locatore può esigere da un candidato inquilino e dal suo garante è fissato da un decreto del 5 novembre 2015: nessun altro documento può essere richiesto.

Il GDPR non fissa una durata in cifre. Impone di non conservare i dati più a lungo di quanto la finalità richieda. Spetta a voi fissare una durata per categoria, scriverla e soprattutto applicarla.

• le foto di un verbale di consegna mostrano l'alloggio e i suoi difetti, non gli occupanti, i loro documenti o i loro oggetti personali
• i commenti liberi non contengono né giudizi sulle persone, né informazioni sulla loro salute, sulle loro opinioni o sulla loro origine
• i fascicoli dei candidati non selezionati vengono eliminati una volta assegnata la locazione
• i dati di un contratto di locazione sono conservati per la sua durata, poi archiviati con accesso limitato per il tempo richiesto da un'eventuale controversia o da un obbligo legale
• un'eliminazione dei dati avviene a data fissa, messaggistica e telefoni compresi

Informare gli interessati e rispondere alle loro richieste

Al momento della raccolta, ogni persona deve sapere chi tratta i suoi dati, per quale scopo, su quale base, chi li riceve, per quanto tempo sono conservati e come esercitare i propri diritti. Questi diritti sono l'accesso, la rettifica, la cancellazione, la limitazione, l'opposizione e la portabilità. Avete in linea di principio un mese per rispondere a una richiesta.

• un'informativa figura sui moduli, sui contratti di locazione, sui verbali di consegna e sul sito internet
• un indirizzo di contatto è riservato a queste richieste e qualcuno lo controlla
• una procedura indica chi risponde e come viene verificata l'identità del richiedente

Proteggere i dati e regolare i rapporti con i responsabili del trattamento

La sicurezza si gioca sui dispositivi usati sul campo tanto quanto sui server: tablet e telefoni protetti da blocco, account individuali, diritti di accesso limitati alle necessità di ciascuno, backup. Ogni fornitore che tratta dati per vostro conto, produttore di software, fornitore di hosting o call center, è un responsabile del trattamento ai sensi del GDPR. Un contratto deve prevedere che agisca soltanto su vostra istruzione e precisare le misure di sicurezza, il ricorso ad altri responsabili del trattamento e la sorte dei dati alla fine del contratto.

• con ogni fornitore è firmato un contratto di responsabile del trattamento e il luogo di hosting dei dati è noto
• gli account dei collaboratori vengono chiusi il giorno in cui lasciano l'azienda
• ogni violazione dei dati personali viene registrata e, se presenta un rischio per le persone, notificata all'autorità di controllo entro 72 ore dalla sua scoperta
• i collaboratori vengono formati al loro arrivo, poi regolarmente

Sapere quando andare oltre

Una valutazione d'impatto sulla protezione dei dati è necessaria prima di avviare un trattamento che può comportare un rischio elevato per le persone. In Francia, la CNIL, l'autorità di controllo francese, pubblica l'elenco dei tipi di trattamento per i quali è richiesta: verificate se i vostri vi figurano. La designazione di un responsabile della protezione dei dati è obbligatoria solo in alcuni casi, in particolare per gli organismi pubblici e per le strutture la cui attività principale è un monitoraggio regolare e sistematico delle persone su larga scala, o un trattamento su larga scala di dati sensibili. Negli altri casi, designate almeno un referente.

Le sanzioni amministrative pecuniarie possono raggiungere 20 milioni di euro o il 4% del fatturato mondiale annuo, e si applica l'importo più elevato.

Il GDPR si applica in Francia, in Belgio e in Lussemburgo, e ciascuno di questi paesi ha la propria autorità di controllo e norme nazionali complementari. La Svizzera ha una propria legge federale sulla protezione dei dati. Verificate localmente il quadro applicabile.

Ciò che homePad offre

homePad ospita i dati dei propri clienti in Europa. I report, le loro foto con data e ora e le loro firme elettroniche sono centralizzati su un'unica piattaforma, il che evita di disperderli tra telefoni, messaggistica e cartelle condivise.

• GDPR
• dati personali
• gestione delle locazioni
• conformità