Dzień dobry, i od razu powiem: dobra intuicja, i w mojej ocenie się Pan nie mylił. Szef nie ma racji, a "obejście" które proponuje (post ogólny + prywatne zdjęcia po kontakcie) niczego nie zmienia w sensie prawnym — to tylko opóźnienie tego samego naruszenia, nie jego usunięcie.
Rozbijmy to na trzy niezależne problemy prawne.
1. RODO — zdjęcia wnętrza cudzego mieszkania to dane osobowe
Zdjęcia wnętrza konkretnego mieszkania, powiązane z lokalizacją (dzielnica, adres, czasem widoczne przedmioty osobiste), pozwalają — bezpośrednio lub pośrednio — zidentyfikować właściciela. To jest przetwarzanie danych osobowych w rozumieniu RODO, a każde przetwarzanie wymaga podstawy prawnej z art. 6 RODO. W praktyce w grę wchodziłyby tylko dwie: zgoda (lit. a) albo prawnie uzasadniony interes (lit. f). Zgody nie ma — klient nie podpisał umowy i nie wyraził zgody na publikację. Uzasadniony interes też odpada, bo wymaga testu równoważenia interesów (LIA): przetwarzanie na podstawie art. 6 ust. 1 lit. f RODO jest możliwe, gdy nie ma innej podstawy prawnej, a jednocześnie trzeba wykazać, że interesy administratora nie przeważają nad prawami osoby, której dane dotyczą. Właściciel mieszkania, który nie podpisał żadnej umowy z agencją, nie ma żadnych racjonalnych podstaw, by spodziewać się, że jego mieszkanie trafi na Facebooka — a to jest jeden z kluczowych elementów testu czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Tu takich przesłanek po prostu nie ma.
Pomysł szefa ("najpierw ogólny post, zdjęcia dopiero na priv") nic tu nie zmienia — wysłanie zdjęć na wiadomości prywatnej to nadal udostępnienie danych osobowych osobie trzeciej (przypadkowemu klientowi), bez żadnej podstawy prawnej. Wręcz przeciwnie: robi to mniej kontrolowanym kanałem, więc ryzyko jest większe, nie mniejsze.
2. Prawo nieruchomości — bez umowy nie ma nawet formalnego umocowania
To dla mnie kluczowy argument, o którym warto wiedzieć: zgodnie z ustawą o gospodarce nieruchomościami, zakres czynności pośrednictwa w obrocie nieruchomościami określa umowa pośrednictwa. Umowa wymaga formy pisemnej lub elektronicznej pod rygorem nieważności. "Pod rygorem nieważności" oznacza, że bez podpisanej umowy (papierowej albo elektronicznej z kwalifikowanym podpisem) formalnie nie działa Pan jako pośrednik tego konkretnego klienta w ogóle — nie ma podstawy, żeby cokolwiek w jego imieniu robić, w tym publikować ogłoszenia dotyczące jego mieszkania.
3. Kodeks cywilny — dobra osobiste
Niezależnie od RODO, właściciel mógłby dochodzić ochrony na gruncie art. 23 Kodeksu cywilnego, który chroni m.in. wizerunek i nietykalność mieszkania, oraz art. 24 KC, zgodnie z którym ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, a w razie naruszenia — zadośćuczynienia. Publikacja zdjęć wnętrza mieszkania bez zgody właściciela może być kwalifikowana jako naruszenie prywatności/nietykalności mieszkania.
Podsumowanie
Wszystkie trzy podstawy — RODO, ustawa o gospodarce nieruchomościami, kodeks cywilny — wskazują w tym samym kierunku: bez podpisanej umowy pośrednictwa nie ma Pan ani formalnego umocowania do działania w sprawie tego mieszkania, ani podstawy prawnej do przetwarzania i publikowania zdjęć. "Kreatywne" obejście przez publikację ogólnego posta i wysyłkę zdjęć dopiero po kontakcie prywatnym nie usuwa żadnego z tych problemów — to ten sam czyn, tylko rozłożony na dwa kroki.
Jeśli szef będzie to kontynuował mimo Pana sprzeciwu, to warto wiedzieć, że odpowiedzialność za naruszenie RODO (skarga do UODO) może dotyczyć administratora danych — czyli praktycznie biura nieruchomości, ale przy świadomym udziale również osoby wykonującej czynność.