GDPR i boligforeningen: hvad bestyrelsen skal vide

De fleste bestyrelser sidder allerede med en del persondata, uden at have tænkt over det som en juridisk opgave: en medlemsliste med navne og adresser, en oversigt over restancer, i nogle foreninger optagelser fra kameraovervågning af opgange og gård. GDPR, databeskyttelsesforordningen, gælder også for jeres forening, selv om bestyrelsen er frivillig og ulønnet.

Denne guide gennemgår, hvilke persondata en typisk boligforening behandler, hvad et lovligt grundlag kort og forsigtigt betyder i praksis, hvor længe I bør opbevare oplysninger, hvad beboerne har krav på, og hvorfor en databehandleraftale med administrator som regel er nødvendig. Nederst finder I en tjekliste, I kan bruge som selvkontrol i bestyrelsen. Har I brug for en bredere gennemgang af bestyrelsens øvrige ansvar, ligger det i opslaget om bestyrelsens ansvar.

Foreningen er dataansvarlig

Når bestyrelsen registrerer og bruger oplysninger om medlemmer og beboere, for eksempel til opkrævning af boligafgift eller fællesudgifter, er det foreningen som juridisk enhed, der er dataansvarlig, ikke det enkelte bestyrelsesmedlem personligt. Bestyrelsen handler på foreningens vegne og skal derfor sørge for, at foreningen som helhed lever op til reglerne, ligesom den gør det med økonomi og vedligeholdelse.

Det gælder, uanset om foreningen er lille eller stor, og uanset om arbejdet foregår i et regneark eller et administrationssystem. Størrelsen har betydning for, hvor omfattende jeres dokumentation typisk behøver at være, men pligten til at behandle data lovligt og forsvarligt gælder fra den første medlemsliste.

Hvilke persondata behandler jeres forening

De fleste boligforeninger behandler persondata inden for et af følgende områder, ofte flere på samme tid:

• Medlemsliste: navn, adresse, kontaktoplysninger og for nogle foreninger fordelingstal eller andelsnummer
• Økonomi og restancer: betalingshistorik, gæld til foreningen og eventuel korrespondance om betalingsaftaler, se restancer
• Venteliste: navn og kontaktoplysninger på interesserede, ofte over flere år
• Kameraovervågning: billeder af beboere, gæster og forbipasserende i fælles områder, hvis foreningen har det
• Klage- og husordensager: oplysninger om konkrete hændelser og involverede personer
• Ansættelsesforhold: kontrakter og løndata, hvis foreningen selv ansætter en vicevært

Lovligt grundlag: kort og forsigtigt

GDPR kræver, at der er et lovligt grundlag, hver gang I behandler persondata. For den almindelige daglige administration, opkrævning, kontakt til medlemmerne og referater, ligger grundlaget typisk i, at behandlingen er nødvendig for at opfylde medlemskabet eller varetage foreningens legitime interesser i at drive ejendommen. Det er en forenklet beskrivelse, og den præcise vurdering afhænger af den konkrete oplysning og situation.

Nogle typer oplysninger kræver særlig opmærksomhed. Cpr-numre, som nogle foreninger indhenter i forbindelse med lån eller andelsbeviser, kræver et selvstændigt lovligt grundlag ud over de almindelige regler. Kameraovervågning af fælles områder er reguleret af egne regler om blandt andet skiltning, og reglerne gælder, uanset om optagelserne rent faktisk bruges til noget. Er I i tvivl om grundlaget for en konkret behandling, er det en opgave for administrator eller en rådgiver, ikke noget bestyrelsen bør afgøre alene ud fra en fornemmelse.

Opbevaring og sletning

Persondata skal som udgangspunkt ikke opbevares længere, end formålet kræver. I praksis betyder det forskellige tidshorisonter for forskellige typer data. Oplysninger om en afsluttet restancesag kan der være grund til at gemme et stykke tid, hvis der er risiko for tvist, mens en venteliste bør renses jævnligt for personer, der ikke længere er interesserede. Optagelser fra kameraovervågning bør som udgangspunkt slettes hurtigt, medmindre en konkret hændelse begrunder længere opbevaring, og en opbevaringstid på omkring 30 dage bruges ofte som pejlemærke i praksis.

Referater er en undtagelse fra hovedreglen om kort opbevaring: de bør gemmes i hele foreningens levetid som del af foreningens historik og beslutningsgrundlag, se opslaget om referat. Til gengæld bør referater begrænse omtalen af enkeltpersoner i følsomme sager, for eksempel restancer eller nabokonflikter, så personoplysningerne i selve referatet holdes på et minimum, mens beslutningen stadig fremgår klart. Det samme gælder klagesager: selve konklusionen kan noteres kort, uden at hele forløbet og alle involverede navne skrives ind i det referat, der senere sendes til alle medlemmer.

Beboernes indsigtsret

Et medlem eller en beboer kan bede om at få at vide, hvilke oplysninger foreningen har registreret om vedkommende. Det kaldes indsigtsret, og den dataansvarlige, altså foreningen, skal som udgangspunkt svare uden unødig forsinkelse og senest inden for en måned. I praksis betyder det, at bestyrelsen bør have et nogenlunde overblik over, hvor foreningens data ligger, så en sådan henvendelse kan besvares uden at skulle lede i måneder efter svaret.

Beboere kan også have ret til at få rettet forkerte oplysninger eller i visse tilfælde få slettet oplysninger, der ikke længere er nødvendige. Møder bestyrelsen en sådan henvendelse, er det sjældent noget, der skal afvises reflektorisk, men heller ikke noget, der altid skal efterkommes uden videre; er I i tvivl, er det en opgave, administrator eller en rådgiver bør inddrages i.

Databehandleraftaler med administrator

Bruger foreningen en ekstern administrator, behandler administrator som regel persondata på foreningens vegne: opkrævninger, restancer, overdragelser og ofte medlemslisten i sin helhed. I den situation er foreningen fortsat dataansvarlig, mens administrator er databehandler, og det forhold skal som udgangspunkt reguleres i en skriftlig databehandleraftale.

Aftalen beskriver typisk, hvad administrator må bruge oplysningerne til, hvilke sikkerhedsforanstaltninger der gælder, om administrator bruger underleverandører, og hvad der sker med data, hvis samarbejdet ophører. De fleste professionelle administratorer har en standardaftale klar, men det er bestyrelsens opgave at sikre, at aftalen faktisk er indgået, ikke bare antage, at den er. Overvejer I helt at gå væk fra administrator, er fordele og ulemper, herunder på dette område, gennemgået i guiden om administrator eller selvadministration.

Tjekliste: GDPR i praksis

I behøver ikke et stort projekt for at komme i mål. Brug tjeklisten som en årlig selvkontrol i bestyrelsen.

• Lav en kort oversigt over, hvilke persondata I behandler, og hvorfor
• Sørg for en skriftlig databehandleraftale med administrator, hvis foreningen bruger en
• Begræns adgangen til følsomme oplysninger, som restancer og klagesager, til de bestyrelsesmedlemmer, der reelt har brug for dem
• Slet eller anonymisér oplysninger, I ikke længere har brug for, herunder gamle ventelister
• Tjek reglerne for kameraovervågning, hvis foreningen har det: skiltning og opbevaringstid
• Besvar henvendelser om indsigt inden for rimelig tid, og notér, hvordan I har svaret
• Skriv personfølsomme oplysninger i referater med omtanke, gerne i et lukket bilag frem for i selve teksten
• Undgå at sende cpr-numre eller detaljerede restanceoversigter i åbne mails til hele foreningen

Er I i tvivl om en konkret situation, er det billigere at spørge administrator eller en rådgiver én gang for meget end at rydde op i en fejl bagefter. I finder øvrige skabeloner til bestyrelsens faste opgaver, herunder dagsorden og referat, under Skabeloner.