Sedan dataskyddsförordningen (GDPR) trädde i kraft 2018 har alla organisationer som hanterar personuppgifter ett ansvar för att skydda dessa uppgifter. Det gäller även bostadsrättsföreningar. Många styrelser undrar vad GDPR egentligen innebär för deras arbete och vilka regler som måste följas. Här sammanfattar vi det viktigaste som styrelsen bör känna till för att säkerställa att personuppgifter behandlas korrekt enligt lag i föreningen.

Vad är personuppgifter och varför hanterar föreningen dem?
Personuppgifter är all information som direkt eller indirekt kan kopplas till en levande person. Det kan till exempel handla om namn, adress, personnummer, e-postadress, telefonnummer eller lägenhetsnummer när det går att koppla till en viss person. Även kombinationer av uppgifter, som ett lägenhetsnummer tillsammans med information om vem som bor där, räknas som personuppgift.

En bostadsrättsförening hanterar personuppgifter eftersom det är nödvändigt för att kunna driva verksamheten och uppfylla sina skyldigheter. Föreningen behandlar sådana uppgifter i samband med medlemskap och överlåtelser, vid avisering av avgifter och hyror, i den löpande kommunikationen med boende samt när föreningen anlitar entreprenörer och tjänsteleverantörer. All sådan hantering omfattas av GDPR och måste ske på ett lagligt, korrekt och ansvarsfullt sätt.

Styrelsens ansvar som personuppgiftsansvarig
Bostadsrättsföreningen är personuppgiftsansvarig för den behandling av personuppgifter som sker inom föreningens verksamhet. Det innebär att styrelsen ansvarar för att uppgifterna behandlas lagligt och korrekt, endast samlas in för specifika och tydliga ändamål, inte sparas längre än nödvändigt och skyddas på ett säkert sätt.

Vanliga situationer där GDPR är relevant:

Medlemsregister
Föreningen har rätt att behandla personuppgfter om sina medlemmar eftersom det krävs för att fullgöra skyldigheter enligt bostadsrättslagen och föreningens stadgar. Registret ska hållas uppdaterat och får inte innehålla inaktuella eller onödiga uppgifter.

Årsredovisning och protokoll
Att namn på ledamöter förekommer i årsredovisningen eller att en medlem omnämns i ett protokoll är i regel förenligt med GDPR, förutsatt att det finns en rättslig grund. Däremot bör styrelsen undvika att sprida känsliga personuppgifter utan mycket goda skäl. Exempel på känsliga uppgifter är uppgifter om en persons hälsa eller privata förhållanden.

Kamerabevakning
Om föreningen använder kamerabevakning i gemensamma utrymmen måste både GDPR och kamerabevakningslagen följas. Kraven är strikta och det är viktigt att kamerabevakningen har ett tydligt syfte, att skyltning sker, att lagringen är korrekt och att bevakningen begränsas till det som är absolut nödvändigt då allmänna utrymmen är särskilt integritetskänsliga.

Överlåtelser och mäklarkontakter
När medlemmar säljer sina lägenheter sker ofta ett informationsutbyte mellan föreningen, mäklare och köpare. Föreningen bör vara försiktig med vilka personuppgifter som lämnas ut och säkerställa att man inte lämnar ut mer än vad som är nödvändigt.

Hemsida, anslagstavlor och informationsbrev
Att föreningen har en hemsida samt att styrelsen skickar ut informationsbrev till medlemmarna är något som de flesta medlemmar uppskattar. På hemsidan och i nyhetsbrevet får det däremot inte spridas personuppgifter. Därför är det viktigt att styrelsen har koll på vad en personuppgift faktiskt är. Som vi nämner i början av denna artikel så är faktiskt enbart ett namn en personuppgift, och likaså ett lägenhetsnummer. Om styrelsen blir osäkra inför en publicering är det viktigt att rådfråga en kunnig inom området.

Samarbete med externa parter – glöm inte biträdesavtal
När föreningen anlitar exempelvis en ekonomisk förvaltare, en fastighetsskötare eller ett molntjänstföretag som hanterar personuppgifter för föreningens räkning, måste ett personuppgiftsbiträdesavtal (PUB-avtal) tecknas. Avtalet reglerar hur den externa parten får behandla uppgifterna och är ett lagkrav enligt GDPR.

Sammanfattning
GDPR gäller även för bostadsrättsföreningar eftersom föreningar behandlar personuppgifter i sin löpande verksamhet. Det behöver inte vara komplicerat, men det kräver att styrelsen har tydliga rutiner, känner till sina skyldigheter och ser till att nödvändiga avtal finns på plats. Genom att arbeta medvetet och ansvarsfullt kan styrelsen hantera personuppgifter på ett lagligt sätt och samtidigt stärka medlemmarnas förtroende för föreningens arbete.