I Vest Administrationen er vi naturligvis opmærksomme på GDPR for andelsboligforeninger og handler efter de angivne regler. Hvad der startede med GDPR blev til to ISO-certificeringer, så vi har sat os grundigt ind i det. Vi ved derfor også, at det for mange bestyrelser er et vigtigt punkt, især når det gælder GDPR for andelsboligforeninger og den daglige håndtering af persondata. Derfor har vi udarbejdet nedenstående guide til jer som bestyrelse.
Som dataansvarlige skal bestyrelsen vurdere formål og lovlighed ved indsamling og behandling af egne data, samt sikre at alle relevante regler overholdes.
Anbefaling om opbevaring af data
I første omgang anbefaler vi, at jeres gårdlaug opbevarer så meget data som muligt hos jeres administrator. Som bestyrelse må I godt opbevare data, men I skal være bevidste om – og have taget aktiv stilling til – hvilke data I opbevarer og hvorfor, så I lever op til kravene i GDPR for andelsboligforeninger. Bestyrelsen skal tage hensyn til både beboere og ansatte, når de vurderer, hvilke data der opbevares og behandles.
To centrale hovedprincipper i GDPR
Vær opmærksom på de to vigtigste hovedprincipper:
- Behandlingshjemmel
- Dataminimeringsprincippet
Disse grundprincipper er centrale i GDPR for andelsboligforeninger, og de betyder meget kort, at bestyrelsen skal have en god grund til at have data liggende, og at bestyrelsen kun må have de data liggende, som bestyrelsen skal bruge. Indsamling af personoplysninger må kun ske til et klart defineret formål og i overensstemmelse med gældende lov i Danmark.
Hvordan kommer bestyrelsen i mål i forhold til de to hovedprincipper:
- Lav en data-arbejdsinstruks/-behandlingspolitik for bestyrelsen.
- Læg så meget som muligt til jeres administrator.
Bestyrelsen kan søge vejledning hos Datatilsynet for at sikre korrekt håndtering og undgå forbud eller bøde i tilfælde af bruddet på reglerne.
Administratorens rolle i dataopbevaring
Administrator kan opbevare jeres data i foreningens arkiv, som bestyrelsen har adgang til via hjemmesiden. Dette gør det lettere at overholde kravene i GDPR for andelsboligforeninger, da data samles og opbevares sikkert ét sted. Der skal være en klar forbindelse mellem bestyrelsen og administratoren, og tilsyn kan føre kontrol med virksomhedens overholdelse af GDPR.
Gør jer klart, hvad I har tilbage af data, hvor I opbevarer disse, og hvorfor det er nødvendigt at opbevare dem. Det er vigtigt løbende at vurdere, om de indsamlede data stadig er relevante, og at sletning skal ske, når data ikke længere er nødvendige.
– Lav en fortegnelse over, hvilke data der opbevares, og hvor de opbevares. – Forklar kort hvorfor det er nødvendigt for bestyrelsen at opbevare disse data, altså hvad I bruger de data til, som I har. Indsamling og behandling af data skal dokumenteres, så det kan eftervises i tilfælde af tilsyn eller sag.
Hvis der sker et sikkerhedsbrud, skal bruddet anmeldes til tilsynsmyndighederne, og det kan føre til bøde, hvis det anses for en alvorlig overtrædelse.
Det kan være svært at gennemskue alle kravene, men virksomhedens ansvar er at sikre, at alle registreret får beskyttet deres egne data.
Introduktion til GDPR
GDPR står for General Data Protection Regulation og er den fælles databeskyttelsesforordning, der gælder i hele EU. Regulationen trådte i kraft den 25. maj 2018 og har siden været gældende lovgivning for alle virksomheder, organisationer og foreninger, der behandler personoplysninger om EU-borgere. Formålet med GDPR er at skabe en ensartet og stærk beskyttelse af personoplysninger på tværs af medlemslandene, så den enkeltes rettigheder respekteres, uanset hvor i EU data behandles. Databeskyttelsesforordningen stiller derfor klare krav til, hvordan personoplysninger behandles, og hvordan virksomheder og foreninger skal beskytte de registreredes data. Med GDPR er der sat fokus på at styrke databeskyttelse og skabe gennemsigtighed omkring, hvordan oplysningerne bruges, hvilket er afgørende for at opbygge tillid og sikre, at reglerne overholdes i praksis.
Hvad skal bestyrelsen skrive om GDPR og databeskyttelsesforordningen for andelsboligforeninger?
Vi har forsøgt at gøre det nemt for jer som bestyrelse ved at lave vores bud på håndtering af data (datafortegnelse og hvad vi bruger jeres data til), som I er velkomne til at bruge og tilrette efter behov. Bestyrelsen kan med fordel søge vejledning hos relevante myndigheder eller eksperter for at sikre korrekt udfyldelse af datafortegnelsen. Det er desuden vigtigt, at bestyrelsen løbende vurderer, hvilke data der er nødvendige at behandle og opbevare.
I er naturligvis også meget velkomne til at kontakte Vest Administrationen for yderligere information om korrekt håndtering af GDPR i andelsboligforeninger.
Datafortegnelse og hvad vi bruger jeres personoplysninger til
Datafortegnelsen skal indeholde oplysninger om, hvilke personoplysninger der er indsamlet, og til hvilket formål.
Vest Administrationen ønsker naturligvis at følge reglerne i Persondataforordningen, og af den årsag har vi udarbejdet ‘Bestyrelsens data-arbejdsinstruks/-behandlingspolitik’, som fremadrettet vil danne grundlag for, hvorledes bestyrelsen behandler de data, der passerer gennem bestyrelsens hænder. Bestyrelsen skal desuden have klare procedurer for sletning af data, når det ikke længere er nødvendigt at opbevare dem.
Bestyrelsens data-arbejdsinstruks/-behandlingspolitik
Bestyrelsen skal sikre, at data om registrerede beboere behandles i overensstemmelse med GDPR og at alle relevante krav til databeskyttelse overholdes.
- Bestyrelsen ønsker at så meget data som muligt opbevares hos administrator.
- Bestyrelsen opbevarer alene det data der er nødvendigt, ud fra et ”need to have-princip”.
- Bestyrelsen opbevarer alene relevante data i mailarkiv for bestyrelsesmailen og i arkivskab i kælderen.
- Bestyrelsesmailen/dennes arkiv ligger hos en sikker leverandør indenfor EU eller EØS.
- Det er alene bestyrelsesmedlemmer, der har adgang til bestyrelsesmailen.
- Bestyrelsens arkivskab er altid aflåst, og der er 2 bestyrelsesmedlemmer, der har nøgle til arkivskabet.
- Bestyrelsen videregiver kun relevante data i det omfang det er nødvendigt, og kun til administrator, revisor, advokat eller anden professionel samarbejdspartner.
- Når en beboer fraflytter slettes det data, der kan slettes, uden at vigtig viden går tabt.
- Er det nødvendigt at bibeholde data på en fraflyttet beboer, sørger bestyrelsen for at dette anonymiseres og eventuelt videregives til administrator.
Selvom bestyrelsen ønsker at opbevare så lidt data som muligt, kan det naturligvis ikke undgås, at data af forskellig karakter opbevares og behandles af bestyrelsen. Dette er nødvendigt for at bestyrelsen kan leve op til sit ansvar som bestyrelse og udføre de opgaver, der medfølger i henhold til GDPR i andelsboligforeninger.
Datafortegnelse – hvilke data bestyrelsen opbevarer
Herunder kan du se vores datafortegnelse over hvilke data der er tale om:
- Navn- og adresseliste inkl. mailoplysning på foreningens registrerede beboere.
- Tekniske tegninger på de enkelte lejligheder inkl. oplysning om evt. forandringer, dette alene baseret på lejlighedsnummer eller adresse.
- Nøgleblanketter i forhold til systemnøgler.
- Oplysninger på evt. igangværende sager mod eller imellem andelshavere, hvor kun relevante oplysninger opbevares i forbindelse med den enkelte sag.
- Oplysninger på evt. igangværende sager mod foreningen eller en ekstern part, hvor kun relevante oplysninger opbevares i forbindelse med den enkelte sag.
- Oplysninger på igangværende forsikringssager, hvor kun relevante oplysninger opbevares i forbindelse med den enkelte sag.
- Ventelister.
Disse retningslinjer hjælper bestyrelsen med at leve op til GDPR for andelsboligforeninger i det daglige arbejde.
Persondata og sikkerhed
Persondata dækker over alle oplysninger, der kan identificere en bestemt person – det kan være navn, adresse, telefonnummer, e-mail eller andre personlige oplysninger. Når virksomheder, foreninger og organisationer behandler persondata, er det afgørende, at behandlingen sker i overensstemmelse med reglerne i GDPR. Det betyder, at oplysningerne skal beskyttes mod uautoriseret adgang, tab, misbrug eller ødelæggelse. Sikkerheden omkring persondata er central, og det er nødvendigt at have klare procedurer for, hvordan data håndteres og opbevares. Derudover må persondata ikke videregives til andre uden et gyldigt grundlag, typisk samtykke fra den registrerede. For at leve op til GDPR skal virksomheder og foreninger derfor have styr på, hvordan de indsamler, opbevarer og sletter persondata, så de altid kan dokumentere, at behandlingen sker i overensstemmelse med lovgivningen.
Opfølgning og revision
Det er ikke nok blot at indføre procedurer for behandling af persondata – for at overholde reglerne i GDPR skal virksomheder og foreninger løbende følge op på og revidere deres praksis. Det indebærer, at man regelmæssigt vurderer, hvordan persondata behandles, og om sikkerheden er tilstrækkelig. Hvis der opstår sikkerhedsbrud eller andre udfordringer, skal der være klare retningslinjer for, hvordan disse håndteres, så de registreredes rettigheder beskyttes bedst muligt. En god dialog med de personer, hvis data behandles, er også vigtig, så de altid er informeret om, hvordan deres oplysninger bruges. Ved at prioritere opfølgning og revision kan virksomheder og foreninger sikre, at de lever op til kravene i GDPR, beskytter persondata og undgår potentielle konsekvenser som store bøder eller kritik fra Datatilsynet.
