Bostadsrättsföreningen är personuppgiftsansvarig för de personuppgifter som föreningen hanterar. Det innebär ett ansvar att GDPR, det vill säga reglerna i integritetslagstiftningen, följs.

Reglerna i integritetslagstiftningen, eller GDPR som vi oftast säger, började gälla i maj 2018. De är anpassade efter dagens teknik och olika typer av personuppgifter som vi numera lämnar ifrån oss, ofta omedvetet. GDPR – General Data Protection Regulation – är anpassad efter de nya sätt som organisationer använder för att samla in information om människor och har kommit till för att skydda den enskildes integritet.

Lagstiftningen har skärpts i och med GDPR bland annat vad gäller att kunna visa skriftligt att reglerna följs, exempelvis med samtycken men också vad gäller information. En enskild person har rätt att få registerutdrag på vilka uppgifter som finns om den.

I bostadsrättsföreningen är det styrelsen som blir ytterst ansvarig att se till att GDPR efterlevs. Om den inte gör det kan föreningen få en varning, en reprimand eller behöva sluta med en viss personuppgiftshantering. I sista hand kan det bli fråga om sanktioner i form av böter.

Nödvändigt är ett nyckelord

I all hantering av personuppgifter är det lämpligt att fråga sig varför de ska föras, i vilken omfattning, på vilket sätt de samlas in och förvaras, hur länge samt vilka som har åtkomst till dem.

Personuppgifter får bara samlas och lagras i ett visst, i förväg, bestämt syfte och får inte användas i något annat syfte i efterhand. Föreningen måste ha stöd i lagen för att föra dem. Det är inte tillåtet att samla in fler uppgifter än nödvändigt, inte spara dem längre än nödvändigt och föreningen ska begränsa hur många personer som kommer åt uppgifterna.

Lagliga grunder för föreningen att föra uppgifter

De grunder föreningen kan stödja sig på för uppgiftshanteringen är lagar och förordningar, såsom att föreningen enligt lag måste föra både en lägenhets- och en medlemsförteckning.

Styrelsen kan inför ett avtalstecknande, och för avtalet i sig, behöva samla in personuppgifter och stödjer sig då på avtal som laglig grund.

Berättigat intresse är ytterligare en grund som föreningen kan stödja sig på. Då behöver styrelsen göra en så kallad intresseavvägning, det vill säga väga föreningens intresse att använda personuppgifterna mot den enskilde individens integritet. Ett exempel kan vara om styrelsen behöver lämna ut uppgifter till en entreprenör som ska utföra ett arbete åt föreningen. Då ligger det troligtvis även i medlemmarnas intresse att uppgifter lämnas ut.

Samtycke kan användas som laglig grund men bör övervägas noga eftersom det är den svagaste lagliga grunden. Ett samtycke kan nämligen alltid återkallas.

Känsliga personuppgifter

För känsliga personuppgifter ställs särskilt höga krav och utgångspunkten är att det är förbjudet. Känsliga uppgifter är enligt lagstiftningen uppgifter om hälsa, etniskt ursprung, politisk uppfattning, sexuell läggning, facklig tillhörighet eller religiös tro. I och med den nya lagstiftningen år 2018 adderades även genetiska och biometriska uppgifter till listan.

Säkerhet för uppgifterna

För att kunna gallra och radera onödiga personuppgifter rekommenderar Bostadsrätterna att föreningen skapar en gemensam e-postadress som samtliga i styrelsen har tillgång till och som all kommunikation går till och ifrån. Ta för vana att sortera inkommen e-post i mappar för att göra känsliga personuppgifter mer svåråtkomliga utifrån och lättare att gallra. Det kan till exempel handla om e-post om ombyggnationer kopplade till bostadsanpassning eller störningar på grund av psykisk ohälsa. Skicka heller inga känsliga personuppgifter via e-post utan kryptering.

Personers rättigheter

En person har rätt till information om vilka uppgifter föreningen har om den. Denne har också rätt till utdrag av uppgifterna i det medium som begärs. Personen har rätt till rättelse, radering (gäller dock inte medlem upptagen i medlems- och lägenhetsförteckning), begränsning av behandling och rätt att göra invändningar. Alla har också rätt att framföra klagomål vilket då görs till Integritetsskyddsmyndigheten, IMY. Skadeståndstalan för integritetsintrång kan också väckas av den enskilde.

Kamerabevakning

Eftersom personuppgifter inte bara är namn, adress och liknande utan även bilder och filmer reglerar dataskyddsförordningen även materialet som tas upp vid kamerabevakning. Läs mer om det under Kamerabevakning.

Elektroniska nyckelsystem

Många föreningar har elektroniska nyckelsystem och frågar sig då om det är acceptabelt med tanke på GDPR. Här är den lagliga grunden berättigat intresse. Medlemmarna måste få tydlig information om hur dessa personuppgifter behandlas och hur länge.

Ett personuppgiftsbiträdesavtal bör tecknas med företaget som tillhandahåller systemet. Uppgifterna ska inte sparas längre än nödvändigt och får inte användas för att exempelvis i efterhand spåra vem som stökat till i tvättstugan. Men de kan behöva sparas längre tid för att tillvarata rättsliga anspråk.

Överföring till land utanför EU

Överföring av personuppgifter till tredje land – det vill säga utanför EU/EES – är bara tillåten under vissa omständigheter, det vill säga om särskilda skyddsåtgärder vidtagits eller om EU-kommissionen ansett att landet har det man kallar för adekvat skyddsnivå. Läs mer på imy.se.

När det gäller USA kunde vi tidigare luta oss mot det som hette Privacy Shield, ett säkerhetsavtal som gjorde att vi kunde använda exempelvis amerikanska molntjänster. Men efter en dom i EU-domstolen i juli 2020 (Schrems II-domen) som slog fast att Privacy Shield-avtalet mellan EU och USA inte ger ett tillräckligt skydd för personuppgifter har avtalet ogiltigförklarats.

Sedan en tid tillbaka gäller i stället ett nytt ramverk mellan EU och USA, EU/U.S. Data Privacy Framework. De företag och organisationer som omfattas av ramverket anses enligt EU-kommissionen uppfylla kraven på säkerhet för personuppgifter. Se vilka företag och organisationer som är anslutna här.

Rev. 2023-11-27