GDPR i ejerforening: hvad skal bestyrelsen vide?

Som bestyrelsesmedlem i en ejerforening har du et juridisk ansvar, som mange undervurderer. GDPR gælder ikke kun for store virksomheder med hundredvis af ansatte. Den gælder også for dig og din bestyrelse, når I behandler oplysninger om ejere, lejere og håndværkere. Overtrædelser kan koste dyrt, og uviden er ikke en undskyldning i Datatilsynets øjne.

Denne artikel giver dig et konkret overblik over, hvad GDPR betyder i praksis for en ejerforening, hvilke fælder I skal undgå, og hvad I kan gøre for at komme i overensstemmelse med reglerne.

Hvad er en ejerforening egentlig forpligtet til?

En ejerforening er en juridisk enhed, og så snart I registrerer og behandler personoplysninger om fysiske personer, er I dataansvarlige efter databeskyttelsesforordningen (GDPR, forordning EU 2016/679). Det betyder, at foreningen skal overholde de samme grundlæggende principper som enhver anden organisation.

I praksis behandler de fleste ejerforeninger oplysninger som:

• Ejernes navne, adresser og kontaktoplysninger
• Oplysninger om restancer og betalingshistorik
• Referater fra generalforsamlinger, hvor navngivne personer omtales
• Korrespondance med ejere om klager eller konflikter
• Oplysninger om håndværkere og leverandører

Alle disse behandlinger kræver et lovligt grundlag efter GDPR artikel 6. For ejerforeninger vil det typiske grundlag være opfyldelse af en kontrakt (artikel 6, stk. 1, litra b) eller en legitim interesse (artikel 6, stk. 1, litra f). Det er bestyrelsen at kunne dokumentere, hvilket grundlag der gælder for hvilken type behandling.

Hvem må have adgang til hvad?

Et af de hyppigste problemer i ejerforeninger handler om adgang til oplysninger. Mange foreninger sender stadig referater, budgetter og kontaktlister ud til alle ejere via en fælles mailingliste eller lægger dem åbent tilgængeligt på en hjemmeside uden adgangskontrol.

Her er nogle konkrete eksempler på, hvad der kan gå galt:

Kontaktlister til alle ejere: Det er ikke i overensstemmelse med GDPR at distribuere en liste med ejernes telefonnumre og mailadresser til samtlige beboere, medmindre de enkelte ejere aktivt har samtykket til dette. En løsning er at oprette en adgangsbeskyttet beboerportal.

Generalforsamlingsreferater: Referater må gerne indeholde navne på ejere i forbindelse med afstemninger og vedtagelser, men bør ikke indeholde unødvendige personoplysninger som helbredsoplysninger eller detaljer om private konflikter. Referater bør heller ikke offentliggøres på en åben hjemmeside.

Restancelister: Oplysninger om hvilke ejere der har restancer, er finansielle oplysninger. De bør kun deles med bestyrelsesmedlemmer og foreningens administrator og ikke med den brede ejerkreds.

Datatilsynets retningslinjer og mulige sanktioner

Datatilsynet er den danske myndighed, der fører tilsyn med overholdelsen af GDPR. Tilsynet har tidligere udstedt vejledninger specifikt rettet mod foreninger og boligorganisationer, og man har haft sager, der involverede netop adgang til personoplysninger i boligfællesskaber.

Sanktionerne kan være alvorlige. Datatilsynet kan udstede påbud om at bringe behandlingen i overensstemmelse med reglerne, og i grove tilfælde kan der gives bøder. For mindre foreninger vil bøderne typisk ligge i niveauet 10.000 til 100.000 kr., men det afhænger af overtrædelsens karakter og omfang. Derudover kan der opstå civile erstatningskrav fra berørte ejere.

Frister er vigtige at kende: Hvis en ejer anmoder om indsigt i egne oplysninger (en såkaldt indsigtsanmodning efter GDPR artikel 15), har foreningen én måned til at svare. Kan sagen ikke afsluttes inden for fristen, kan den forlænges med yderligere to måneder, men ejeren skal underrettes herom senest inden for den første måned.

Den praktiske dokumentation: hvad skal I have på plads?

Mange bestyrelser er overraskede over, at GDPR stiller krav til skriftlig dokumentation. I skal som minimum have følgende på plads:

Fortegnelse over behandlingsaktiviteter: Dette er et register over, hvilke personoplysninger I behandler, til hvilket formål, med hvilken lovhjemmel og hvor længe I gemmer dem. Det behøver ikke at være et avanceret system. Et simpelt regneark kan gøre det. Men det skal eksistere og holdes opdateret.

Privatlivspolitik: Ejerne skal informeres om, hvordan I behandler deres oplysninger. Det sker typisk via en privatlivspolitik, som sendes ud ved indflytning eller offentliggøres på foreningens hjemmeside med adgangskontrol.

Databehandleraftaler: Bruger I en ekstern administrator, et IT-system eller en revisor, der håndterer personoplysninger på jeres vegne? Så skal I have en skriftlig databehandleraftale på plads (GDPR artikel 28). Mange administrationsselskaber tilbyder standardaftaler, men bestyrelsen bærer det endelige ansvar for at sikre, at aftalen lever op til kravene.

Slettefrister: I skal have en klar politik for, hvornår I sletter oplysninger. Tidligere ejere skal typisk slettes fra systemer kort tid efter ejerskifte, medmindre der er igangværende tvister. Regnskabsmateriale skal dog gemmes i fem år i henhold til bogføringsloven.

Særlige udfordringer ved generalforsamlingen

Generalforsamlingen er et vigtigt samlingspunkt for ejerforeningen, men den giver også anledning til GDPR-udfordringer. Mange foreninger optager nu generalforsamlinger som lyd eller video, og det kræver eksplicit samtykke fra alle deltagere. Det er ikke tilstrækkeligt at informere herom i indkaldelsen. Deltagerne skal aktivt bekræfte, at de accepterer optagelsen.

Hvis I bruger digitale løsninger til stemmeafgivning via e-mail eller en app, skal I sikre, at de systemer, I anvender, lever op til GDPR-kravene, og at I har en databehandleraftale med leverandøren.

Husk også, at fremmøderegistrering ved generalforsamlingen indebærer behandling af personoplysninger. Underskriftslister og fuldmagter skal opbevares sikkert og slettes, når de ikke længere er nødvendige, typisk efter at eventuelle klagefristerne er udløbet.

Datatyper og behandlingsgrundlag

Ejerforeninger behandler typisk flere typer personoplysninger. Tabellen giver et overblik over de mest almindelige datatyper, det juridiske behandlingsgrundlag og den anbefalede opbevaringsperiode.

Foreningen skal kunne dokumentere behandlingsgrundlaget for hver datatype. Det anbefales at oprette en fortegnelse over behandlingsaktiviteter — et simpelt regneark er tilstrækkeligt for de fleste foreninger.

Sådan kan Ottica hjælpe

Ottica tilbyder konkret og praktisk hjælp til ejerforeninger, der ønsker at komme i overensstemmelse med GDPR uden at drukne i juridisk kompleksitet.

• GDPR-gennemgang: Vi kortlægger jeres nuværende behandlingsaktiviteter og identificerer de områder, hvor I er i risiko for overtrædelser, så I ved præcis, hvad der skal ændres.
• **

Ofte stillede spørgsmål

Skal ejerforeningen have en fortegnelse over behandlingsaktiviteter?

Ja, GDPR artikel 30 kræver, at alle dataansvarlige fører en fortegnelse over deres behandlingsaktiviteter. Det gælder også ejerforeninger, uanset størrelse. Fortegnelsen behøver ikke være avanceret — et regneark med kolonner for datatype, formål, behandlingsgrundlag og slettefrist er tilstrækkeligt. Bestyrelsen er ansvarlig for, at fortegnelsen holdes opdateret.

Kræves der databehandleraftale med administrator?

Ja, hvis jeres ejendomsadministrator behandler personoplysninger på foreningens vegne, skal der foreligge en skriftlig databehandleraftale i henhold til GDPR artikel 28. Det gælder også IT-leverandører, revisorer og andre, der håndterer ejeroplysninger. De fleste administrationsselskaber tilbyder standardaftaler, men bestyrelsen har ansvaret for at sikre, at aftalen er på plads.

Har ejere ret til indsigt?

Ja, enhver ejer har ret til indsigt i egne personoplysninger efter GDPR artikel 15. Foreningen har én måned til at besvare en indsigtsanmodning. Indsigten omfatter bl.a. kontaktoplysninger, betalingshistorik og korrespondance, men ikke oplysninger om andre ejere. Manglende svar inden fristen kan føre til klage til Datatilsynet.

Må vi dele ejerlisten med ejere indbyrdes?

Det kræver enten samtykke fra de enkelte ejere eller en berettiget interesse, der overstiger hensynet til den registreredes privatliv. En fuldstændig kontaktliste bør ikke distribueres frit via e-mail. En bedre løsning er en adgangsbeskyttet beboerportal, hvor ejerne selv kan vælge, hvilke oplysninger de vil dele. Læs mere om bestyrelsens juridiske forpligtelser.