Hur borde bostadsföretag hantera av personuppgifter genom hela hyrescykeln? När får bostadsföretag exempelvis behandla uppgifter om lagöverträdelser och använda passageloggar i elektroniska nyckelsystem? Hur hanterar vi personuppgifter på ett tryggt och korrekt sätt – utan att tumma på de boendes integritet?

Här berättar bokens författare Marina Rajala om upplägg och innehåll i boken:

Vägledande handbok

I Sveriges Allmännyttas handbok Uthyrning och förvaltning av bostäder – handbok för behandling av personuppgifter får bostadsföretag ett samlat och praktiskt stöd för hur personuppgifter kan behandlas vid uthyrning och förvaltning av bostäder i flerfamiljshus. I praktiken innebär handboken att verksamheten får stöd i att göra rätt i vardagen – samtidigt som de boendes personliga integritet värnas.

Denna handbok är vägledande. Den förändrar inte ansvarsfördelningen enligt gällande rätt. Det är alltid den personuppgiftsansvarige som ansvarar för att behandlingen av personuppgifter sker i enlighet med tillämplig lagstiftning.

Personuppgifter behandlas genom hela avtalscykeln. För att spegla detta är handboken uppdelad i olika stadier, med detaljerad information om vilka ändamål, rättsliga grunder och personuppgifter som kan vara aktuella i respektive skede: innan avtal tecknas, under hyrestiden och efter att hyresgästen har flyttat ut.

Generell information om GDPR

Handboken innehåller också generell information om de grundläggande principerna i dataskyddsförordningen (GDPR) samt om särskilda situationer, såsom hantering av störningsärenden, skyddade personuppgifter, elektroniska nyckelsystem och individuell mätning och debitering (IMD). Dessa behandlingar bedöms som särskilt integritetskänsliga och kan, beroende på omständigheterna, kräva konsekvensbedömning (DPIA), tydlig information till de boende och strikta gallringsrutiner.

Kommunala bostadsföretag omfattas i normalfallet av arkiv- och offentlighetslagstiftningen. Det innebär att de kan vara skyldiga att spara personuppgifter längre än privata bostadsföretag och längre än vad som annars krävs för det aktuella ändamålet.

Gallringsfrister

I handboken anges i vissa fall förslag till gallringsfrister. För kommunala bostadsföretag finns dock vanligtvis en dokumenthanteringsplan (eller informationshanteringsplan). Den innehåller anvisningar för hur handlingar ska hanteras, exempelvis om de ska bevaras eller gallras, hur de ska sorteras och förvaras samt om de ska diarieföras. Arkiv- och offentlighetslagstiftningen ställer krav på att myndigheters allmänna handlingar hålls ordnade och sökbara.

Lagöverträdelser

En återkommande fråga är om det är tillåtet att behandla uppgifter om lagöverträdelser, det vill säga om en person har begått brott eller är misstänkt för brott. Är det exempelvis möjligt att inför ett avtalstecknande kontrollera om en tilltänkt hyresgäst har blivit dömd för ett brott? Det korta svaret är nej – sådan behandling är i normalfallet inte tillåten.

Enligt GDPR får andra än behöriga myndigheter, såsom bostadsföretag, endast behandla uppgifter om lagöverträdelser i mycket begränsade situationer, främst när det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk. Däremot är behandling inte tillåten i ett proaktivt eller generellt kontrollsyfte.

Passageloggar

Behandling av personuppgifter i form av passageloggar i elektroniska nyckelsystem är också en aktuell fråga. Sådana uppgifter kan i vissa fall behandlas när det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk. Däremot är det inte tillåtet att använda passageloggar för generell övervakning, exempelvis för att kontrollera när boende kommer och går eller för att spåra vem som glömt luddet i torktumlaren. Sådan användning saknar normalt rättslig grund enligt GDPR.

Att behandla personuppgifter i bostadsförvaltningen är i grunden en fråga om förtroende. De boende delar med sig av uppgifter som rör deras hem, vardag och ibland mycket utsatta situationer. Hur uppgifterna hanteras är därför ett tydligt uttryck för bostadsföretagets respekt för den personliga integriteten.

Stöd i dagliga arbetet

Handboken är ett stöd i det dagliga arbetet men kan aldrig ersätta den bedömning som måste göras i det enskilda fallet. Dataskydd är ett löpande arbete där rutiner och arbetssätt behöver utvecklas i takt med verksamheten och rättspraxis. En genomtänkt och ändamålsenlig behandling av personuppgifter skapar inte bara regelefterlevnad, utan också trygghet – för de boende, för medarbetarna och för bostadsföretaget.