GDPR og personvern for borettslag
Hva borettslaget er pålagt å gjøre, og hva som er anbefalt.
Ja. Et borettslag behandler personopplysninger om beboerne (navn, adresse, telefon, e-post, ev. helseopplysninger ved tilrettelegging) og er derfor behandlingsansvarlig etter personopplysningsloven/GDPR. Styreleder er øverste ansvarlig.
Hva dere MÅ gjøre
Dette er lovpålagte krav som gjelder alle borettslag:
| Krav | Hva betyr det i praksis? | Hjemmel |
|---|---|---|
| Behandlingsgrunnlag | Dere kan behandle beboerdata fordi det er nødvendig for å oppfylle borettslagets avtaleforpliktelser og vedtekter (GDPR art. 6(1)(b)). | GDPR art. 6 |
| Informasjonsplikt | Beboere skal vite hvilke data dere samler, hvorfor, og hvem som har tilgang. Ha en enkel personvernerklæring. | GDPR art. 13–14 |
| Dataminimering | Ikke samle inn eller lagre mer data enn nødvendig. Slett gamle beboerlister. | GDPR art. 5(1)(c) |
| Tilgangsstyring | Bare styremedlemmer og forretningsfører skal ha tilgang til beboerdata. Ikke legg beboerlister åpent. | GDPR art. 32 |
| Avvikshåndtering | Personvernbrudd (f.eks. beboerlister sendt til feil mottaker, hacket e-post) skal meldes til Datatilsynet innen 72 timer. | GDPR art. 33–34 |
| Databehandleravtale | Hvis OBOS, regnskapsfører eller andre behandler data på vegne av borettslaget, skal det finnes en avtale. OBOS har som regel dette på plass. | GDPR art. 28 |
Hva dere BØR gjøre
- Lag en personvernerklæring og publiser den på Vibbo eller hjemmesiden (se mal under)
- Ha en intern rutine for hva som skjer ved personvernbrudd
- Gjennomgå delinger i SharePoint/Vibbo — ser beboere data de ikke bør se?
- Slett ved fraflytting — fjern persondata om beboere som har flyttet, med mindre det er nødvendig for regnskap/arkiv
- Vær forsiktig med kameraovervåking — dette har strenge regler og krever en vurdering
Mal: Personvernerklæring
Kopier og tilpass denne teksten til deres borettslag. Publiser den på Vibbo eller hjemmesiden.
Personvernerklæring for [Borettslagets navn]
Behandlingsansvarlig: Styret i [Borettslagets navn], org.nr. [xxx xxx xxx].
Hvilke opplysninger behandler vi? Vi behandler navn, adresse, telefonnummer, e-postadresse og eventuelt kontonummer for beboere og andelseiere. For adgangskontroll lagres logg over kortbruk i fellesarealer.
Hvorfor? Opplysningene brukes for å administrere borettslaget, kommunisere med beboere, kreve inn felleskostnader og ivareta sikkerhet i fellesarealer.
Hvem har tilgang? Styret, forretningsfører (OBOS) og regnskapsfører. Data deles ikke med andre med mindre det er pålagt ved lov.
Lagring: Data lagres så lenge du er beboer. Ved fraflytting slettes data innen [xx] måneder, med unntak av det som kreves for regnskap/arkiv.
Dine rettigheter: Du har rett til innsyn, retting og sletting av dine personopplysninger. Kontakt styret via [e-post/Vibbo].
Klager: Hvis du mener personvernet ditt ikke ivaretas, kan du klage til Datatilsynet (datatilsynet.no).
Sist oppdatert: [dato]
Ved personvernbrudd
Hvis personopplysninger kommer på avveie (f.eks. en beboerliste sendes til feil person, eller en e-postkonto med beboerdata hackes), skal dette meldes til Datatilsynet innen 72 timer via datatilsynet.no/melde-avvik. Beboerne skal også varsles hvis bruddet medfører høy risiko for dem.