GDPR kräver inte bara att ni behandlar personuppgifter klokt. Den kräver att ni för register över era behandlingar — skriftligen, i elektronisk form, uppdaterat, och tillgängligt för Integritetsskyddsmyndigheten om de frågar.
För en bostadsrättsförening är det mindre skrämmande än det låter. Ni har sannolikt en handfull behandlingar: medlemsförteckningen, lägenhetsförteckningen, kösystemet, kanske en nyckelliggare. Var och en blir en post här.
En behandling i taget
Varje post beskriver en behandling. Har ni en behandling som vilar på två olika rättsliga grunder ska den delas i två poster — annars går den inte att beskriva korrekt.
Grunduppgifter
Titel är intern: "Medlemsförteckning", "Kölista parkeringsplatser".
Personuppgiftsansvarig är normalt föreningen själv. Välj Annan part och namnge den bara om ansvaret faktiskt ligger någon annanstans.
Att uppgifterna fysiskt finns hos någon annan gör inte den andre ansvarig. Förvaltaren som håller medlemsregistret åt er är ett biträde; ansvaret är fortfarande föreningens. Var uppgifterna finns beskriver ni längre ner.
Rättslig grund
Sex grunder finns i lagen, och ni väljer en:
| Grund | Innebär |
|---|---|
| Samtycke | Den registrerade har sagt ja. |
| Avtal | Behandlingen behövs för att fullgöra ett avtal med personen. |
| Rättslig förpliktelse | Lagen kräver att ni behandlar uppgifterna. |
| Grundläggande intresse | Behandlingen skyddar någons liv eller hälsa. |
| Myndighetsutövning och uppgift av allmänt intresse | Sällan aktuellt för en förening. |
| Intresseavvägning | Ert berättigade intresse väger tyngre än intrånget. |
Två av dem gör mest arbete i en förening. Rättslig förpliktelse bär medlems- och lägenhetsförteckningen — bostadsrättslagen ålägger er att föra dem. Intresseavvägning bär mycket av det övriga, som information till medlemmarna.
Samtycke är sällan rätt svar. Ett samtycke kan tas tillbaka när som helst, och då måste behandlingen upphöra. Väljer ni samtycke för medlemsförteckningen har ni byggt in en skyldighet ni inte kan uppfylla. Har ni en annan grund — använd den.
Lagrade uppgifter
Beskriv vilka slags uppgifter behandlingen omfattar: namn, personnummer, e-postadresser, telefonnummer.
Kryssrutan för känsliga uppgifter gäller det som lagen pekar ut särskilt — hälsa, etnicitet, fackligt medlemskap, religiös övertygelse. Det är ovanligt i en förening men inte otänkbart: bostäder uthyrda till kommunal omsorg kan föra med sig sådana uppgifter.
Lagring
Tre fält som hänger ihop:
- Syfte — vad ni vill uppnå. Det här fältet ska motivera den rättsliga grunden ni valde, inte upprepa den.
- Lagringsplats — var och i vilken form. "Databas hos Styrelseproffset", "pärm på expeditionen", "hos förvaltaren".
- Lagringstid — hur länge, räknat från vad, och om borttagningen sker automatiskt.
Det sista fältet är det som brukar avslöja luckor. Kan ni inte svara på hur länge uppgifterna sparas är det värt att sätta upp automatisk gallring innan ni skriver i fältet.
Personuppgiftsbiträden
Ett biträde är någon som behandlar personuppgifter för er räkning — förvaltaren, ekonomibyrån, systemleverantören. Biträdena förs som ett eget register och kopplas till de behandlingar de är inblandade i.
För varje biträde noterar ni namn, länk till deras personuppgiftspolicy, om uppgifter överförs till tredjeland, och en behandlingsinstruktion — hur biträdet får behandla uppgifterna inom just den behandlingen.
Biträdet kan kopplas till ett avtal i systemet, vilket är där personuppgiftsbiträdesavtalet hör hemma. Då finns kopplingen behandling → biträde → avtal dokumenterad i ett sammanhang.
Styrelseproffset finns med som biträde från början. Webb Trepunktnoll AB tillhandahåller tjänsten och behandlar uppgifter för föreningens räkning — biträdesavtalet tecknas därifrån.
Att visa upp dokumentationen
Skyldigheten är inte bara att föra registret utan att kunna lämna över det. Exportcentralen exporterar personuppgiftsregistren, biträdena och kopplingarna mellan dem.
Var ni börjar
Är det här nytt för föreningen: skapa en post för medlemsförteckningen först. Rättslig grund Rättslig förpliktelse, uppgifterna namn och kontaktuppgifter, lagringsplats databas hos Styrelseproffset, lagringstid enligt vad ni ställt in för arkiverade medlemmar. Den posten tar tio minuter och täcker föreningens tyngsta behandling.
Resten kan ni fylla på med efterhand.
