Udlejer behandler personoplysninger: ”Personoplysninger” betyder enhver form for information om en identificeret eller identificerbar fysisk person. ”Personoplysninger” omfatter derfor ikke blot CPR-nummer, men også fx navn, adresse, helbredsoplysninger, kontonummer mv. Når man som udlejer behandler personoplysninger, gælder persondataforordningen (GDPR).
Som udlejer kan det ikke undgås, at man behandler personoplysninger om lejere, herunder fx oplysninger, som er angivet i lejekontrakten, men det kan også være oplysninger om manglende betaling af husleje, en sag ved huslejenævnet, oplysninger om forbrug eller oplysninger om handicap eller andre helbredsmæssige oplysninger, såfremt dette er relevant for udlejers håndtering af lejemålet.
Det følger blandt andet af GDPR, at man har en oplysningsforpligtelse overfor den/de fysiske personer, man som udlejer behandler personoplysninger om, og at denne oplysningsforpligtelse som udgangspunkt skal efterleves, når personoplysningerne om lejere indsamles.
Det er et helt klart udgangspunkt, at udlejer altid skal efterleve oplysningsforpligtelsen overfor de personoplysninger, udlejer behandler personoplysninger om, uanset hvilke og/eller hvor få personoplysninger udlejer indsamler. Udover de personoplysninger, som udlejer indsamler om lejere, skal udlejer være opmærksom på, om udlejer behandler personoplysninger om andre kategorier af person, herunder fx om ansøgere, ansatte eller leverandører. Som udgangspunkt skal udlejer også efterleve oplysningsforpligtelsen overfor sådanne personer.
Denne artikel handler om udlejers oplysningsforpligtelse overfor lejere, når udlejer indsamler personoplysninger om lejere i forbindelse med indgåelse af lejekontrakter.
Udlejers oplysningspligt overfor lejere
Udlejers oplysningsforpligtelse efter GDPR betyder, at udlejer skal give nedenstående oplysninger til lejer, når udlejer indsamler personoplysninger.
Det er en god idé at udarbejde en persondatapolitik med disse oplysninger, som kan gives til lejer i forbindelse med indgåelsen af lejekontrakten. Oplysningsforpligtelsen må gerne efterleves elektronisk, fx via et direkte link til en hjemmeside, men det er vigtigt, at lejeren får uhindret og let adgang til oplysningerne.
[Find skabelon til CPR-samtykkeerklæring her]Det er endvidere vigtigt, at oplysningerne gives senest samtidig med, at udlejer indsamler personoplysningerne, og at udlejer er opmærksom på, at oplysningsforpligtelsen skal efterleves på ny, hvis udlejer senere beslutter sig for at anvende lejers personoplysninger til nye formål end de, hvortil personoplysningerne oprindeligt var indsamlet.
I det følgende gennemgås de vigtigste oplysninger, som udlejer skal give lejer, når udlejer indsamler personoplysninger.
1. Udlejers identitet og kontaktoplysninger
Udlejer skal informere lejer om sine kontaktoplysninger, så lejer ved, hvem der er ansvarlig for behandlingen af personoplysningerne.
2. Hvilke personoplysninger behandles samt formål med og lovgrundlag for behandlingen af disse personoplysninger
Udlejer skal oplyse om, hvilke kategorier af personoplysninger, udlejer behandler, herunder fx ”almindelige personoplysninger”, som navn, adresse og kontaktoplysninger eller ”følsomme personoplysninger”, som helbredsoplysninger. Herudover anbefales det, at udlejer oplyser om udlejers behandling af CPR-nummer og oplysninger om straffedomme og lovovertrædelser, hvis udlejer behandler sådanne oplysninger.
Udlejer skal altid have et legitimt formål med og lovgrundlag for at behandle personoplysninger. Dette kan fx være, at behandlingen af lejers kontaktoplysninger er nødvendig for at varetage parternes rettigheder og forpligtelser efter lejeaftalen, eller at behandling af lejers CPR-nummer er nødvendig for at tilmelde lejeren et elselskab.
Retsgrundlaget for udlejers behandling vil oftest være, at behandlingen er nødvendig for at efterleve en kontrakt, som lejer er eller vil blive part i (lejekontrakten), jf. persondataforordningens art. 6, stk. 1, litra b, eller for at varetage parternes legitime interesser, jf. persondataforordningens art. 6, stk. 1, litra f.
Retsgrundlaget kan også være lejers samtykke, hvilke fx vil være tilfældet, hvis udlejer ønsker at behandle lejers CPR-nummer. Se tidligere artikel: Må udlejer indsamle og opbevare lejers cpr-nummer?
3. Modtagere eller kategorier af modtagere af personoplysningerne
Lejeren skal endvidere informeres om, hvorvidt udlejer videregiver personoplysningerne til andre og i givet fald hvilke kategorier af modtagere, og om disse modtagere befinder sig udenfor EU/EØS. Dette kan fx være en ekstern administrator, udlejers databehandlere eller andre leverandører/samarbejdspartnere.
I den forbindelse er det vigtigt at være opmærksom på, at der gælder særlige regler, hvis udlejer overfører personoplysninger til lande eller internationale organisationer udenfor EU/EØS, hvilket fx er tilfældet, hvis personoplysningerne behandles i Microsofts programmer eller opbevares i en cloud, som leveres af en international leverandør.
4. Hvornår vil personoplysningerne blive slettet
Udlejer må udelukkende gemme personoplysningerne, så længe udlejer har et legitimt formål med at behandle disse. Herefter skal personoplysningerne slettes.
Udlejer skal oplyse om, hvor længe personoplysningerne vil blive gemt. Hvis ikke det er muligt, skal udlejer oplyse om de kriterier, der anvendes til at fastlægge opbevaringsperioden. Tidsrummet for opbevaring af personoplysninger skal altid angives ud fra de saglige kriterier og det formål personoplysningerne er indsamlet til. Det kan fx være, at det pågældende lejeforhold er tidsubegrænset, og at personoplysningerne derfor vil blive gemt, så længe lejeforholdet består, og indtil 3 år efter alle forhold og udeståender er afsluttet.
5. At lejer har visse rettigheder efter persondataforordningen
Udlejer skal oplyse lejer om, at lejer blandt andet har ret til indsigt i og berigtigelse af sine personoplysninger, at lejer i visse tilfælde har ret til sletning eller begrænsning af behandlingen, og at lejer i visse tilfælde har ret til at gøre indsigelse mod behandling.
Lejer skal også oplyses om sin ret til at klage til Datatilsynet over udlejers behandling af vedkommendes personoplysninger.
6. Om lejers udlevering af sine personoplysninger er lovpligtig, et krav i henhold til en kontrakt eller et krav, der skal være opfyldt for at indgå en kontrakt, samt om den registrerede har pligt til at give personoplysningerne og de eventuelle konsekvenser af ikke at give sådanne oplysninger
Lejer skal informeres om, hvilke konsekvenser det har, hvis udlejer ikke ønsker at give sine personoplysninger, herunder fx at lejeaftalen ikke kan indgås, såfremt oplysningerne er nødvendige for at efterleve forpligtelserne efter lejeaftalen.
(Artiklen er bragt i Magasinet Danske Udlejere nr. 10 – december 2020)
