GDPR для арендодателей: как правильно обращаться с персональными данными

GDPR — три буквы, вызывающие беспокойство у всех, кто работает с данными людей. Как арендодатель, вы ежедневно обрабатываете личные данные арендаторов: имена, адреса, номера социального страхования, номера счетов. Как сделать это правильно и избежать штрафов?

В этой статье я на практике покажу вам, что означает GDPR для аренды и как его соблюдать без стресса.

Что такое GDPR

Основной принцип

GDPR (Общий регламент по защите данных) — это регламент ЕС по защите персональных данных. Действует с 25 мая 2018 года.

Кого это касается

Любой, кто обрабатывает персональные данные физических лиц, в том числе собственников квартир.

Что такое персональные данные

Примеры аренды:

• Имя и фамилия
• Дата рождения
• Номер социального страхования
• Адрес
• Электронная почта и телефон
• Номер банковского счета, только если он необходим для конкретной цели (например, возврата средств)
• Фотографии квартиры с людьми

Штрафы

До 20 миллионов евро или 4% от годового оборота. Для арендодателей суммы реально несколько меньшие, но все равно неприятные.

Когда вы можете обрабатывать данные

Юридические права на обработку

**

1. Выполнение договора:

** Вам нужны данные для договора аренды – ФИО, адрес, контакт.

**

1. Юридическое обязательство:

** Закон требует определенных данных – отчетности иностранцев, налоговых обязательств.

**

1. Законный интерес:**

Защита собственности – но нужно учитывать права арендатора.

**

1. Согласие:**

Для данных не обязательно нужны — маркетинг, фотографии.

На практике

| Данные | Юридическое название | |------ |------------- | | Имя, фамилия | Выполнение контракта | | Дата рождения | Выполнение контракта | | Номер социального страхования | Исполнение договора (идентификация) | | Адрес | Выполнение контракта | | Электронная почта, телефон | Выполнение контракта | | Номер счета | Выполнение контракта | | Копия ОП | Законный интерес (проверка) | | Квитанция о получении | Законный интерес (кредитоспособность) | | Фотография человека | Согласие |

Какие данные собирать

Требуемый минимум

В аренду:

• Имя и фамилия
• Дата рождения (или номер социального страхования)
• Адрес постоянного проживания
• Контактная информация (электронная почта, телефон)
• Номер банковского счета, только если он необходим для конкретной цели (например, возврата средств)

Другая общая информация

Для проверки кредитоспособности:

• Подтверждение трудоустройства
• Сумма дохода
• рекомендация от предыдущего арендодателя

Для записей:

• Копия удостоверения личности

Что НЕ собирать

Если нет необходимости:

• Данные о здоровье
• Данные о детях (кроме количества человек)
• Религиозные убеждения
• Политические взгляды
• Сексуальная ориентация

Как хранить данные

Безопасность

Физические документы:

• Запираемый шкаф или сейф
• Доступ только авторизованным лицам
• Утилизация измельчителем

Электронные данные:

• Пароли и шифрование
• Резервное копирование
• Антивирусная защита
• Ограниченный доступ

Срок хранения

Правило: Хранить только в течение времени, необходимого для обработки.

Практично:

• Во время аренды: Все необходимое
• После окончания аренды: храните только столько, сколько требуется применимыми налоговыми, бухгалтерскими, исковыми и спорными обязательствами; универсального срока GDPR в 10 лет нет
• По истечении сроков: Удалить/уничтожить

Пример временной шкалы

| Фаза | Данные | Время | |------ |------- |------ | | Заинтересованы | Контакты, требования | До решения | | Заявитель отклонен | - | Удалить немедленно | | Активная аренда | Все | На срок аренды | | После | Налоговый релевантный | 10 лет | | Через 10 лет | - | Удалить все |

Права арендаторов

Право на информацию

Вы должны сообщить, какие данные вы обрабатываете и почему.

Как:

• Пункт в договоре аренды.
• Отдельный документ «Информация об обработке персональных данных»

Право доступа

Арендатор может запросить обзор своих данных.

Срок: обычно один месяц при соблюдении условий GDPR; возможны продление и предусмотренные законом ограничения.

Право на исправление

Если данные неточны, необходимо их исправить.

Право на удаление

«Право на забвение» – но будьте осторожны, не всегда можно стереть. Когда вы МОЖЕТЕ удалить:

• Вам больше не нужны данные
• Согласие отозвано
• Обработка была незаконной

Когда НЕ МОЖЕШЬ:

• У вас есть юридическое обязательство хранить
• Идет судебное разбирательство.

Право на возражение

Арендатор может возражать против обработки на основании законного интереса.

Практические шаги

###

1. Сопоставьте данные

Создайте список:

• Какие данные вы собираете
• Зачем они тебе?
• Где ты их держишь?
• Кому ты их отдаешь?

###

1. Сведите к минимуму

Собирайте только то, что вам действительно нужно. ###

1. Безопасность

Защищайте физически и электронно от несанкционированного доступа. ###

1. Информировать

Сообщите арендаторам, как вы обрабатываете их данные. ###

1. Установите сроки

Определите, когда вы удаляете данные. ###

1. Документ

Запишите соблюдение GDPR.

Информационный пункт

Что он должен содержать

• Кто является контролером данных (вы)
• Цель обработки
• Правовая основа
• Получатели данных
• Срок хранения
• Права субъектов

Образец рецептуры

«Арендодатель обрабатывает персональные данные арендатора в целях исполнения договора аренды и связанных с ним обязательств. Правовой основой является выполнение договора и юридических обязательств. Данные хранятся в течение срока аренды, а затем в течение периода, установленного законодательством для архивирования. Арендатор имеет право на доступ, исправление и удаление данных в пределах, предусмотренных законом».

Передача данных

Кому можно переслать

Без согласия (исполнение договора, закона):

• Управляющий домом, SVJ
• Поставщик услуг (энергетика)
• Финансовый офис
• Страховая компания (в случае ущерба)

С согласия:

• Маркетинговые цели
• Ссылки на третьих лиц

Соглашение об обработке

Если за вас данные обрабатывает кто-то другой (бухгалтер, администратор), заключите договор на обработку.

Распространенные ошибки

Ошибка 1: Собираем «на всякий случай»

Пример: Копия свидетельства о рождении детей арендатора.

Решение: Соберите только необходимые данные.

Ошибка 2: Неограниченное хранилище

Пример: Договоры старых арендаторов с 1995 года.

Решение: Уничтожить файлы после истечения срока.

Ошибка 3: небезопасные данные

Пример: контракты в незапертом ящике.

Решение: Блокировка, шифрование, защита.

Ошибка 4: отсутствует информация

Пример: Арендатор не знает, что вы делаете с его данными.

Решение: Сообщите в рамках договора или отдельно.

Резюме: контрольный список GDPR

Сбор данных:

• Только необходимые данные
• Четкое юридическое название
• Информирование арендатора.

Хранение:

• Безопасное хранение
• Ограниченный доступ
• Определенные сроки

Удаление:

• После окончания цели
• Соблюдение установленных законом сроков.
• Документация

Права арендатора:

• Ответ в течение 1 месяца
• Исправление неточностей
• Удаление (если возможно)

GDPR – это не страшилка, это здравый смысл в юридической форме. Обрабатывайте данные честно, безопасно и прозрачно – и проблемы обойдут вас стороной.