GDPR för BRF-hemsidor – vad styrelsen behöver veta

Föreningen är personuppgiftsansvarig – vad betyder det?

En bostadsrättsförening behandlar personuppgifter i sin dagliga verksamhet: medlemsförteckning, avgiftsavier, protokoll, kölistor. När föreningen dessutom har en hemsida tillkommer det som publiceras och skickas in där. För allt detta är föreningen personuppgiftsansvarig – det är alltså föreningen som juridisk person, företrädd av styrelsen, som ansvarar för att GDPR följs.

Det låter tyngre än det är. För en normal förening handlar ansvaret om sunt förnuft satt i system: behandla inte fler uppgifter än nödvändigt, ha ett skäl för det ni gör, berätta öppet om hanteringen och städa bort det som inte längre behövs. Ingen förening förväntas ha en jurist i styrelsen – men varje förening förväntas kunna svara på frågan ”varför publicerar ni det här?”.

En viktig avgränsning: den här guiden handlar om hemsidan. Medlemsförteckningar, pantförteckningar och ekonomisk förvaltning har egna regler och sköts ofta av förvaltaren – de ska över huvud taget inte upp på webben.

Vad får publiceras öppet om personer?

Huvudregeln: att publicera en personuppgift på en öppen hemsida är en behandling som kräver rättslig grund. För en förening är den vanligaste grunden en intresseavvägning – föreningens berättigade intresse av att informera väger mot personens intresse av skydd. Så här faller de vanliga fallen ut:

• ✓Styrelsens namn och roller: oproblematiskt. Uppdraget är offentligt till sin natur (ledamöterna registreras hos Bolagsverket) och medlemmarna har ett tydligt intresse av att veta vem som företräder dem. Publicera gärna på en styrelsesida.
• ✓Ledamöters privata mobilnummer och mejl: publicera bara med personens godkännande. Bättre praxis är en gemensam styrelsemejl eller ett kontaktformulär.
• ✓Foton på personer: kräver i praktiken samtycke. Fråga alltid innan porträtt publiceras, och tänk på att samtycke kan återkallas. Miljöbilder utan identifierbara personer är alltid säkra – och räcker långt i ett bildgalleri.
• ✓Namn på boende i övrigt (kölistor, lägenhetsinnehav, gruppindelningar): undvik helt på öppen webb.
• ✓Barn: extra försiktighet – publicera inte bilder eller namn utan vårdnadshavares uttryckliga samtycke.

En bra tumregel för allt öppet publicerat: skulle uppgiften kunna stå i en annons i lokaltidningen utan att någon höjer på ögonbrynen? Om inte – publicera den inte öppet.

Stämmoprotokoll och styrelseprotokoll – webbfrågan nummer ett

Protokollen är den vanligaste GDPR-frågan för föreningshemsidor, och här är rättsläget tydligare än många tror. Stämmoprotokollet ska enligt lag hållas tillgängligt för medlemmarna – men det betyder inte att det ska publiceras öppet på internet. Protokoll innehåller ofta namn, motioner från enskilda och ibland känsliga ärenden, och Integritetsskyddsmyndigheten har varit kritisk till öppen publicering av protokoll med personuppgifter.

Styrelseprotokoll är inte ens medlemsoffentliga – de ska inte publiceras alls, inte heller bakom inloggning för medlemmar.

Den praktiska lösningen ser i de flesta föreningar ut så här:

• ✓Publicera stämmoprotokoll bakom lösenordsskydd så att bara medlemmar når dem – eller maska personuppgifter före öppen publicering.
• ✓Publicera gärna en öppen beslutssammanfattning: ”stämman beslutade om ny tvättstuga och oförändrad avgift” innehåller inga personuppgifter och täcker de flestas informationsbehov.
• ✓Håll fullständiga protokoll tillgängliga på begäran, som lagen kräver.

Med en dokumentsida där enskilda dokument kan lösenordsskyddas blir uppdelningen enkel: stadgar och årsredovisning öppet, protokoll bakom medlemslösenord.

Formulär, felanmälningar och inskickade uppgifter

Hemsidans formulär – kontakt, felanmälan, ansökningar om andrahandsuthyrning och renovering – innebär att boende skickar in personuppgifter till föreningen. Det är en helt legitim behandling: uppgifterna behövs för att hantera ärendet, vilket ger rättslig grund. Men tre rutiner bör finnas:

• ✓Samla inte in mer än ärendet kräver. Ett felanmälningsformulär behöver namn, kontaktväg och felbeskrivning – inte personnummer.
• ✓Begränsa vilka som ser inkommna ärenden till styrelsen (eller den som hanterar dem), och vidarebefordra inte i onödan.
• ✓Rensa regelbundet. Avslutade ärenden behöver inte sparas i åratal – bestäm en gallringsrutin, till exempel årlig rensning av ärenden äldre än tolv månader. Ansökningar om andrahandsuthyrning och renovering kan dock behöva sparas längre, eftersom de dokumenterar beslut om lägenheten.

Skriv också in i föreningens integritetstext vad formulären används till och hur länge uppgifterna sparas. Det är hela poängen med öppenhetskravet i GDPR – och det tar tio minuter.

Integritetstexten och de enkla rutinerna

Varje föreningshemsida bör ha en kort integritetssida som förklarar: vilka uppgifter som behandlas via hemsidan (formulärsvar, eventuella publicerade namn och bilder), varför, hur länge de sparas och hur man kontaktar styrelsen för att få uppgifter rättade eller raderade. Skriv den på svenska och som ni pratar – syftet är att en boende faktiskt ska förstå den.

Registrerades rättigheter låter formellt men är i praktiken enkelt för en förening: den som vill veta vilka uppgifter föreningen har om hen, få dem rättade eller (i vissa fall) raderade ska kunna vända sig till styrelsen och få svar utan onödigt dröjsmål. För en hemsida handlar det oftast om att ta bort ett foto eller en gammal formulärpost – gör det, bekräfta, klart.

Väljer föreningen en hemsidesleverantör tillkommer en sista pusselbit: leverantören behandlar uppgifter för föreningens räkning och är då personuppgiftsbiträde. Kontrollera att leverantören erbjuder ett personuppgiftsbiträdesavtal och att datan lagras inom EU/EES – det är standard hos seriösa aktörer och ingenting föreningen ska behöva förhandla om.

Checklista: GDPR-trygg hemsida på en sida

Sammanfattningen att spara i styrelsepärmen – kan ni bocka av punkterna är hemsidan i gott skick:

• ✓Öppet publicerat innehåll klarar lokaltidnings-testet: inga uppgifter ni inte skulle annonsera öppet.
• ✓Styrelsen presenteras med namn och roll – privata kontaktuppgifter bara med godkännande.
• ✓Foton på identifierbara personer har samtycke; barnbilder har vårdnadshavares samtycke.
• ✓Stämmoprotokoll ligger bakom medlemslösenord eller publiceras maskade; styrelseprotokoll publiceras inte alls.
• ✓Formulären samlar bara in det ärendet kräver, och gamla ärenden gallras enligt rutin.
• ✓En begriplig integritetssida finns och är länkad från sidfoten.
• ✓Den som begär rättelse eller radering får det utan krångel.
• ✓Leverantören har biträdesavtal och lagrar datan inom EU/EES.

GDPR är med andra ord ingen anledning att avstå från hemsida – bara att bygga den med omdöme. Hur ni gör resten av bygget beskrivs i Hemsida till BRF – komplett guide och i genomgången av vad hemsidan bör innehålla.

Ett förbehåll till sist: den här guiden är allmän vägledning, inte juridisk rådgivning. I enskilda tveksamma fall – särskilt kring protokoll och tvister – konsultera förvaltaren eller en jurist.