Hyresgästföreningen anmäls för brott mot GDPR

Klagomålet lämnades in till IMY under måndagen den 3 augusti. Hyresbostadsägarna begär att myndigheten granskar Hyresgästföreningens behandling av personuppgifter och prövar om den är förenlig med dataskyddsförordningen, GDPR.

Bland annat ska Hyresgästföreningen ha använt sig av 30 år gamla bilder inifrån privata hem under en tvist som handlade om Zlatan Ibrahimovics fastighet på Östermalm i Stockholm.

Dessutom har Hyresgästföreningen via Socialdemokraternas hemsida utannonserat så kallade medlemsvärvningsevent, där enskilda personer kunnat delta. På eventen har de enskilda medlemmarna hanterat personuppgifter utan att det kunnat beläggas att de följt GDPR:s regler.

Enligt anmälan behandlar Hyresgästföreningen personuppgifter om knappt 2,7 miljoner befintliga svenska hyresgäster. Omkring 2,1 miljoner av dem är inte medlemmar i organisationen.

– Hyresgästföreningen har genom sin ställning på hyresmarknaden haft tillgång till omfattande information om människors boenden, hyror och personliga förhållanden. Vi företräder medlemsföretag vars hyresgäster har ifrågasatt lagligheten i hur den informationen har samlats in och använts. Vår uppgift är inte att avgöra frågan, utan att se till att den prövas, säger Einar Janson, ordförande för Hyresbostadsägarna i Stockholm.

– Granskningen har visat att Hyresgästföreningen behandlar personuppgifter i mycket stor omfattning och att bristerna i den behandlingen förefaller betydande. När en organisation behandlar uppgifter om en så stor andel av landets hyresgäster, och de flesta av dem aldrig har valt att bli medlemmar, ställs stora krav på den personuppgiftsbehandlingen. Då räcker det inte att hänvisa till att verksamheten är väl etablerad, säger Pernilla Norman, advokat vid Advokatfirman LexIT.

Uppgifter från 1980-talet

Granskningen pekar på ett stort antal återkommande brister. Bland annat ska handlingar med hyresgästuppgifter från slutet av 1980-talet fortfarande ha bevarats och använts, och fotografier tagna inne i människors bostäder ska ha sparats i upp till 30 år.

Enligt anmälan får Hyresgästföreningen tillgång till personuppgifter från externa företag och använder dem vid uppsökande medlemsvärvning och dörrknackning där även externa deltagare kan medverka. Dessutom har de samlat in personuppgifter från fler än 49 000 personer inom ramen för en valrelaterad kampanj. Handlingar med personuppgifter ska även ha lämnats ut till externa aktörer som Urban Rights.

– Lagringstiderna är en av de tydligaste frågorna i materialet. Personuppgifter får inte sparas längre än vad som är nödvändigt för det ändamål de en gång samlades in för. Handlingar från 1980-talet och bilder inifrån bostäder som bevaras i decennier kräver en förklaring som jag inte har kunnat hitta i det underlag jag gått igenom, säger Pernilla Norman.

Hon lyfter särskilt fram att uppgifter enligt granskningen också lämnats vidare till aktörer utanför organisationen.

– När uppgifter lämnas ut till en extern part behöver man kunna redogöra för vilken rättslig grund som finns för utlämnandet och vad mottagaren får göra med informationen. Det är en av de punkter där bilden i dag är otydlig, säger hon.

Vill se samlad prövning

Anmälan uppmärksammar också att Hyresgästföreningen ska ha hänvisat till offentlighets- och sekretesslagen när de beskrivit begränsningar i den registrerades rätt till tillgång enligt GDPR.

– Rätten att få veta vilka uppgifter som finns om en själv är en av de mest grundläggande rättigheterna i dataskyddsförordningen. Den kan begränsas, men bara på de grunder som regelverket faktiskt anvisar. Hyresgästföreningens sätt att inskränka enskilda personers rätt att få information om vilka uppgifter föreningen behandlar och för vilka ändamål, är en fråga som behöver granskas och prövas av IMY, säger Pernilla Norman.

Hyresbostadsägarna begär att IMY granskar vilken rättslig grund som finns för behandlingen, hur länge uppgifterna sparas, vilka aktörer som får del av dem och vilken information som lämnas till de registrerade.

Einar Janson beskriver bristerna som strukturella snarare än enstaka.

– Det här handlar inte om ett enstaka dokument eller ett isolerat misstag. Anmälan identifierar flera återkommande och strukturella frågor som behöver granskas av en oberoende myndighet, säger han.

Pernilla Norman har drygt 30 års erfarenhet av bland annat EU- och konkurrensrätt, dataskydd och GDPR samt tech- och IT-rätt. Hon är även doktorand vid avdelningen för Europarätt vid Stockholms universitet.

– Min roll har varit att gå igenom materialet juridiskt och identifiera brister samt ställen där information om personuppgiftsbehandlingen saknas. Slutsatsen är att frågorna är tillräckligt många och tillräckligt allvarliga för att motivera en samlad prövning hos tillsynsmyndigheten. IMY kan i sin granskning begära in ytterligare information från Hyresgästföreningen som behövs för att kunna avgöra hur Hyresgästföreningen har behandlat personuppgifter och om den behandlingen strider mot GDPR, säger hon.