– Jeg tror nok det er mange norske eiendomsaktører som heller ikke har ryddet opp i gamle arkiver over leietagere. Det kan dreie seg om sensitiv informasjon om helse, familieforhold, vandel og kredittsjekker som blir liggende i årevis, selv om det ikke er lov, sier advokat og partner Bjørn Ofstad i Deloitte Advokatfirma.
I slutten av oktober kom nyheten om at det tyske, børsnoterte eiendomsselskapet Deutsche Wohnen SE ble ilagt en bot av de tyske personvernmyndigheter på hele 14,8 millioner euro, tilsvarende 150 millioner norske kroner.
Deutsche Wohnen er en stor utleieaktør i Tyskland, og aller størst er tilstedeværelsen i Berlin, hvor selskapet eier 116.000 boliger for utleie, ifølge selskapets hjemmeside.
Selskapet er blitt bøtelagt for ikke å ha overholdt bestemmelser om sletting av data om leietagere, og for ikke å ha hatt teknisk utstyr på plass som skal passe på at sletting av gamle data skjer automatisk når man ikke lenger trenger informasjonen.
Skal styrke personvern
Ofstad påpeker at det å ikke slette informasjon om tidligere leietagere er brudd på et sentralt prinsipp i GDPR, som kalles «privacy by design», eller innebygget personvern på norsk. GDPR-regelverket, også kalt personvernforordningen på norsk, ble innført i 2018 og skal styrke personvernet ved behandling av personopplysninger.
– Hva sier lovverket om oppbevaring av informasjon om tidligere leietagere?
– Reglene sier at dataene skal slettes når formålet med innsamlingen av dataene ikke lenger er tilstede.
– Og hvor lenge er det?
– Det vil kunne variere. Det kan være grunner til å lagre dataene lenger om man eksempelvis er i en tvist i etterkant av leieforholdet, eller om man av skattemessige hensyn må lagre informasjonen i fem eller ti år, men så snart det ikke lenger er påkrevet skal all informasjon slettes. Her må selskapet ha gode rutiner. Det holder ikke å si at man sitter på gamle data fordi det er kjekt å ha, sier Ofstad.
– Cyberangrep skjer stadig oftere. Da kan informasjonen bli stjålet, og potensielt utnyttet. Vi vet jo at det finnes et svart marked for kjøp og salg av personopplysninger. Derfor er denne typen saker alvorlig, legger han til.
– Og reglene er like enten det er et næringsbygg som leies ut til en bedrift med ansatte eller det er boliger som leies ut til enkeltpersoner?
– Ja, det er de samme reglene som gjelder, sier Ofstad.
Mange har slurvet
Ina Wikborg Todal, eiendomsadvokat i Deloitte Advokatfirma, forteller at dette er den første saken de kjenner til hvor en stor eiendomsaktør blir bøtelagt i denne størrelsesorden.
– Det er verdt å merke seg at det ikke er snakk om at sensitiv informasjon er kommet på avveie. Boten er gitt fordi selskapet er vurdert å ikke har hatt gode nok interne rutiner for å ivareta kundenes personvern, påpeker hun.
Både Wikborg Todal og Ofstad tror saken fra Tyskland vil aktualisere problemstillingen for eiendomsbesittere her til lands.
– Plikten til å slette data som man ikke lenger har bruk for har vært der lenge. Men tidligere har det ikke fått så store konsekvenser å ikke følge reglene og mange har ikke gjort det, sier Ofstad.
Det holder ikke å si at man sitter på gamle data fordi det er kjekt å haBjørn Ofstad, Deloitte Advokatfirma
– Når man har en konkret sak som den i Berlin, så kan det fort få smitteeffekt til Norge ved at det blir mer fokus på det. Alle som har utleieeiendom i en eller annen form er påvirket av dette. Det er mange eiendomsaktører som er flinke på GDPR i dag, og så er det også mange som ikke har tatt dette helt innover seg. Det er nok endel som ikke har skjønt hvor hardt dette kan ramme dem. Og noen av de mindre modne eiendomsaktørene har nok ikke engang hørt om dette, sier Wikborg Todal.
– Og det hjelper ikke om opplysningene kun er lagret i papirform og ikke digitalt. Det er uansett ikke lov når leieforholdene for lengst er avsluttet, legger hun til.
– Hvorfor tror dere endel bedrifter slurver med dette?
– Det kan være manglende kunnskap om at de hadde en slik plikt. Det kan også være mangel på vilje til å investere i nye datasystemer, som kan være kostbart, men det er en investering man er nødt til å ta. Får man nødvendige systemer på plass, skal dette gå av seg selv, sier Ofstad.
Deutsche Wohnen meldte i starten av november at de ikke aksepterer boten og vil ta saken inn for retten.
– Rydd opp
I tillegg til bøter påpeker de to advokatene at selskaper som ikke tar denne problemstillingen på alvor også kan risikere søksmål fra leietagere, pluss kraftig tap av omdømme om sensitiv informasjon ikke blir ivaretatt riktig, og slettet i tide, eller i verste fall kommer på avveie.
– Hva er deres råd til norske utleiere?
– Legg en plan, rydd opp, også i papirarkiver, ha systemer og følg dem, sier Wikborg Todal.
– Det kan være lett å skyve slike problemstillinger vekk og tenke at dette tjener vi ikke penger på å jobbe med, men det kan komme til å koste dyrt i lengden, sier Ofstad.
