Regelgeving4 min leestijd
GDPR in huurbeheer: de checklist voor de professional
Register, minimale gegevensverwerking, bewaartermijnen, rechten van betrokkenen, verwerkers: de punten om na te gaan bij het verwerken van huurgegevens.
Het homePad-team
Een dossier van een kandidaat-huurder, een huurovereenkomst, een plaatsbeschrijving en haar foto's, een interventieaanvraag: vastgoedbeheer steunt op persoonsgegevens. In de Europese Unie is de algemene verordening gegevensbescherming (GDPR of AVG) van toepassing op elke professional die ze verwerkt. Deze checklist stelt een werkvolgorde voor. Het is een praktische gids, geen juridisch advies: wend u voor een specifieke situatie tot uw gegevensbeschermingsautoriteit of tot een juridisch adviseur.
De verwerkingen inventariseren en het register bijhouden
Begin met de lijst van wat u met de gegevens doet: selectie van de kandidaten, beheer van de huurovereenkomsten, plaatsbeschrijvingen, interventies, boekhouding, prospectie. Voor elke verwerking vermeldt het register van de verwerkingsactiviteiten het doel, de categorieën van betrokkenen en van gegevens, de ontvangers, de bewaartermijn en de beveiligingsmaatregelen. Een vastgoedkantoor of een beheerkantoor verwerkt die gegevens op regelmatige basis: het register moet dus worden bijgehouden, ongeacht de omvang van de organisatie.
- elke verwerking heeft een schriftelijk vastgelegd doel en een rechtsgrond, meestal de uitvoering van de overeenkomst of een wettelijke verplichting, soms het gerechtvaardigd belang, zeldzamer de toestemming
- een persoon is belast met het register en actualiseert het bij elke nieuwe tool
Minder verzamelen, minder lang bewaren
Het beginsel van minimale gegevensverwerking verbiedt om een gegeven “voor het geval dat” te vragen. In Frankrijk is de lijst van de bewijsstukken die een verhuurder van een kandidaat-huurder en van zijn borgsteller mag eisen, vastgelegd in een decreet van 5 november 2015: geen enkel ander stuk mag worden opgevraagd.
De GDPR legt geen termijn in cijfers vast. Ze verplicht u ertoe de gegevens niet langer te bewaren dan het doel vereist. Het is aan u om per categorie een termijn te bepalen, die op te schrijven en vooral toe te passen.
- de foto's van een plaatsbeschrijving tonen de woning en haar gebreken, niet de bewoners, hun papieren of hun persoonlijke voorwerpen
- de vrije opmerkingen bevatten geen oordeel over personen en geen informatie over hun gezondheid, hun opvattingen of hun afkomst
- de dossiers van de kandidaten die niet zijn gekozen, worden verwijderd zodra de verhuring is toegewezen
- de gegevens van een huurovereenkomst worden bewaard zolang ze loopt en daarna met beperkte toegang gearchiveerd, zolang een mogelijk geschil of een wettelijke verplichting dat vereist
- op een vaste datum vindt een opschoning plaats, berichtendiensten en telefoons inbegrepen
De betrokkenen informeren en hun verzoeken beantwoorden
Op het ogenblik van de verzameling moet elke persoon weten wie zijn gegevens verwerkt, met welk doel, op welke grond, wie ze ontvangt, hoelang ze worden bewaard en hoe hij zijn rechten kan uitoefenen. Die rechten zijn inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid. U hebt in principe één maand om op een verzoek te antwoorden.
- een informatievermelding staat op de formulieren, de huurovereenkomsten, de plaatsbeschrijvingen en de website
- een contactadres is voorbehouden voor die verzoeken en iemand kijkt het na
- een procedure bepaalt wie antwoordt en hoe de identiteit van de verzoeker wordt gecontroleerd
De gegevens beveiligen en de verwerkers aan regels binden
De beveiliging speelt zich evenzeer af op de toestellen op het terrein als op de servers: vergrendelde tablets en telefoons, individuele accounts, toegangsrechten die beperkt zijn tot wat ieder nodig heeft, back-ups. Elke dienstverlener die voor uw rekening gegevens verwerkt, softwareleverancier, hostingprovider of callcenter, is een verwerker in de zin van de GDPR. Een overeenkomst moet bepalen dat hij alleen op uw instructies handelt en moet de beveiligingsmaatregelen, het inschakelen van andere verwerkers en het lot van de gegevens aan het einde van de overeenkomst vastleggen.
- met elke dienstverlener is een verwerkersovereenkomst ondertekend en de plaats waar de gegevens worden gehost, is bekend
- de accounts van de medewerkers worden afgesloten op de dag van hun vertrek
- elke inbreuk in verband met persoonsgegevens wordt geregistreerd en, als ze een risico voor de betrokkenen inhoudt, uiterlijk 72 uur na de ontdekking ervan gemeld aan de toezichthoudende autoriteit
- de medewerkers worden opgeleid bij hun aankomst, en daarna regelmatig
Weten wanneer u verder moet gaan
Een gegevensbeschermingseffectbeoordeling is verplicht voordat u een verwerking start die waarschijnlijk een hoog risico voor de betrokkenen inhoudt. In Frankrijk publiceert de CNIL de lijst van de soorten verwerkingen waarvoor ze vereist is: ga na of de uwe erop staan. De aanwijzing van een functionaris voor gegevensbescherming is slechts in bepaalde gevallen verplicht, met name voor overheidsinstanties en voor organisaties waarvan de kernactiviteit bestaat in een regelmatige en stelselmatige observatie van personen op grote schaal, of in een grootschalige verwerking van gevoelige gegevens. Wijs in de andere gevallen minstens een aanspreekpunt aan.
De administratieve geldboeten kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt.
De GDPR is van toepassing in Frankrijk, België en Luxemburg, waarbij elk van die landen zijn eigen toezichthoudende autoriteit en aanvullende nationale regels heeft. Zwitserland heeft zijn eigen federale wet over de gegevensbescherming. Ga ter plaatse na welk kader van toepassing is.
Wat homePad bijdraagt
homePad host de gegevens van zijn klanten in Europa. De rapporten, hun foto's met tijdstempel en hun elektronische handtekeningen worden op één platform gecentraliseerd, wat voorkomt dat ze verspreid raken over telefoons, berichtendiensten en gedeelde mappen.
- GDPR
- persoonsgegevens
- huurbeheer
- conformiteit