Datatilsynet udtalte for nylig alvorlig kritik efter, at et administrationsselskab havde videregivet en lejers fortrolige oplysninger i forbindelse med en fonds salg af en række udlejningsejendomme. Tilsynet har både politianmeldt selskabet og indstillet selskabet til en bøde på 150.000 kr. for ikke at have implementeret de rette procedurer og foranstaltninger, der kræves.

Personfølsomme oplysninger i klemme

Tilbage i 2018 bistod et administrationsselskab en boligfond med et påtænkt salg af tre tilbudspligtige udlejningsejendomme. For at opfylde lejelovens regler om tilbudspligt indsamlede ejendomsadministratoren materiale om de omhandlede ejendomme, herunder oplysninger om lejeforholdene, som derefter blev omdelt på USB-nøgler til lejerne. I den forbindelse kom administrationsselskabet dog utilsigtet til at videregive fortrolige og personfølsomme oplysninger om lejerne i form af en række personnumre og en enkelt helbredsoplysning. Det har Datatilsynet udtalt alvorlig kritik af. Ejendomsadministratoren er nu politianmeldt af Datatilsynet og endda indstillet til en bøde på 150.000 kr. for ikke at have implementeret de rette procedurer og foranstaltninger.

Endnu et sikkerhedsbrud

I forbindelse med gennemførelsen af samme tilbudspligt skete endnu et sikkerhedsbrud på persondatalovgivningen 14 dage senere. Administrationsselskabet udleverede USB-nøgler til lejerne i én af de omhandlede ejendomme, som ved en fejl indeholdt en liste med oplysninger om beboerne i en af de andre ejendomme. Listen omfattede oplysninger om adresse, beløb på depositum samt beløb på forudbetalt leje, ligesom listen angav hos hvilke lejere, der var foretaget udlæg. Det fandt Datatilsynet alvorlig kritisabelt. Endelig har Datatilsynet fundet grundlag for at udtale alvorlig kritik af, at administrationsselskabet ikke uden unødig forsinkelse og senest 72 timer efter at administrationsselskabet blev bekendt med bruddet, anmeldte bruddet til Datatilsynet.

Alvorlig kritik fra Datatilsynet

Datatilsynets begrundelse for afgørelsen var, at ejendomsadministratoren ikke havde levet op til databeskyttelsesforordningens krav om at gennemføre de relevante tekniske og organisatoriske sikkerhedsforanstaltninger, der kræves.

Afgørelsen indikerer altså, med al tydelighed, at det er helt afgørende, at der er styr på implementeringen af de relevante tekniske og organisatoriske sikkerhedsforanstaltninger, der passer til risiciene af varierende sandsynlighed og alvor for – i dette tilfælde – lejernes rettigheder.

Datatilsynet fandt anledning til at politianmelde og indstille til en bøde på trods af, at administrationsselskabet faktisk havde anonymiseret en række dokumenter som f.eks. restancelister, retsbogsudskifter samt huslejenævnsafgørelser. Selskabet havde efter det første sikkerhedsbrud endda også antaget et revisionsselskab som ekstern kvalitetskontrol. Det var dog set fra Datatilsynets side kun en formildende omstændighed – ikke ansvarsfritagende.

Pas på ved håndteringen af persondata

Ved salg af en ejendom skal potentielle købere altid have adgang til alt materiale vedrørende den pågældende ejendom. Det gælder også ved opfyldelse af tilbudspligten, hvor ejendommens lejere skal have adgang til materiale om ejendommen, herunder oplysninger om øvrige lejere. Både sælger og et eventuelt administrationsselskab skal dog have for øje, at oplysninger om lejeforholdene i en udlejningsejendom kan indeholde fortrolige oplysninger om lejerne. Her ser vi klart, at det er den dataansvarliges - ejendommens ejer eller ejendomsadministrator - der bærer ansvaret for, at uvedkommende ikke får kendskab til personfølsomme oplysninger om ejendommens lejere.

Den aktuelle sag peger på, at det er særdeles afgørende – og at det kræves - at der i administrationsselskaber og udlejningsselskaber indføres både tekniske og organisatoriske foranstaltninger, der kan være med til at opretholde et sikkerhedsniveau, der står mål med risiciene. Sagen viser samtidig også, at det kan være en både vanskelig og ikke særlig overskuelig opgave for ejendommens ejer eller ejendomsadministrator. Det kalder på rådgivning fra eksperter med særlig indsigt i persondatalovgivningen, der kan sikre, at de rette procedurer og foranstaltninger implementeres, hvis man fremover vil undgå nye tilfælde af skarp kritik, høje bøder og politianmeldelser.