GDPR a obec jako pronajímatel bytů

Obec by předně měla provést audit zpracování osobních údajů při pronájmech bytů, ale i nebytových prostor. Určit si, kdo je správce, kdo případně zpracovatel.

Správce a zpracovatel

Jestliže obec pronajímá byty, tak bude správcem obec. Může zde být ale třeba i zpracovatel údajů, například pokud by si obec nechávala zpracovávat externě účetnictví, pokud by si na správu bytového fondu najímala správcovskou firmu apod. Se zpracovatelem by měl mít správce uzavřenou písemnou smlouvu, kde bude uvedeno, jaké údaje zpracovatel pro správce zpracovává, k jakým účelům, co s nimi dělá a jakým způsobem zajišťuje bezpečnost údajů. Tato povinnost sice platila už před GDPR, ale celá řada subjektů ji nerespektovala a uzavírají až nyní příslušné dodatky.

Účel a právní důvod zpracování osobních údajů

Osobním údajem může být jakákoli informace, která se týká určeného nebo určitelného subjektu údajů. Není tedy úplně správné se ptát, zda třeba e-mail je osobním údajem, protože někdy tomu tak být může (např. půjde o e-mail s uvedením jména a příjmení, které budou jedinečné). V jiném případě tomu tak nebude, pokud formát e-mailu nebude odkazovat na konkrétního člověka a nebudeme schopni ho ani jiným způsobem propojit s jeho identitou. Po praktické stránce je však vždy lepší přistupovat k jedné kategorii údajů (např. zmíněné e-maily) stejně a pokud část údajů lze považovat za osobní, tak nastavit stejná pravidla i pro zpracování údajů, které osobní nebudou.

Obec bude zpracovávat různé kategorie osobních údajů k různým účelům z titulu pronajimatele. Ke každému z těchto účelů je třeba najít některý z právních důvodů zpracování.

Stejně jako u jakékoli jiné smlouvy bude u nájemních smluv nezbytné identifikovat smluvní strany. Účelem je realizace nájemního vztahu. Právním důvodem pak plnění smlouvy. U osob spoluobývajících byt je to trochu složitější. Nájemce má povinnost nahlásit počet osob v bytě. Neexistuje ale zákonná povinnost a vlastně ani k realizaci smlouvy není nezbytné vědět, kdo konkrétně s nájemcem bydlí. Důležitý je počet osob kvůli rozpočítávání služeb. Na druhou stranu je legitimním zájmem pronajímatele znát i další osoby, které v bytě bydlí. Důvodem může být třeba to, že spolubydlící osoby v případě úmrtí nájemce jsou ty, na něž přechází nájem a s ním i povinnost za něj platit. Evidence spolubydlících osob se tak bude opírat o čl. 6 odst. 1 písm. e) GDPR, což je případ, kdy je zpracování osobních údajů v oprávněném zájmu správce a zároveň není třeba upřednostnit ochranu soukromí subjektů údajů.

Vedle identifikačních údajů nájemce a spolubydlících osob bude obec uchovávat i údaje o bankovním spojení, údaje o platbách a případných dluzích nebo údaje nezbytné pro vyúčtování služeb. Důvodem k evidenci těchto údajů bude opět zajištění plnění nájemní smlouvy. Není tedy potřeba vyžadovat souhlas subjektů údajů – ostatně jako u většiny případů zpracování osobních údajů.

Souhlas bude naopak třeba v případech pro využívání e-mailového či telefonického kontaktu. Ty mohou být využívány pro urychlení komunikace, např. při havárii, ale i tehdy, kdy je to pouze praktické (např. domluva návštěv za účelem různých revizí). V druhém případě by měl být získán souhlas s užíváním e-mailu či telefonu pro komunikaci v běžných záležitostech. Souhlas by měl být součástí nájemní smlouvy, případně by měl být získán dodatečně (písemně či e-mailem).

Kamery a čipy

Vedle osobních údajů, jejichž zpracování je nezbytné k realizaci nájemního vztahu, mohou být s pronajímáním nemovitostí spojeny i další druhy zpracování. Typicky jde o provozování bezpečnostních kamer se záznamem nebo o evidenci přístupů do budovy prostřednictvím čipů.

Pokud jde o kamerové systémy, tak zde je nutno věnovat pozornost výběru typu kamery a jejímu umístění s ohledem na typ monitorovaného prostoru. Je přijatelnější monitoring vstupu do domu než monitoring chodeb vedoucích k jednotlivým bytům. Při rozhodování o instalaci kamer doporučuji prostudovat stanovisko Úřadu pro ochranu osobních údajů č. 1/2016 Umístění kamerových systémů v bytových domech.

Stále častější je používání různých typů kontaktních či bezkontaktních čipů pro vstup do budovy. Výhodou je možnost blokace konkrétního čipu při jeho ztrátě nebo odstěhování nájemníka. U čipů je nicméně třeba zvážit, co vlastně potřebujeme evidovat. Evidence každého vstupu bude jen těžko odůvodnitelná nějakým legitimním účelem. Proto lze jen doporučit se vedení takové evidence raději vyhnout. Plně postačuje evidence vydaných čipů.

Povinnosti správce

Při zpracování osobních údajů nestačí pouze vyřešit co mohu zpracovávat a na základě jakých právních důvodů, ale je třeba plnit i další povinnosti. GDPR klade velký důraz na přiměřenost zpracování. Správce měl zejména minimalizovat, pokud jde o rozsah údajů, o dobu zpracování, ale třeba i o okruh osob, které k údajům mají přístup. Vždy je potřeba analyzovat, co potřebuji, k jakému účelu a určit, jak nastavím pravidla zpracování, aby byl zásah do práv subjektu údajů minimální a zároveň naplněn účel zpracování. Vedle přiměřenosti je třeba pamatovat i na transparentnost. To s sebou nese v souladu s čl. 13 a 14 GDPR povinnost podání informace jaká data a za jakým účelem jsou zpracovávána, jaká jsou základní pravidla jejich zpracování, komu mohou být předána atd. Tuto informaci by subjekt měl dostat již při zahájení zpracování a na vyžádání i v jeho průběhu. Ke sdělení těchto informací je ideální nájemní smlouva v kombinaci s domovním řádem vyvěšeným v domě. Novou povinností je vedení tzv. záznamů o činnostech zpracování podle, které popisují jednotlivé druhy zpracování. Vhodné je členit záznamy podle účelu, případně technologického řešení. Záznamy slouží jednak jako podklad pro kontrolní úřad, ale mohou dobře posloužit i správci k získání uceleného přehledu o zpracování. V neposlední řadě je třeba upozornit i na povinnosti v oblasti bezpečnosti, s čímž souvisí i přijetí interních předpisů a vyškolení zaměstnanců, kteří s údaji přichází do styku. Cílem bezpečnostních opatření je nejen to, aby nedošlo k úniku dat, ani k jejich ztrátě či zničení.

Článek vznikl v rámci projektu „Právní podpora pro hlavní výzvy v bydlení v roce 2018 – GDPR, bydlení v platformách a nájmy“ podpořeném Ministerstvem pro místní rozvoj ČR.

Zdroj: Deník veřejné správy, Mgr. Jan Vobořil, Ph.D., advokát, Iuridicum Remedium, z. s.

Foto: Pixabay