Molti contratti di locazione a termine finiscono a fine autunno, quindi per tanti piccoli locatori il prossimo lavoro è trovare qualcuno di nuovo. Pubblichi l'annuncio, arrivano le richieste e in poco tempo hai una cartella piena di pezzi di vita altrui: buste paga, estratti conto, foto di documenti, messaggi che parlano di figli e lavoro.

Quasi tutto questo non ti serviva. Il GDPR si applica anche a te, anche se affitti un solo appartamento: il locatore che raccoglie dati personali dai candidati è il titolare del trattamento di quei dati. Significa che raccogli solo ciò che serve per uno scopo chiaro, lo custodisci con cura e lo cancelli quando lo scopo è venuto meno. La buona notizia è che farlo bene richiede meno burocrazia, non di più.

Questa guida procede fase per fase. Si basa sul GDPR così come si applica in tutta l'UE, con qualche nota per il Regno Unito e l'Irlanda. Le norme nazionali cambiano, quindi per i dubbi rivolgiti all'autorità per la protezione dei dati o a un avvocato.

Fase 1: la prima richiesta e la visita

In questo momento parli con le persone, non stai ancora scegliendo tra loro. Ti basta poter rispondere e sapere chi entra in casa.

Cosa chiedere: nome, numero di telefono o indirizzo email e, se vuoi, da quando vorrebbero trasferirsi e in quante persone abiterebbero l'immobile.

Cosa non chiedere ancora: copie dei documenti d'identità, estratti conto, buste paga, dati del datore di lavoro, numeri di documento o codici fiscali.

L'autorità irlandese per la protezione dei dati (DPC) si è espressa in modo diretto. Nella sua guida sulla richiesta di dati personali ai potenziali inquilini osserva che i locatori spesso raccolgono molte informazioni da molti candidati già nella fase della domanda, «la stragrande maggioranza dei quali non diventerà alla fine inquilino». A suo avviso le informazioni dettagliate di solito non servono finché non hai scelto l'inquilino preferito. Già nel 2014 aveva ritenuto che non ci fosse alcun fondamento per raccogliere coordinate bancarie, numeri PPS (il codice personale irlandese) e bollette durante la visita, e ha affermato che i locatori non dovrebbero chiedere foto o numeri PPS prima della firma del contratto (articolo dell'Irish Times). Quelle indicazioni sono irlandesi, ma il principio che le sostiene, la minimizzazione dei dati, vale ovunque nel GDPR.

Fase 2: il candidato serio

Quando qualcuno ha visto l'immobile, lo vuole e tu lo stai davvero valutando, puoi verificare ragionevolmente due cose: può pagare e com'è andata la sua ultima locazione?

  • Capacità di pagare. Per il DPC è ragionevole chiedere documenti che confermino che il candidato può permettersi il canone: una busta paga recente, un contratto di lavoro o, per gli autonomi, una recente dichiarazione fiscale. Se chiedi gli estratti conto, non ti servono tutti i movimenti: il DPC ha detto che bastava un estratto con i saldi progressivi, senza il dettaglio delle operazioni. Invita i candidati a oscurare ciò che non ti serve.
  • Referenza del precedente locatore. Una breve telefonata o email al precedente locatore, con la consapevolezza del candidato, è di solito il controllo più utile che puoi fare. Chiedi se il canone veniva pagato puntualmente, in che stato è stato restituito l'immobile e se lo riaffitterebbe. Fatti dare il contatto dal candidato: non andare a cercarlo per conto tuo.

Un punto che sorprende molti locatori: il consenso di solito è la base giuridica sbagliata. Il DPC avverte che lo squilibrio tra un locatore e chi ha bisogno di una casa rende poco probabile un consenso davvero libero. Questi controlli si fondano normalmente sulle misure precontrattuali o sul tuo legittimo interesse, ed è proprio per questo che devono restare proporzionati.

In alcuni paesi gli inquilini sono abituati a presentare un documento standard, come un rapporto di un'agenzia nazionale di informazioni creditizie. Se e come puoi chiederlo dipende dalla prassi locale, quindi verifica la tua.

Fase 3: la firma del contratto

Ora ti serve il necessario per identificare correttamente le parti e gestire la locazione:

  • nome e cognome e indirizzo attuale di ogni inquilino maggiorenne,
  • gli elementi identificativi che la prassi del tuo paese prevede nel contratto (in Ungheria, ad esempio, i contratti riportano di consueto data e luogo di nascita e nome della madre),
  • recapiti,
  • il conto bancario da cui arriverà il canone, se utile per abbinare i pagamenti,
  • un contatto di emergenza, se l'inquilino desidera indicarlo.

In questa fase puoi raccogliere anche quanto richiesto dalla legge, come la registrazione del contratto o gli adempimenti fiscali nel tuo paese, perché in quel caso la base è un obbligo di legge.

Off limits in ogni fase

Su alcune cose non devi né chiedere né indagare:

  • Salute, religione, origine etnica, opinioni politiche, orientamento sessuale. Sono categorie particolari di dati ai sensi dell'articolo 9 del GDPR e in molti paesi chiedere queste informazioni nella scelta dell'inquilino può essere anche discriminazione.
  • Social media. Scorrere i profili di un candidato significa raccogliere dati che non ti servono e ti farà scoprire proprio il tipo di informazioni elencate sopra. Lascia perdere.
  • Casellario giudiziale. Ai sensi dell'articolo 10 del GDPR, i dati relativi a condanne penali possono essere trattati solo sotto il controllo dell'autorità pubblica o quando lo consente espressamente la legge nazionale. In molti paesi un locatore privato non ha questa facoltà, quindi non chiedere un certificato penale senza aver verificato che la legge del tuo paese lo permetta.

Guardare, non copiare: la carta d'identità

Alla firma può essere ragionevole vedere un documento d'identità, per assicurarti che la persona che hai davanti sia quella indicata nel contratto. Guardalo, confronta i dati con il contratto e restituiscilo. Non fotocopiarlo e non fotografarlo.

Questa linea deriva dalla posizione generale dell'autorità ungherese NAIH. Nella sua presa di posizione sulla riproduzione dei documenti (NAIH/2018/3654) afferma che esibire un documento con fotografia è il modo corretto per confermare l'identità, che una copia non prova nulla sulla validità dell'originale e che conservare copie viola la limitazione delle finalità e la minimizzazione dei dati. Il NAIH ha stabilito che copiare i documenti d'identità senza una specifica base giuridica è illecito anche se la persona acconsente, e ha multato organizzazioni che lo hanno fatto. Il NAIH non si è pronunciato sui locatori privati in particolare, quindi questa è una nostra deduzione, ma è difficile capire perché un locatore dovrebbe essere trattato diversamente da una banca o da un datore di lavoro. Anche altre autorità dell'UE seguono in genere un approccio minimale analogo.

L'eccezione del Regno Unito. In Inghilterra i locatori devono effettuare i controlli Right to Rent e conservare copia dei documenti, oppure salvare la verifica online, per tutta la durata della locazione e per almeno un anno dopo. È un obbligo di legge, quindi lì copiare è lecito. Vale solo per l'Inghilterra e solo per i documenti e i passaggi richiesti dal controllo.

Una breve informativa privacy

I candidati devono sapere che cosa raccogli e perché nel momento in cui lo fai. Per un piccolo locatore bastano poche righe nell'annuncio o un breve messaggio dopo la visita:

Uso i tuoi recapiti per organizzare la visita e per ricontattarti. Se andiamo avanti, ti chiederò una prova del reddito e il contatto del precedente locatore. Se non verrai scelto, cancellerò i tuoi dati entro un mese dall'affitto dell'immobile. In qualsiasi momento puoi chiedermi quali dati ho su di te o chiedermi di cancellarli.

Aggiungi il tuo nome e i tuoi recapiti e indica l'autorità per la protezione dei dati come soggetto a cui rivolgere un reclamo. Nel Regno Unito controlla sul sito dell'ICO se devi pagare la tassa per la protezione dei dati.

Conservare i dati in sicurezza

  • Tieni tutto in un unico posto, non sparso tra telefono, due caselle email e il cassetto della cucina.
  • Usa una password robusta e l'accesso a due fattori per email e archiviazione cloud.
  • Chiudi a chiave le copie cartacee e distruggile quando non servono più.
  • Non inoltrare i documenti dei candidati a chi non ne ha bisogno.

Quando hai scelto, LeasingTrack può aiutarti a mantenere ordine: inviti il nuovo inquilino via email e lui vede solo il proprio contratto di locazione, non i tuoi altri immobili né gli altri candidati.

Cancellare ciò che non serve più

Candidati scartati. Una volta affittato l'immobile e firmato il nuovo contratto, non hai più motivo di conservare buste paga e referenze degli altri candidati. Il DPC afferma che questi dati vanno eliminati in modo sicuro. Il GDPR non fissa un numero di giorni; poche settimane dopo la firma sono un'abitudine sensata e difendibile. Cancella anche le email e gli allegati e controlla la cartella dei download.

L'inquilino scelto. Conserva il contratto e le registrazioni dei pagamenti per tutta la locazione e per il tempo in cui potrebbero servirti per questioni fiscali o rivendicazioni legali successive. Questi termini dipendono dal paese (in Ungheria, ad esempio, il termine generale di prescrizione per le pretese civili è di cinque anni). Buste paga ed estratti conto della fase di candidatura hanno esaurito il loro compito una volta firmato il contratto, quindi di solito puoi cancellarli a quel punto.

In breve

  1. Visita: nome e recapiti.
  2. Candidato serio: prova del reddito e referenza del precedente locatore.
  3. Firma: ciò che richiedono il contratto e la legge.
  4. Mai: salute, religione, orientamento sessuale, social media e, in molti paesi, casellario giudiziale.
  5. Il documento d'identità si guarda, non si copia, a meno che una legge come il Right to Rent inglese lo imponga.
  6. Dì alle persone che cosa fai, custodisci i dati con cura e cancella ciò che non ti serve più.

Questa è una guida generale, non una consulenza legale. Se la tua situazione è particolare, rivolgiti all'autorità per la protezione dei dati o a un avvocato.