Många tidsbegränsade hyresavtal löper ut sent på hösten, så för många små hyresvärdar är nästa uppgift att hitta någon ny. Du lägger ut annonsen, förfrågningarna kommer in, och snart har du en mapp full av andra människors liv: lönebesked, kontoutdrag, bilder på id-handlingar, meddelanden om barn och arbete.

Det mesta av det behövde du aldrig. Enligt GDPR, som gäller för dig även om du bara hyr ut en enda lägenhet, är en hyresvärd som samlar in personuppgifter från sökande personuppgiftsansvarig för dem. Det betyder att du bara samlar in det du behöver för ett tydligt syfte, förvarar det säkert och raderar det när syftet är uppfyllt. Den goda nyheten är att det blir mindre pappersarbete, inte mer, när du gör rätt.

Guiden går igenom processen steg för steg. Den utgår från GDPR så som den gäller i hela EU, med anmärkningar om Storbritannien och Irland. Nationella regler skiljer sig åt, så fråga din tillsynsmyndighet för dataskydd eller en jurist om något är oklart.

Steg 1: första förfrågan och visningen

I det här skedet pratar du med människor, du väljer inte mellan dem. Du behöver kunna svara dem och veta vem som kommer in genom dörren.

Det kan du fråga om: namn, telefonnummer eller e-postadress, och kanske när de vill flytta in och hur många som ska bo där.

Det du inte ska fråga om ännu: kopior av id-handlingar, kontoutdrag, lönebesked, uppgifter om arbetsgivare, id- eller skattenummer.

Den irländska dataskyddsmyndigheten (DPC) har tagit upp just det här. I sin vägledning om att begära personuppgifter från blivande hyresgäster konstaterar den att hyresvärdar ofta samlar in mycket information från många sökande i ansökningsskedet, "the overwhelming majority of whom will not ultimately become a tenant" (alltså den överväldigande majoriteten, som inte kommer att bli hyresgäster). Myndighetens syn är att detaljerade uppgifter normalt inte behövs förrän du har valt en föredragen hyresgäst. Redan 2014 fann den att det saknades grund för att samla in bankuppgifter, PPS-nummer (irländskt personnummer) och elräkningar vid visningen, och den har sagt att hyresvärdar inte ska be om foton eller PPS-nummer innan ett hyresavtal är påskrivet (artikel i Irish Times). Vägledningen är irländsk, men principen bakom den, uppgiftsminimering, finns i GDPR överallt.

Steg 2: den seriösa sökanden

När någon har sett bostaden och vill ha den, och du på allvar överväger personen, kan du rimligen kontrollera två saker: kan personen betala, och hur gick det med förra hyresförhållandet?

  • Betalningsförmåga. DPC anser att det är rimligt att be om handlingar som visar att den sökande kan betala hyran. Det kan vara ett aktuellt lönebesked, ett anställningsavtal eller, för egenföretagare, ett färskt skattebesked. Om du ber om kontoutdrag behöver du inte varje transaktion: DPC har sagt att ett utdrag som visar löpande saldon, med transaktionsuppgifterna borttagna, räckte. Bjud in de sökande att maskera det du inte behöver.
  • Referens från tidigare hyresvärd. Ett kort samtal eller e-postmeddelande till den tidigare hyresvärden, med den sökandes vetskap, är oftast den mest användbara kontroll du kan göra. Fråga om hyran betalades i tid, i vilket skick bostaden lämnades och om hyresvärden skulle hyra ut till personen igen. Be den sökande om kontaktuppgiften i stället för att leta själv.

En sak som förvånar många hyresvärdar: samtycke är oftast fel rättslig grund här. DPC varnar för att obalansen mellan en hyresvärd och någon som behöver ett hem gör det osannolikt att samtycket är frivilligt. Kontrollerna vilar normalt på åtgärder som behövs innan ett avtal ingås eller på ditt berättigade intresse, och det är just därför de måste hållas proportionerliga.

I vissa länder är hyresgäster vana vid att lämna ett standarddokument, till exempel en kreditupplysning från ett nationellt kreditupplysningsföretag. Om du får be om en, och hur, beror på lokal praxis, så ta reda på hur det fungerar hos dig.

Steg 3: avtalet skrivs under

Nu behöver du tillräckligt för att identifiera parterna ordentligt och sköta hyresförhållandet:

  • fullständigt namn och nuvarande adress för varje vuxen hyresgäst,
  • de identifieringsuppgifter som nationell praxis förväntar sig i ett hyresavtal (i Ungern, till exempel, brukar avtal innehålla födelsedatum, födelseort och moderns namn),
  • kontaktuppgifter,
  • bankkontot som hyran betalas från, om det underlättar vid avstämning av betalningar,
  • en nödkontakt, om hyresgästen vill uppge en.

Allt som lagen kräver, till exempel registrering av hyresförhållandet eller skatterapportering i ditt land, kan också samlas in nu, eftersom du då har en rättslig förpliktelse som grund.

Förbjudet i alla steg

Vissa saker ska du inte fråga om eller gräva i alls:

  • Hälsa, religion, etniskt ursprung, politiska åsikter, sexuell läggning. Det här är särskilda kategorier av uppgifter enligt artikel 9 i GDPR, och i många länder kan det dessutom vara diskriminering att fråga om dem när du väljer hyresgäst.
  • Sociala medier. Att scrolla igenom en sökandes profiler är att samla in uppgifter du inte behöver, och du får se precis den sortens information som nämns ovan. Låt bli.
  • Belastningsregister. Enligt artikel 10 i GDPR får uppgifter om fällande domar i brottmål bara behandlas under myndighets kontroll eller när nationell lag uttryckligen tillåter det. I många länder har en privat hyresvärd ingen sådan rätt, så be inte om registerutdrag om du inte har kontrollerat att ditt lands lag tillåter det.

Titta, kopiera inte: id-handlingar

Du vill förmodligen se ett id-kort vid avtalsskrivningen, för att vara säker på att personen framför dig är den som står i avtalet. Titta på det, jämför uppgifterna med avtalet och lämna tillbaka det. Fotokopiera eller fotografera det inte.

Detta bygger på den ungerska myndigheten NAIH:s allmänna ståndpunkt. I sitt uttalande om att ta kopior av handlingar (NAIH/2018/3654) anger den att det rätta sättet att styrka identitet är att visa en id-handling med foto, att en kopia inte bevisar något om originalets giltighet, och att det strider mot ändamålsbegränsningen och uppgiftsminimeringen att spara kopior. NAIH har slagit fast att det är olagligt att kopiera id-handlingar utan särskild rättslig grund även om personen samtycker, och har utfärdat sanktionsavgifter mot organisationer som gjort det. NAIH har inte uttalat sig om privata hyresvärdar specifikt, så det här är vår egen slutsats, men det är svårt att se varför en hyresvärd skulle behandlas annorlunda än en bank eller en arbetsgivare. Andra EU-myndigheter har i regel en liknande återhållsam hållning.

Undantaget i Storbritannien. I England måste hyresvärdar göra Right to Rent-kontroller och spara kopior av handlingarna, eller spara den digitala kontrollen, under hela hyresförhållandet och minst ett år efter det. Det är en rättslig skyldighet, så där är kopiering lagligt. Det gäller bara England, och bara de handlingar och steg som kontrollen kräver.

Ett kort integritetsmeddelande

De sökande ska veta vad du samlar in och varför, när du samlar in det. För en liten hyresvärd räcker några rader i annonsen eller ett kort meddelande efter visningen:

Jag använder dina kontaktuppgifter för att ordna visningen och höra av mig till dig. Om vi går vidare ber jag om bevis på inkomst och kontaktuppgifter till en tidigare hyresvärd. Om du inte blir vald raderar jag dina uppgifter inom en månad efter att bostaden har blivit uthyrd. Du kan när som helst be mig om information om vilka uppgifter jag har om dig eller be mig radera dem.

Lägg till ditt namn och dina kontaktuppgifter och nämn tillsynsmyndigheten för dataskydd som den man kan klaga hos. I Storbritannien kan du på ICO:s webbplats kontrollera om du behöver betala dataskyddsavgiften.

Förvara det säkert

  • Samla allt på ett ställe, inte utspritt över mobilen, två inkorgar och en köksskrivbordslåda.
  • Använd ett starkt lösenord och tvåstegsverifiering på e-post och molnlagring.
  • Lås in pappersexemplar och strimla dem när du är klar.
  • Vidarebefordra inte sökandes handlingar till någon som inte behöver dem.

När du har valt kan LeasingTrack hjälpa dig hålla ordning: du bjuder in den nya hyresgästen via e-post, och hyresgästen ser bara sitt eget hyresavtal, inte dina andra bostäder eller andra sökande.

Radera det du inte längre behöver

Avvisade sökande. När bostaden är uthyrd och det nya hyresavtalet är påskrivet har du ingen anledning att spara de andra sökandes lönebesked eller referenser. DPC säger att dessa uppgifter ska kasseras på ett säkert sätt. GDPR anger inget fast antal dagar; några veckor efter avtalsskrivningen är en förnuftig och försvarbar vana. Radera även e-postmeddelanden och bilagor, och titta i nedladdningsmappen.

Den valda hyresgästen. Spara hyresavtalet och betalningsunderlagen under hyresförhållandet och så länge du kan behöva dem för skatte- eller rättsliga krav efteråt. Hur länge beror på land (i Ungern, till exempel, är den allmänna preskriptionstiden för civilrättsliga krav fem år). Lönebesked och kontoutdrag från ansökningsskedet har fyllt sin funktion när hyresavtalet är påskrivet, så du kan oftast radera dem då.

Kort sammanfattning

  1. Visning: namn och kontaktuppgifter.
  2. Seriös sökande: bevis på inkomst och referens från en tidigare hyresvärd.
  3. Avtalsskrivning: det som avtalet och lagen kräver.
  4. Aldrig: hälsa, religion, sexuell läggning, sociala medier och, i många länder, belastningsregister.
  5. Titta på id, kopiera inte, om inte en lag som Englands Right to Rent kräver det.
  6. Berätta vad du gör, förvara det säkert och radera det du inte längre behöver.

Det här är en allmän guide, inte juridisk rådgivning. Om din situation är ovanlig, fråga tillsynsmyndigheten för dataskydd eller en jurist.