Багато договорів оренди на визначений строк закінчуються пізньої осені, тож для чималої частини невеликих орендодавців наступне завдання — знайти нового орендаря. Ви розміщуєте оголошення, надходять запити, і невдовзі у вас уже тека, повна чужого життя: довідки про доходи, банківські виписки, фото документів, повідомлення про дітей і роботу.

Більшість цього вам ніколи не була потрібна. Згідно з GDPR, який стосується вас, навіть якщо ви здаєте одну квартиру, орендодавець, що збирає персональні дані кандидатів, є контролером даних. Це означає, що ви збираєте лише те, що потрібно для чіткої мети, надійно це зберігаєте та видаляєте, коли мета зникла. Втішно те, що робити це правильно — означає менше паперів, а не більше.

Цей посібник іде етап за етапом. Він ґрунтується на GDPR у тому вигляді, в якому його застосовують у ЄС, із примітками щодо Великої Британії та Ірландії. Національні правила відрізняються, тож усе незрозуміле уточнюйте в органі із захисту даних або в юриста.

Етап 1: перший запит і перегляд

Зараз ви спілкуєтеся з людьми, а не обираєте між ними. Вам потрібно мати змогу відповісти їм і знати, хто прийде до вас.

Що запитувати: ім’я, номер телефону або адресу електронної пошти, можливо, коли людина хотіла б заселитися і скільки осіб житиме в оселі.

Чого поки не запитувати: копії посвідчень особи, банківські виписки, довідки про доходи, дані роботодавця, ідентифікаційні чи податкові номери.

Ірландська Комісія із захисту даних (DPC) зверталася до цього питання прямо. У своїх рекомендаціях щодо запиту персональних даних у потенційних орендарів вона зазначає, що орендодавці часто збирають багато інформації від багатьох кандидатів на етапі подання заявки, «переважна більшість яких зрештою не стане орендарями». На її думку, докладні відомості зазвичай не потрібні, доки ви не обрали бажаного орендаря. Ще 2014 року вона вважала, що немає підстав збирати банківські реквізити, номери PPS і рахунки за комунальні послуги на етапі перегляду, а також заявляла, що орендодавці не повинні просити фото чи номери PPS до підписання договору (матеріал Irish Times). Ці рекомендації ірландські, але принцип, що за ними стоїть, — мінімізація даних — є в GDPR усюди.

Етап 2: серйозний кандидат

Коли людина побачила помешкання, хоче його винайняти, а ви серйозно її розглядаєте, цілком обґрунтовано перевірити дві речі: чи зможе вона платити і як минула її попередня оренда.

  • Платоспроможність. DPC вважає прийнятним просити документи, що підтверджують здатність кандидата сплачувати орендну плату. Це може бути свіжа довідка про заробітну плату, трудовий договір або, для самозайнятих, нещодавня податкова довідка. Якщо ви просите банківські виписки, всі транзакції вам не потрібні: DPC зазначала, що достатньо виписки з поточними залишками без деталей операцій. Запропонуйте кандидатам закрити те, що вам не потрібно.
  • Відгук попереднього орендодавця. Короткий дзвінок чи лист попередньому орендодавцю, про який кандидат знає, — зазвичай найкорисніша перевірка. Запитайте, чи вчасно сплачувалася орендна плата, у якому стані було помешкання наприкінці й чи здавав би він знову цій людині. Контакт попросіть у самого кандидата, не шукайте його самі.

Одне, що дивує багатьох орендодавців: згода тут зазвичай не є належною правовою підставою. DPC попереджає, що через нерівність між орендодавцем і людиною, якій потрібне житло, згода навряд чи буде вільною. Ці перевірки зазвичай ґрунтуються на діях, потрібних перед укладенням договору, або на вашому законному інтересі — тому вони й мають залишатися пропорційними.

У деяких країнах орендарі звикли подавати стандартний документ, наприклад кредитний звіт національного кредитного бюро. Чи можна його вимагати і як, залежить від місцевої практики, тож з’ясуйте це у своїй країні.

Етап 3: підписання договору

Тепер вам потрібно достатньо даних, щоб належно ідентифікувати сторони та вести оренду:

  • повне ім’я та поточна адреса кожного дорослого орендаря;
  • ідентифікаційні дані, яких вимагає національна практика для договору оренди (в Угорщині, наприклад, у договорах зазвичай зазначають дату й місце народження та дівоче прізвище матері);
  • контактні дані;
  • банківський рахунок, з якого надходитиме орендна плата, якщо це корисно для зіставлення платежів;
  • контакт для екстрених випадків, якщо орендар захоче його вказати.

Усе, що вимагає закон, наприклад реєстрація оренди чи податкова звітність у вашій країні, також можна збирати на цьому етапі, адже тоді підставою є юридичний обов’язок.

Заборонено на будь-якому етапі

Деякі речі не можна ні запитувати, ні з’ясовувати взагалі:

  • Здоров’я, релігія, етнічне походження, політичні погляди, сексуальна орієнтація. Це особливі категорії даних за статтею 9 GDPR, а в багатьох країнах питання про них під час вибору орендаря можуть бути й дискримінацією.
  • Соціальні мережі. Гортати профілі кандидата — це збирати дані, які вам не потрібні, і ви побачите саме ту інформацію, що перелічена вище. Не робіть цього.
  • Судимості. Згідно зі статтею 10 GDPR, дані про судимості можна обробляти лише під контролем офіційного органу або якщо національне право прямо це дозволяє. У багатьох країнах приватний орендодавець такого дозволу не має, тож не вимагайте довідку про відсутність судимості, якщо не перевірили, що закон вашої країни це дозволяє.

Дивитися, а не копіювати: посвідчення особи

Ви цілком можете захотіти побачити посвідчення особи під час підписання, щоб переконатися, що людина перед вами — та, що названа в договорі. Подивіться, порівняйте дані з договором і поверніть документ. Не робіть ксерокопію чи фотографію.

Це випливає із загальної позиції угорського органу NAIH. У його позиції щодо виготовлення копій документів (NAIH/2018/3654) сказано, що пред’явлення документа з фото — належний спосіб підтвердити особу, що копія нічого не доводить щодо чинності оригіналу, а зберігання копій порушує принципи обмеження мети та мінімізації даних. NAIH вважав, що копіювання документів особи без конкретної правової підстави є незаконним навіть за згоди людини, і накладав штрафи на організації, які це робили. Щодо приватних орендодавців NAIH окремо не висловлювався, тож це наш висновок, але важко уявити, чому орендодавця мали б розглядати інакше, ніж банк чи роботодавця. Інші органи ЄС загалом дотримуються подібного мінімального підходу.

Виняток для Великої Британії. В Англії орендодавці зобов’язані проводити перевірку права на оренду (Right to Rent) і зберігати копії документів або результат онлайн-перевірки протягом усього строку оренди та щонайменше рік після неї. Це юридичний обов’язок, тому копіювання там законне. Це стосується лише Англії та лише тих документів і кроків, яких вимагає перевірка.

Коротке повідомлення про приватність

Кандидати мають знати, що ви збираєте і навіщо, ще в момент збору. Невеликому орендодавцю вистачить кількох рядків в оголошенні або короткого повідомлення після перегляду:

Я використовую ваші контактні дані, щоб домовитися про перегляд і зв’язатися з вами. Якщо ми продовжимо, я попрошу підтвердження доходу та контакт попереднього орендодавця. Якщо вас не оберуть, я видалю вашу інформацію протягом місяця після того, як об’єкт буде здано. Ви можете будь-коли запитати, які дані про вас я зберігаю, або попросити їх видалити.

Додайте своє ім’я та контакти й вкажіть орган із захисту даних як інстанцію для скарг. У Великій Британії на сайті ICO перевірте, чи потрібно вам сплачувати збір за захист даних.

Безпечне зберігання

  • Тримайте все в одному місці, а не розкиданим між телефоном, двома поштовими скриньками та кухонною шухлядою.
  • Використовуйте надійний пароль і двофакторний вхід для пошти та хмарного сховища.
  • Паперові копії замикайте, а після використання знищуйте в шредері.
  • Не пересилайте документи кандидатів тим, кому вони не потрібні.

Коли ви зробите вибір, LeasingTrack допоможе підтримувати лад: ви запрошуєте нового орендаря електронною поштою, і він бачить лише свою оренду, а не ваші інші об’єкти чи інших кандидатів.

Видалення того, що вже не потрібно

Кандидати, яким відмовили. Щойно об’єкт здано й новий договір підписано, у вас більше немає підстав зберігати довідки про доходи чи відгуки інших кандидатів. DPC наголошує, що ці дані слід безпечно знищити. GDPR не встановлює точної кількості днів; кілька тижнів після підписання — розумна й обґрунтована практика. Видаліть також листи та вкладення й перевірте папку завантажень.

Обраний орендар. Зберігайте договір і платіжні записи на час оренди та стільки, скільки вони можуть знадобитися для податкових або юридичних вимог згодом. Ці строки залежать від країни (в Угорщині, наприклад, загальна позовна давність для цивільних вимог становить п’ять років). Довідки про доходи й банківські виписки з етапу подання заявки виконали свою роль, щойно договір підписано, тож зазвичай їх можна тоді ж видалити.

Коротко

  1. Перегляд: ім’я та контактні дані.
  2. Серйозний кандидат: підтвердження доходу та відгук попереднього орендодавця.
  3. Підписання: те, чого вимагають договір і закон.
  4. Ніколи: здоров’я, релігія, сексуальна орієнтація, соціальні мережі та, у багатьох країнах, судимості.
  5. Дивіться на посвідчення особи, не копіюйте його, якщо цього не вимагає закон, як-от Right to Rent в Англії.
  6. Повідомляйте людям, що ви робите, надійно зберігайте дані та видаляйте те, що більше не потрібне.

Це загальний посібник, а не юридична консультація. Якщо ваша ситуація незвичайна, зверніться до органу із захисту даних або до юриста.