Indehaverkonference Hvad gør vi og hvad har vi gjort? Timmy Lund, Vest Administrationen A/S

Transkript

1 Indehaverkonference Hvad gør vi og hvad har vi gjort? Timmy Lund, Vest Administrationen A/S 1 1

2 Grundlæggende filter - rettesnor i VA Almindelige ikkefølsomme oplysninger Navn, adresse, tlf., Følsomme oplysninger Private forhold, økonomiske forhold, sociale forhold, CPRoplysninger Fortrolige oplysninger Helbedsoplysninger, religiøse forhold, politiske overbevisninger, seksuelle oplysninger 2

3 Hvad gør VA p.t.? Vi har historikoplysninger for alle breve og e- mail Slettes 3 år efter kundeforholdets ophør (Forældelsesloven) Alle s arkiveres derudover under en særlig mappe på Exchange-serveren Vi har en fast struktur for foreningernes dokumenter Vi implementerer ISO

4 Historikoplysninger SQL-databasetabel med registreringer siden 26. september 2002 Database kan ikke bruges/læses af uvedkommende Registrering af breve og mails Mails Første mail arkiveret centralt Tidligere under sendt mail i privat mappe Arkiveret siden 2007 under en særlig Fælles folder (Mailarkiv) Mail blandes ikke sammen med andre foreninger Tilføjet GDPR-mappe i april 2018 Særlig undermappe under foreningen, som om nødvendigt kan behandles særskilt Historik-database Mails-oplysninger 4

5 Dokument-oplysninger Dokumenthåndtering Ens folder-struktur i alle boligforeninger Mappe-struktur kan genkendes 1-til-1 på hjemmesiden Styres af Maria Nøhr Pedersen Dokument-arkivet P.t dokumenter, 50,2 GB Overføres 1 gang i timen til Prosedo Regnskabsdata er online via webservice fra EG-bolig Hjemmesiden P.t. lægges alene PDF-dokumenter op på hjemmesiden Personfølsomme data markeres med I_ eller B_ I_: Vises ikke på hjemmesiden B_: Er alene tilgængeligt for bestyrelsen 5

6 ISO27001 Påbegyndt december 2017 DPO, Maria Nøhr Pedersen Ekstern konsulent, Simon Jeiner 14 områder 114 kontroller, som der skal tages stilling til Kontroller For hvert område laves en politik/beskrivelse, risikoanalyse, kontrolrapport Skal gennemgås over en 3 årig cyklus Sker via årlig intern audit Ekstern audit en gang om året Recertificering hvert 3-.år Certificering via DNV-GL Præ-audit i løbet af 2018 Certificering efterfølgende 2-3 måneder Arbejdsdokument 6

7 Bestyrelsen Gå nu ikke i panik! Ryd op, når det passer ind i kalenderen Fremover Send evt. dokumenter over til VA for upload til lukket område Når I sender s til andre end VA: Tænk over om det er personfølsomt Tænk over om I i øvrigt har ret til at gemme oplysningerne Sender I s fra/til lande udenfor EU? 7

8 og hvad har vi så gjort? (1 af 3) Vi traf den rigtige (juridiske) beslutning ang. Hvidvaskloven tilbage i sin tid, da Hvidvask-panikken var på sit højeste. Vi bad ikke om billedlegitimation og kopi af sundhedskort fra vore foreningsbestyrelser, dvs. ej cpr.nr. i systemet. Vi fulgte i stedet vejledningen fra det offentlige, der alene krævede (hvis der ikke var en ejer med mere end 25% af lejlighederne); selskabsrapport/sammenskrevet resume fra det Centrale Virksomheds Register (CVR), matrikelnummer, vedtægter, stiftelsesdokument, seneste generalforsamlingsreferat samt seneste skattebillet og/eller BBR-ejermeddelelse. Erhvervsstyrelsen er enig med os, jf. vejledning om Reelle ejere 2.0. fra 1. november 2017, side 7, pkt

9 og hvad har vi så gjort? (2 af 3) Vi anser os selv som dataanvarlige, fordi det er os der bestemmer Lidt længere version: De personoplysninger vi får oplyst fra vores foreninger, er nødvendige for at vi kan leve op til vores hovedydelse, administration af ejendomsforeninger. Vi har lov til at behandle de data vi har som led i vores hovedydelse. Vi er selvstændigt i stand til at efterleve en registreret persons rettigheder, herunder kravene til oplysningspligt, indsigtsret, ret til berigtigelse, ret til sletning, ret til begrænsning af behandling, ret til dataportabilitet, ret til indsigelse, samtidig med at vedtægterne mv. overholdes. Vi er ansvarlige for at indberette eventuelle brud på persondatasikkerheden. Det er vores ansvar at data behandles korrekt. Det er vores politikker og processer, der er gældende i forhold til behandling af de data vi har. Vi beslutter og foretager ændringer i politikker, processor og systemer i overensstemmelse med den til enhver tid gældende lovgivning. Vi fører blandt andet via vores årlige audit som ISO-certificeret virksomhed selv tilsyn med, at politikker og procedurer overholdes. UDFORDRING: Overtrædelse af GDPR-reglerne = strafferet = ej forsikring 9

10 og hvad har vi så gjort? (3 af 3) Passus i administrationsaftaler, dataansvarlig: 6 Persondataretlige forpligtelser I forholdet mellem andelsboligforeningen og administrator er administrator dataansvarlig for behandling af persondata i tilknytning til de opgaver administrator udfører i forbindelse med de i 3 og 4 nævnte ydelser. Administrator sørger således for, at reglerne omkring blandt andet oplysningspligt, indsigtsret, ret til berigtigelse, ret til sletning, ret til begrænsning af behandling, ret til dataportabilitet, ret til indsigelse, overholdes i forhold til de i 3 og 4 nævnte ydelser. Den nærmere beskrivelse af, hvordan behandling af persondata foregår, fremgår af administrators hjemmeside, hvor persondatapolitikken er nærmere beskrevet. 10