Notat om videregivelse af oplysninger om ejendomsdata til EjendomDanmark
1. INDLEDNING OG FORMÅL
EjendomDanmark ("ED") har anmodet Kromann Reumert om en juridisk vurdering af ED's behandling af oplysninger, når ED fra sine medlemmer indsamler data til brug for markedsstatistik, herunder videregivelse i forbindelse med aftaler om udveksling af data indgået med eksterne tredjeparter som fx Danmarks Statistik og De Økonomiske Råds Sekretariat ("DØRS")
Vurderingen er afgrænset til medlemmernes videregivelse af markedsdata (oplysninger om leje, tomgang, værdiansættelser og historiske afkast) om beboelseslejemål og erhvervsmål udlejet til enkeltmandsvirksomheder (idet disse kan indeholde oplysninger om fysiske personer) til ED med henblik på ED's
i. behandling af markedsdata for at udarbejde analyser og nøgletal til ED's egen markedsstatistik,
ii. offentliggørelse af egen markedsstatistik,
iii. videregivelse af de modtagne markedsdata i henhold til aftaler om udveksling af data indgået med eksterne samarbejdspartnere, som nævnt ovenfor.
Vurderingen tager hverken stilling til medlemmernes videregivelse af markedsdata om erhvervslejemål til ED generelt eller ED's egen behandling af oplysningerne, efter de er blevet indsamlet fra medlemmerne. Endelig tager vurderingen ikke stilling til medlemmernes behandling af oplysninger eller videregivelse af oplysninger til ED eller andre tredjeparter i andre sammenhænge i øvrigt.
ED har anmodet Kromann Reumert om at vurdere, om der er et behandlingsgrundlag til videregivelsen af de ovennævnte markedsdata fra medlemmerne til ED, samt
ADVOKATFIRMA
WWW.KROMANNREUMERT.COM
CVR-NR. DK 62 60 67 11
ADVOKAT
AHANG FARAJE
KØBENHAVN
DIR. +45 38 77 12 69
MOB. +45 28 96 95 28
AHFA@KROMANNREUMERT.COM
PIA KIRSTINE VOLDMESTER
11. MAJ 2023
SAGSNR. 1069718 AHFA/AHFA
DOK. NR. 1069718-1121066876-281.16
hvordan medlemmerne sikrer tilstrækkelig opfyldelse af deres oplysningspligt over for de registrerede i henhold til de databeskyttelsesretlige regler.
Vores vurdering er navnlig baseret på databeskyttelsesforordningen (Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016).
Vi har lagt til grund, at ED selv har vurderet, at de modtagne oplysninger overholder art. 5, stk. 1, litra c i GDPR, om dataminimering, og vi har derfor ikke lavet den vurdering.
2. KONKLUSION
Det er vores vurdering, at ED's medlemmer i et vist omfang kan videregive markedsdata (oplysninger om leje, tomgang, værdiansættelser og historiske afkast) om beboelseslejemål og erhvervslejemål udlejet til enkeltmandsvirksomheder til ED baseret på interesseafvejningsreglen i databeskyttelsesforordningens art. 6, stk. 1, litra f
Medlemmer, der er ejendomsadministratorer, og som agerer databehandlere på vegne af ejendomsejerne bør være særligt opmærksomme på, hvorvidt videregivelse af de ejendomsrelaterede oplysninger til ED er omfattet af den instruks og databehandleraftale, der er indgået. Hvis det ikke er tilfældet, bør den enkelte ejendomsadministrator først sikre sig, at der foreligger en instruks fra ejendomsejeren (den dataansvarlige) til at videregive oplysningerne til ED til de givne formål, idet ejendomsadministratoren ellers risikerer at handle i strid med den indgåede aftale. Se nærmere herom nedenfor i afsnit 4.
Endelig bør samtlige af ED's medlemmer generelt sikre sig, at lejerne (de registrerede) modtager tilstrækkelig information om videregivelsen af de ejendomsrelaterede oplysninger til ED i overensstemmelse med databeskyttelsesforordningens art. 13, stk. 1, litra d og litra e, ved fx at opdatere eksisterende privatlivspolitikker rettet mod lejerne og henlede lejernes opmærksomhed på, at politikkerne er blevet opdateret.
ED indsamler i dag en række forskellige markedsdata fra ejendomsbranchens aktører til brug for udarbejdelse af analyser og nøgletal samt politisk arbejde Disse markedsdata omhandler leje, tomgang, værdiansættelser og historiske afkast Formålet med indsamlingen af ovennævnte markedsdata er at styrke ejendomsbranchen og skabe et bedre fundament for både ejendomsmarkedet og samfundet ved at bidrage til transparens i form af markedsindsigt. De indsamlede data indgår fx i udarbejdelse af statistikker over markedet for professionel udlejning i Danmark, herunder ED's markedsstatistik ("EDM"), ligesom data videregives til brug for samme formål i forbindelse med aftaler indgået med eksterne tredjeparter, herunder fx Danmarks Statistik og DØRS.
Indberetning af såkaldt markedsdata til ED er frivilligt og kan enten foretages via en indberetningsportal særligt oprettet til formålet, via e-mail til ED eller gennem automatisk indberetning efter nærmere aftale med ED og
UNIK Bolig ED behandler den modtagne data fortroligt i henhold til en fortrolighedserklæring, og vi har fået oplyst, at offentliggørelse af data fra ED alene sker i aggregeret og anonymiseret form, således at oplysninger om enkelte lejemål, ejendomme og aktører ikke videregives i deres oprindelige form, hvorved der kan ske identifikation af enkeltpersoner
ED's videregivelse af den modtagne data til eksterne tredjeparter, som fx Danmarks Statistik og DØRS, er hverken aggregeret eller anonymiseret Parterne er dog underlagt samme fortrolighed som ED og forpligter sig gennem en fortrolighedsaftale med ED til, at den modtagne data ikke må deles, videregives eller offentliggøres på et mindre aggregeret niveau end foreskrevet af ED.
ED har oplyst, at ED's medlemmer via ovennævnte indberetningsportal bliver præsenteret for en bruttooversigt over de oplysninger, som ED er interesseret i at indsamle. Bruttooversigten indeholder en række frivillige felter, hvilke medlemmerne ikke behøver at indberette om Bruttooversigten dækker i øjeblikket over følgende datapunkter, hvorom medlemmerne kan indberette til ED:
Lejemålets karakteristika Årsleje Areal Udlejerafholdte aconto driftsomkostninger
Forbrugsomkostninger
- enhedsnummer - leje inkl. drift - samlet areal - A conto driftsomkostninger - A conto forbrugsomkostninger
- ejendomsnummer - årsleje kontor - areal kontor - særindretning og installationer - årlige varme
- tomgangsstatus - årsleje butik - areal butik - skatter og afgifter - årlig fælles
- adresse - årsleje industri - areal industri - planlagt og løbende udvendig vedligeholdelse
- postnummer - årsleje bolig - areal bolig - planlagt og løbende indvendig vedligeholdelse
- årlig vand
- årlig el
- by - årsleje andet erhverv - areal andet erhverv - renhold - forsyning
- kommunekode - årsleje sekundært - areal sekundært
- vagt og sikkerhed
- BBR-nummer - årsleje parkering - areal parkering - kantinedrift og anden service
- lejemålets sektor - årsleje kælder - areal kælder - forsikringer
- lejefastsættelse - årsleje fælles - areal fælles - ejendomsadministrationsomkostninger
- handlet eller under udvikling - årsleje ej opdelt - areal ej opdelt - antenne, internet og lignende
- virksomhed der indberettes for - årsleje logistik - areal logistik
- uopsigelighed - årsleje hotel - areal hotel
- BFE-nummer - årsleje erhverv i alt - areal erhverv i alt
- butikscenter - midl. lejenedsættelse
- antal p-pladser - tab på lejere
- brutto-/nettoleje - moms
- indflytningsdato - depositum
- fraflytningsdato
- opsigelsesdato
- opsigelsesårsag
- opsigelsesvarsel
- genudlejningsdato
- opgørelsesdato
- bemærkninger
Personoplysninger er i Databeskyttelsesforordningens art. 4, nr.1, defineret som:
"enhver form for information om en identificeret eller identificerbar fysisk person ("den registrerede"); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet."
Når ED's medlemmer indberetter markedsdata om beboelseslejemål og erhvervslejemål udlejet til enkeltmandsvirksomheder til ED via førnævnte indberetningsmuligheder, kan de indberettede data grundet deres karakter enten helt eller delvist henføres til en eller flere fysiske personer, og der sker således en videregivelse (behandling) af personoplysninger til ED omfattet af databeskyttelsesforordningens regler.
Databeskyttelsesforordningens regler opstiller nogle særlige betingelser for, hvornår og hvordan personoplysninger må behandles (og videregives) alt afhængigt af, hvilken type personoplysninger, der er tale om. Baseret på de indberettede oplysningers karakter, er det vores vurdering, at markedsdata om beboelseslejemål og erhvervslejemål udlejet til enkeltmandsvirksomheder" er almindelige, ikke-følsomme personoplysninger, og at ED's medlemmers behandlingsgrundlag til at videregive oplysningerne til ED derfor skal vurderes efter databeskyttelsesforordningens art. 6.
4.1.1 Databeskyttelsesforordningens art. 6, stk. 1, litra f - interesseafvejningsreglen
Ifølge art. 6, stk. 1, kan behandling (herunder videregivelse) af personoplysninger lovligt ske, hvis og i det omfang at mindst ét af de forhold, der er oplistet i art. 6, stk. 1, litra a-f gør sig gældende.
Henset til formålet med medlemmernes videregivelse af de ejendomsrelaterede oplysninger, herunder særligt ED formål med at indsamle og bearbejde de modtagne oplysninger, er det vores vurdering, at ED's medlemmer kan basere deres videregivelse af ovennævnte oplysninger på interesseafvejningsreglen i databeskyttelsesforordningens art. 6, stk. 1, litra f, hvorefter behandling (herunder videregivelse) af personoplysninger lovligt kan ske, hvis:
" behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn."
Som det fremgår af ordlyden ovenfor, forudsætter brug af bestemmelsen, at der foretages en afvejning af den dataansvarliges legitime interesse – i dette tilfælde ED's medlemmers interesse i at bidrage til markedsstatistik – over for de registreredes (lejernes) grundlæggende rettigheder og frihedsrettigheder, og at lejernes interesser og frihedsrettigheder i den forbindelse ikke vurderes at gå forud for ED's medlemmers legitime interesse.
Ud fra det oplyste er det vores vurdering, at ED's medlemmer har en legitim interesse i at videregive markedsdata i form af ejendomsrelaterede oplysninger til ED for at bidrage til at sikre markedsindsigt på tværs af ejendomsbranchen med henblik på at styrke branchen og skabe et bedre fundament for ejendomsmarkedet til gavn for både ejendomsbranchen og samfundet Ved vurderingen heraf har vi lagt vægt på, at oplysningerne skal bruges til statistiske formål, at ED's efterfølgende behandling af oplysningerne er underlagt fortrolighed, at ED's samarbejdspartnere, herunder Danmarks Statistik og DØRS, også i forbindelse med deres efterfølgende behandling af oplysningerne, er underlagt fortrolighed og i øvrigt forpligter sig til, at den modtagne data ikke deles, videregives eller offentliggøres på et mindre aggregeret niveau end foreskrevet af ED, og at der ikke kan udledes fortrolige forbrugsoplysninger om lejere, når markedsdata videregives på årsbasis, hvorved der næppe kan uddrages fortrolige oplysninger om forbruget hos de enkelte og dermed heller ikke udledes andre oplysninger, fx om religion
Dog er det samtidigt vores vurdering, at denne legitime interesse ikke kan anses for at gå forud hensynet til de registrerede, såfremt omfanget af de data, der videregives til ED, samlet set gør det muligt for ED at udlede detaljerede oplysninger om lejerne, herunder forbrugsoplysninger, som efter Datatilsynets praksis kan udgøre fortrolige oplysninger, alt efter detaljeringsniveau Desuden kan datapunkterne, der kan indberettes om til ED, muligvis tilsammen udgøre en større pulje af oplysninger, som baseret på både karakter og omfang, medfører en stor risiko for, at ED (som modtager af oplysningerne) bliver i stand til at udlede detaljerede oplysninger om enkeltpersoner
Sammenfattende er det således vores vurdering, at ED's medlemmer har en legitim interesse i at videregive markedsdata i form af ejendomsrelaterede oplysninger til ED for at bidrage til at sikre markedsindsigt på tværs af ejendomsbranchen, og at denne legitime interesse i et vist omfang kan udgøre behandlingsgrundlaget for medlemmernes videregivelse af markedsdata til ED, jf. art. 6, stk. 1, litra f. Indberetter medlemmerne imidlertid på størstedelen eller samtlige af de ovenfor gengivne datapunkter, og bliver ED herved i stand til at udlede detaljerede oplysninger om enkeltpersoner i de forskellige lejemål, skal vurderingen efter interesseafvejningsreglen i art. 6, stk. 1, litra f, i databeskyttelsesforordningen genbesøges, idet den næppe kan udstrækkes til at omfatte en sådan videregivelse af oplysninger.
Baseret på de informationer, vi har modtaget fra ED, har vi lagt til grund, at medlemmerne behandler oplysningerne på baggrund af et behandlingsgrundlag, som fx artikel 6, stk. 1, litra b, der muliggør senere behandling på baggrund af interesseafvejningsreglen.
I det omfang, at ED's medlemmer er ejendomsejere og selv ansvarlige for den daglige vedligeholdelse og udlejning af de omhandlede lejemål (selvstændig dataansvarlig), er det således vores vurdering, at markedsdata i det beskrevne omfang lovligt kan videregives ejendomsrelaterede oplysninger til ED til brug for statistiske formål baseret på interesseafvejningsreglen i databeskyttelsesforordningens art. 6, stk. 1, litra f. Samme vurdering gør sig gældende for de situationer, hvor der mellem den enkelte ejendomsejer og ejendomsadministrator er indgået en aftale om fælles dataansvar.
Såfremt ED's medlemmer er ejendomsadministratorer, der på vegne af ejendomsejerne, forestår udlejningen af de omhandlede lejemål, og der mellem den enkelte ejendomsejer og ejendomsadministrator er indgået en såkaldt databehandleraftale, kan videregivelse af de ejendomsrelaterede oplysninger også i et vist omfang baseres på interesseafvejningsreglen i databeskyttelsesforordningens art. 6, stk. 1, litra f.
Forudsætningen herfor er dog, at den enkelte ejendomsadministrator som databehandler - forud for evt. indberetning af data til ED - sikrer sig, at den indgåede databehandleraftale kan rumme en sådan videregivelse af de ejendomsrelaterede oplysninger
I modsat fald risikerer ejendomsadministratoren, som databehandler, bl.a. at handle uden for den dataansvarliges instruks og dermed selv blive dataansvarlig for videregivelsen af de ejendomsrelaterede oplysninger. Derudover risikerer ejendomsejeren, som den dataansvarlige, et sikkerhedsbrud, idet ejendomsadministratoren anses for at handle uden for sin instruks.
I det tilfælde at databehandleraftalen ikke kan rumme videregivelse af ovennævnte oplysninger til ovennævnte formål, bør den enkelte ejendomsadministrator i samråd med den dataansvarlige (ejendomsejeren) få tilpasset databehandleraftalen, således at aftalen indeholder en instruks fra den dataansvarlige (ejendomsejeren) til databehandleren (ejendomsadministratoren) om at videregive markedsdata i form af ejendomsrelaterede oplysninger til ED på vegne af ejendomsejeren til brug for ED's statistiske formål, herunder samarbejde med eksterne tredjeparter, som fx Danmarks Statistik og DØRS.
Alternativt skal ejendomsadministratoren i samråd med ejendomsejeren enten i) få indarbejdet sådan en instruks i en evt. eksisterende administrationsaftale og vedlægge denne aftale som bilag til den indgående databehandleraftale ii) eller indhente en særskilt, skriftlig instruks om videregivelse til ED til brug for ED's statistiske formål med ejendomsejeren som tillæg til den eksisterende databehandleraftale.
4.1.3 Databeskyttelsesforordningens art. 13 - oplysningspligt over for de registrerede
Det følger af art. 13 i databeskyttelsesforordningen, at den dataansvarlige, senest ved tidspunktet for indsamling af oplysninger om den registrerede, skal give den registrerede en række oplysninger.
Ifølge art. 13, stk. 1, litra d og litra e, omfatter dette information om de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på databeskyttelsesforordningens art. 6, stk. 1, litra f, og oplysninger om eventuelle modtagere eller kategorier af modtagere af personoplysningerne
For ED's medlemmer betyder dette konkret, at lejerne (de registrerede) skal orienteres om, at der videregives lejemålsrelaterede oplysninger til ED til brug for statistiske formål, ligesom lejerne skal orienteres om de legitime interesser, der forfølges ved at foretage denne behandling (videregivelse) af oplysninger
Opfyldelse af oplysningspligten i henhold til databeskyttelsesforordningens art. 13 sker typisk ved at stille en elektronisk tilgængelig privatlivspolitik til rådighed for de registrerede Det antages derfor, at ED's medlemmer allerede i dag har privatlivspolitikker rettet mod lejere, der beskriver medlemmernes behandling af oplysninger om deres lejere. Det er vores anbefaling, at ED's medlemmer med henblik på iagttagelse af art. 13, stk. 1, herunder navnlig litra d og litra e, i deres eksisterende privatlivspolitikker indarbejder ovennævnte oplysninger om videregivelse af de lejemålsrelaterede oplysninger til ED, samt de legitime interesser, der forfølges herved ved denne videregivelse.
Vi anbefaler endvidere, at ED's medlemmer tager aktive skridt mod at sikre, at lejerne gøres bekendt med det opdaterede indhold i den enkelte privatlivspolitik ved fx at orientere de respektive lejere herom, alternativt ved at sikre sig at lejernes opmærksomhed henledes herpå fx ved at oplyse om den opdaterede privatlivspolitik på hjemmesider og øvrige informationskanaler rettet mod lejere og/eller beregnet til kontakt med lejere, samt ved at indarbejde links til opdaterede versioner af politikkerne i e-mails, autosignatur mv.
For at sikre at lejerne modtager tilstrækkelig information om ED's efterfølgende behandling, anbefaler vi endvidere, at ED's medlemmer i deres opdaterede privatlivspolitikker henviser til ED's egen privatlivspolitik for mere information om den videre behandling af de indberettede oplysninger, og ED's hjemmel til at videregive oplysningerne i aggregeret og anonymiseret form til Danmarks Statistik.