En bostadsrättsförening behöver personuppgifter för att sköta medlemskap, avgifter, lägenheter och fastigheten. GDPR innebär att föreningen måste veta varför uppgifterna används, vem som får tillgång och hur länge de behövs. Vissa register är lagstadgade, medan kölistor, digitala tjänster och kamerabevakning kräver andra bedömningar. Ett gemensamt dokument med rubriken ”GDPR” ersätter inte besluten för dessa olika behandlingar.
Föreningen är personuppgiftsansvarig när den bestämmer över behandlingen; styrelsen företräder föreningen och organiserar arbetet. Uppdrag kan utföras av en förvaltare eller leverantör utan att föreningens ansvar försvinner. Den här guiden visar hur en styrelse kan skilja lagstadgade register från övrig administration, hantera boendes frågor och skapa en fungerande överlämning. Reglerna och de nationella källorna är kontrollerade den 29 september 2026.
Föreningens ansvar består när styrelsen byts
Ett styrelsebyte innebär inte att en ny personuppgiftsansvarig tar över varje behandling. Det är fortfarande samma förening, med skyldigheter att skydda uppgifter och hantera rättigheter. Däremot ändras vilka personer som behöver behörighet och information. Den avgående ledamotens privata dator får inte bli föreningens enda arkiv. Planera därför överlämning av handlingar, konton, pågående ärenden och kontaktvägar tillsammans med det vanliga styrelsearbetet.
Utse vem som samordnar personuppgiftsfrågor och vem som ansvarar för varje viktig tjänst. Samordnaren behöver inte automatiskt vara ett dataskyddsombud. Den särskilda ombudsplikten beror bland annat på om kärnverksamheten innefattar regelbunden och systematisk övervakning i stor omfattning eller behandling av vissa känsliga uppgifter eller brottsuppgifter i stor omfattning. En vanlig liten förening får inte en sådan skyldighet enbart av att den har ett medlemsregister, men bedömningen måste passa den faktiska verksamheten.
En rutin för medlemsadministration och styrelsebyte kan ge praktiskt stöd. Anpassa den till bostadsrättsföreningens särskilda register och bevarandekrav. Det ska framgå vilka dokument den nya styrelsen ska ha, vilka privata kopior som ska tas bort och hur gamla åtkomster avslutas. Kontrollen bör göras även hos förvaltaren och andra tjänster, så att ett avslutat styrelseuppdrag inte lämnar en aktiv administratörsbehörighet kvar.
Medlemsförteckningen är lagstadgad och tillgänglig för insyn
Bostadsrättslagen 9 kap. 8–9 b §§ kräver medlemsförteckning och lägenhetsförteckning. Medlemsförteckningen ska bland annat innehålla medlemmens namn och postadress, tidpunkten för inträdet samt den bostadsrätt medlemmen har. Ändringar ska antecknas utan dröjsmål, och avgångstidpunkten ska noteras när medlemskapet upphör. Förandet har en rättslig skyldighet som grund; föreningen behöver inte be medlemmen om ett återkalleligt samtycke till att fullgöra just denna skyldighet.
Medlemsförteckningen ska hållas tillgänglig hos föreningen för var och en som vill ta del av den. Vid automatiserad behandling ska den som begär det kunna ta del av en aktuell utskrift eller annan aktuell framställning hos föreningen. Detta är en viktig gräns för påståendet att bara styrelsen får se medlemsuppgifter. Lagstadgad insyn måste ordnas, samtidigt som övriga system och uppgifter skyddas. En begäran om förteckningen ger inte automatiskt rätt till betalningshistorik, personliga klagomål eller alla uppgifter i förvaltarens kundsystem.
Skilj därför den lagstadgade förteckningen från en intern kontaktlista med telefonnummer och e-postadresser. Att namn och postadress ingår i en förteckning som ska vara tillgänglig betyder inte att föreningen måste publicera hela kontaktregistret öppet på internet. Bestäm hur insyn ordnas och vilken version som lämnas fram. Då kan en ledamot svara korrekt på en begäran utan att improvisera eller lämna ut fler uppgifter än den aktuella rätten omfattar.
Lägenhetsförteckningen har ett annat innehåll och en annan insynsregel
Enligt den aktuella lydelsen av 9 kap. 10 § ska lägenhetsförteckningen bland annat ange lägenhetens beteckning, belägenhet, rumsantal och övriga utrymmen, registreringsdagen för den ekonomiska planen, bostadsrättshavarens namn och insatsen. Lagen ställer också krav på anteckningar om vissa förändringar och underrättelser, exempelvis pantsättning, samt kopia av överlåtelseavtal vid överlåtelse. Detta är inte samma register som en allmän boendelista för serviceinformation.
Bostadsrättshavaren har enligt 9 kap. 11 § rätt att på begäran få utdrag beträffande sin lägenhet. Den regeln skiljer sig från medlemsförteckningens tillgänglighet för var och en. När exempelvis en fastighetsmäklare eller annan extern part frågar efter uppgifter behöver föreningen därför kontrollera vad som begärs, med vilket uppdrag och vilken rätt eller grund som stöder utlämnandet. Ett generellt önskemål om ”allt inför försäljningen” ger inte i sig rätt till föreningens samtliga personuppgifter.
Bestäm rättslig grund för den övriga administrationen
En parkeringskö, felanmälan eller boendeportal följer inte automatiskt samma rättsliga grund som de lagstadgade förteckningarna. Föreningen måste ange ett konkret ändamål och bedöma vilken grund som passar. Avtal förutsätter att behandlingen är nödvändig för avtalet med den berörda personen eller åtgärder på dennes begäran före avtalet. En leverantörs avtal med föreningen gör inte alla boende till avtalsparter. Berättigat intresse kräver i sin tur en bedömning av intresse, nödvändighet och de berördas rättigheter.
För en parkeringskö kan styrelsen behöva namn, kontaktväg, anmälningsdatum och relevanta uppgifter om behörighet. Det innebär inte att föreningen behöver registrera detaljer om personens familj eller hälsa. Beskriv köregeln och hur den tillämpas, så att onödiga fritextanteckningar inte blir ett informellt parallellt register. Om en person lämnar kön behöver uppgifter som bara används för kön bedömas för borttagning, medan ett separat avtal eller ett avgränsat ärende kan ha egna behov.
Dokumentera behandlingarna i registerförteckningen och förklara bedömningen av rättslig grund. Undantaget för organisationer med färre än 250 anställda är inte ett generellt undantag för små föreningar. Bland annat icke tillfällig behandling, behandling som sannolikt medför risk och behandling enligt artikel 9 eller 10 utesluter undantaget för de berörda aktiviteterna. Löpande medlems- och avgiftsadministration ska därför inte avfärdas som undantagen bara för att styrelsen arbetar ideellt.
Information till medlemmar, boende och köande
Förklara föreningens behandling på ett sätt som passar mottagaren. En ny medlem behöver information om register, avgifter, förvaltare, kontaktuppgifter och rättigheter. En person som bara står i en parkeringskö behöver inte läsa hela föreningens interna organisationsbeskrivning för att förstå kön. En gemensam integritetspolicy kan kompletteras med kort information där uppgifter samlas in. Informationen ska spegla den verkliga behandlingen och vara lätt att hitta även för den som inte använder en app.
Vid direkt insamling gäller information enligt artikel 13 när uppgifterna samlas in. När uppgifter kommer från andra, exempelvis i samband med en överlåtelse, behöver artikel 14 bedömas, inklusive källor, kategorier och tidpunkter. Personen ska normalt informeras inom rimlig tid och senast en månad, eller tidigare vid första kommunikation eller första utlämnande enligt bestämmelsens villkor. Utgå inte från att mäklarens information automatiskt beskriver föreningens egen behandling.
Förvaltare och digitala tjänster
En ekonomisk förvaltare som administrerar uppgifter för föreningens räkning kan vara personuppgiftsbiträde. Andra uppgifter kan innebära en självständig roll. Bedöm därför uppdraget per behandling och säkerställ de bindande villkor som artikel 28 kräver där biträdesrollen gäller. Vanligen används ett skriftligt personuppgiftsbiträdesavtal; bestämmelsen medger också en annan bindande rättsakt enligt unionsrätt eller en medlemsstats nationella rätt, inklusive elektronisk form.
Avtalet och den praktiska lösningen behöver stödja föreningens beslut om behörigheter, rättighetsbegäranden, incidenter och avslut. Fråga hur en ledamot avregistreras, hur en medlems uppgifter kan hittas och hur ett byte av förvaltare går till. Kontrollera underbiträden och eventuella tredjelandsöverföringar. Det räcker inte att portalen har ett lösenord om alla användare får samma åtkomst eller om föreningen inte kan få ut de handlingar den måste bevara.
Kamerabevakning: inget tillstånd innebär inte fri användning
Sedan 1 april 2025 finns ingen tillståndsplikt för kamerabevakning hos IMY. Förklaringen är alltså inte längre ett särskilt undantag för privata bostadsrättsföreningar. IMY:s beskrivning av de nuvarande reglerna betonar att dataskyddsreglerna fortfarande gäller. En förening måste bedöma om bevakningen är laglig, nödvändig och proportionerlig innan den börjar. Ett styrelsebeslut om att köpa kameror ersätter inte denna prövning.
IMY:s vägledning för bostadsrättsföreningar och hyresvärdar framhåller bostadens starka integritetsintresse. Mindre ordningsproblem som nedskräpning räcker normalt inte, och entréer eller trapphus kräver särskilt starka dokumenterade skäl. Ljudupptagning är i regel inte tillåten. Bedömningen gäller den konkreta platsen, behovet och omfattningen; den får inte reduceras till att soprum alltid är tillåtna eller att en inträffad händelse automatiskt motiverar övervakning dygnet runt.
En hypotetisk förening som har återkommande stölder i ett förråd bör först beskriva vad som har hänt och vilka mindre ingripande åtgärder som kan hjälpa. Därefter kan den pröva kamerans område, aktiva tider och vilka personer som berörs. Beslutet behöver visa varför den valda lösningen behövs och hur intrånget begränsas. Kamerabevakningsguiden ger stöd för en mer detaljerad genomgång. Om behandlingen sannolikt leder till hög risk måste även behovet av konsekvensbedömning enligt artikel 35 hanteras.
Inspelningar ska sparas så kort tid som behövs. IMY hänvisar till tre dygn som en användbar tumregel, med möjlighet till längre tid vid konkret behov. Det är vägledning, inte en generell lagstadgad maxgräns eller ett tillstånd att rutinmässigt spara i månader. Bestäm vem som får se materialet och vid vilka händelser, informera tydligt och följ upp om skälen för bevakningen fortfarande finns.
Bevarande och gallring måste skilja på handlingarna
Föreningen får inte radera lagstadgade registeruppgifter enbart därför att medlemmen har flyttat. Genom bostadsrättslagen gäller lagen om ekonomiska föreningar 5 kap. 6–7 §§ för medlemsförteckningen. Den ska bevaras så länge föreningen består och minst sju år efter upplösningen. Vid automatiserad förteckning ska borttagna uppgifter bevaras minst sju år. Bestämmelserna gör att medlemsförteckningens historik måste skiljas från en tillfällig lista över vilka som ska få dagens utskick.
Räkenskapsinformation har egna krav. Enligt bokföringslagen 7 kap. 2 § bevaras den till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Det är inte ett generellt skäl att behålla alla felanmälningar, köuppgifter och privata meddelanden lika länge. En gallringsplan bör ange dokumenttyp, ändamål, rättslig skyldighet där sådan finns, startpunkt, åtkomst och hur borttagning genomförs.
För andra uppgifter gäller nödvändighet utifrån ändamålet, med hänsyn till tillämpliga regler och eventuella rättsliga anspråk. En avslutad felanmälan kan behöva bevaras för att följa ett garantiärende utan att hela den boendes privata bakgrund behålls. Avgränsa vilka uppgifter som faktiskt behövs och vem som får se dem. Lagringsminimering innebär alltså inte samma rutin för allt, men inte heller obegränsad lagring för att styrelsen vill vara på den säkra sidan.
Klagomål, utskick och publicering
Styrelsen behöver ibland dokumentera störningar eller konflikter. Håll anteckningarna sakliga, relevanta och åtskilda från bred information till boende. Uppgifter om hälsa eller misstänkta brott kan utlösa särskilda begränsningar enligt artiklarna 9 och 10; ett allmänt föreningsintresse räcker inte för att bortse från dem. Beskriv vad som behöver utredas och undvik onödiga diagnoser, värdeomdömen eller spridning. Ett ärende kan kräva att flera personer medverkar, men inte att alla grannar får handlingarna.
Skilj också protokoll, allmän boendeinformation och enskilda betalningsfrågor åt. Föreningen bör inte använda anslagstavlan eller öppna sociala medier för att namnge den som har en skuld eller framföra privata anklagelser. Vid gemensamma utskick ska mottagarnas adresser inte exponeras i onödan. Bilder från en föreningsaktivitet behöver en egen bedömning av syfte, målgrupp och rättslig grund; en medlemsrelation ger inte automatiskt rätt att publicera alla bilder öppet.
Behörigheter och gemensam dokumenthantering
Använd individuella behörigheter och fördela åtkomst efter uppgift. Den som bokar en reparatör behöver inte nödvändigtvis se alla betalningsärenden eller styrelsens klagomålsmaterial. Ett gemensamt system kan underlätta ordning, men det måste vara korrekt konfigurerat och kunna hanteras när någon lämnar sitt uppdrag. Praktiska åtgärder kan omfatta stark autentisering, kontrollerad delning, säkerhetskopiering och skyddade enheter utifrån risk. Grundläggande IT-säkerhet behöver kopplas till föreningens faktiska arbetssätt.
Undersök särskilt kopior som uppstår utanför huvudsystemet: nedladdade medlemslistor, e-postbilagor, delade mappar och utskrivna handlingar. Gör det möjligt att arbeta säkert utan att varje ledamot bygger ett eget arkiv. När en kopia inte längre behövs ska den hanteras enligt sin regel, och handlingar som ska bevaras ska finnas i föreningens ordnade förvaring. En styrelseöverlämning är ett bra tillfälle att kontrollera både tillgång och överflödiga kopior.
Rättighetsbegäranden och incidenter
När någon begär tillgång till sina personuppgifter behöver föreningen skilja GDPR:s rättigheter från den särskilda insynen i föreningsregister. En begäran kan omfatta fler uppgifter än medlemsförteckningen, men ger inte automatiskt rätt till andra personers hela ärenden. Bedöm uppgifter och eventuella begränsningar konkret. Artikel 12 kräver besked om åtgärder utan onödigt dröjsmål och senast inom en månad, med möjlighet till motiverad förlängning på föreskrivna villkor. Om åtgärd inte vidtas ska skäl och klago- och domstolsmöjligheter lämnas utan dröjsmål och senast inom en månad.
En förlorad dator eller en felaktigt delad lista kan vara en personuppgiftsincident. Föreningen behöver utreda fakta, begränsa skadan och dokumentera alla sådana incidenter. Anmälan till tillsynsmyndigheten ska ske utan onödigt dröjsmål och, om möjligt, inom 72 timmar efter vetskap, om det inte är osannolikt att incidenten medför risk för människors rättigheter och friheter. En sen anmälan motiveras. Information till berörda vid hög risk är en separat bedömning enligt artikel 34; en incident är inte automatiskt obetydlig bara för att föreningen är liten.
Börja förbättringsarbetet med de behandlingar som påverkar flest människor eller har tydliga brister. Ordna register och behörigheter, kontrollera leverantörsrelationerna och se över informationen till boende. Följ därefter upp de särskilda riskerna, till exempel kameror eller känsliga klagomål. När besluten och ansvarsfördelningen dokumenteras kan nästa styrelse fortsätta arbetet med samma underlag i stället för att försöka återskapa det från enskilda ledamöters minne.