Dataskyddsförordningen (GDPR) gäller för alla organisationer som hanterar personuppgifter om EU-medborgare – inklusive ideella föreningar. Det är ett vanligt missförstånd att GDPR bara berör stora företag. En liten idrottsförening med ett Excel-register med 200 medlemmars namn, adresser och e-postadresser lyder under exakt samma regelverk som ett multinationellt bolag.
Vad räknas som personuppgifter i en förening?
Personuppgifter är all information som direkt eller indirekt kan kopplas till en levande fysisk person. I ett föreningssammanhang innefattar det:
- Namn, adress, e-postadress och telefonnummer
- Personnummer (om det samlas in)
- Betalningshistorik kopplad till en person
- Deltagande i aktiviteter och event
- Roller och förtroendeuppdrag i föreningen
- Foton och bilder på enskilda personer
Rättslig grund för behandling
För att få behandla personuppgifter krävs en rättslig grund. För föreningar är de vanligaste grunderna:
- Avtal – behandlingen är nödvändig för att fullgöra ett avtal med medlemmen, till exempel att administrera ett medlemskap och leverera de tjänster medlemskapet ger.
- Berättigat intresse – föreningen har ett legitimt intresse av att hantera uppgifterna, och det intresset väger tyngre än den registrerades integritetsintressen.
- Samtycke – i vissa fall kan samtycke användas som grund, men det måste vara frivilligt, specifikt och lätt att återkalla.
Hur länge får uppgifterna lagras?
Personuppgifter får inte lagras längre än nödvändigt för det syfte de samlades in för. För ett aktivt medlemskap finns det ett tydligt syfte. Men vad händer när en person avslutar sitt medlemskap?
Det finns ingen universell svarstid – det beror på syftet. Bokföringslagens krav på att spara räkenskapsmaterial i sju år kan motivera att betalningshistorik bevaras även efter avslut. Men kontaktuppgifter och annan information utan bokföringsrelevans bör rensas i rimlig tid efter avslut – typiskt inom ett år.
Rätten att bli glömd
Artikel 17 i GDPR ger individer rätten att begära radering av sina personuppgifter ("rätten att bli glömd"). Om en f.d. medlem begär att bli raderad måste föreningen kunna genomföra det – och dokumentera att det gjorts.
Det är viktigt att förstå att rätten till radering inte är absolut. Om det finns lagkrav som kräver att uppgifterna bevaras – som bokföringslagen – väger det lagkravet tyngre. Men i sådana fall ska övrig information raderas och bara de uppgifter som krävs av lag bevaras.
Vad ett bra föreningssystem ska stödja
Ett föreningssystem som tar GDPR på allvar bör ha följande funktioner:
- Möjlighet att exportera alla uppgifter om en specifik person (dataportabilitet)
- Möjlighet att radera en person och alla tillhörande uppgifter med ett klick
- Tydlig logg över vilka uppgifter som lagras och när de ändrades
- Rollbaserade behörigheter så att inte alla i styrelsen ser all data
- Data lagrat inom EU, helst i Sverige
- Dokumenterad behandling i enlighet med GDPR (personuppgiftsbiträdesavtal med systemleverantören)
Personuppgiftsbiträdesavtal
När en förening använder ett externt system för att lagra och behandla personuppgifter räknas systemleverantören som ett personuppgiftsbiträde. GDPR kräver att det finns ett skriftligt avtal (personuppgiftsbiträdesavtal, PUB-avtal) mellan föreningen och leverantören som reglerar hur data hanteras.
Be alltid en potentiell systemleverantör om deras PUB-avtal innan ni tecknar ett abonnemang. En seriös leverantör har det klart och tydligt dokumenterat.
