GDPR för föreningar — Så hanterar du personuppgifter rätt

Dataskyddsförordningen (GDPR) gäller alla organisationer som behandlar personuppgifter — även ideella föreningar. Om er förening har ett medlemsregister med namn, e-postadresser eller personnummer är ni personuppgiftsansvariga. Det låter kanske krångligt, men i praktiken handlar det om att följa några grundläggande principer. Den här guiden förklarar vad ni behöver göra.

Vilka personuppgifter hanterar en förening?

De flesta föreningar samlar in och lagrar fler personuppgifter än de tror. Typiska exempel:

• Namn och adress — grundläggande kontaktinformation för alla medlemmar.
• Personnummer — ofta nödvändigt för LOK-stöd och försäkring, men en känslig uppgift.
• E-postadress och telefonnummer — för kommunikation och utskick.
• Betalningshistorik — fakturor, inbetalningar och medlemsavgifter.
• Foton och video — från träningar, tävlingar eller evenemang.
• Närvarolistor — vilka som deltagit i vilka aktiviteter.

Alla dessa uppgifter omfattas av GDPR. Ni behöver ha en laglig grund för att behandla dem, och ni behöver kunna visa vilka uppgifter ni lagrar och varför.

Laglig grund — varför får ni lagra uppgifterna?

GDPR kräver att varje behandling av personuppgifter har en laglig grund. För föreningar är de vanligaste grunderna:

• Berättigat intresse (artikel 6.1f) — Föreningen har ett berättigat intresse av att hantera medlemsuppgifter för att kunna bedriva sin verksamhet. Det gäller namn, kontaktuppgifter, medlemskategori och betalningsinformation som behövs för att administrera medlemskapet.
• Avtal (artikel 6.1b) — Genom att bli medlem i föreningen ingår personen ett avtal (baserat på stadgarna). Det ger er rätt att behandla de uppgifter som krävs för att fullgöra avtalet.
• Samtycke (artikel 6.1a) — Krävs för behandling som går utöver det nödvändiga: nyhetsbrev till icke-medlemmar, publicering av bilder på webben, marknadsföring till tredje part. Samtycket måste vara aktivt och kan dras tillbaka när som helst.
• Rättslig förpliktelse (artikel 6.1c) — Bokföringslagen kräver att ni sparar ekonomisk dokumentation (inklusive fakturor med personuppgifter) i sju år.

Vilka rättigheter har medlemmarna?

Era medlemmar har enligt GDPR ett antal rättigheter som ni som förening måste kunna tillgodose:

• Rätt till tillgång — Medlemmen har rätt att få veta vilka uppgifter ni lagrar om hen och varför. Ni ska kunna ge ett utdrag inom en månad.
• Rätt till rättelse — Om uppgifterna är felaktiga har medlemmen rätt att begära korrigering.
• Rätt till radering — Medlemmen kan begära att uppgifterna raderas ("rätten att bli glömd"). Undantag gäller om ni har en laglig skyldighet att behålla dem (till exempel bokföringslagen).
• Rätt till dataportabilitet — Medlemmen har rätt att få ut sina uppgifter i ett maskinläsbart format (till exempel CSV eller Excel) för att kunna flytta dem till en annan organisation.
• Rätt att invända — Medlemmen kan invända mot behandling baserad på berättigat intresse. Då måste ni pröva om ert intresse väger tyngre.

Praktiska steg för er förening

Att uppfylla GDPR behöver inte vara komplicerat. Här är de viktigaste åtgärderna:

1. Upprätta en registerförteckning. Dokumentera vilka personuppgifter ni behandlar, varför, vem som har tillgång och hur länge de sparas. Det kan vara ett enkelt dokument eller kalkylblad.
2. Skriv en integritetspolicy. Informera era medlemmar om hur ni hanterar deras personuppgifter. Policyn ska finnas tillgänglig — publicera den på er webbplats och hänvisa till den vid registrering.
3. Informera vid insamling. När en ny medlem registreras ska hen få veta vilka uppgifter ni samlar in, varför ni gör det och hur länge de sparas. Det räcker med ett kort informationsblad eller en sektion i anmälningsformuläret.
4. Begränsa åtkomsten. Inte alla i styrelsen behöver tillgång till alla uppgifter. Se till att bara de personer som behöver uppgifterna i sin roll faktiskt har tillgång till dem.
5. Radera utträdda medlemmars uppgifter. Ha en rutin för att radera personuppgifter efter att en medlem lämnat föreningen. En rimlig tid är 12 månader — det ger er tid att hantera eventuella kvarstående fordringar. Bokföringsmaterial måste dock sparas i sju år.
6. Var beredd att hantera förfrågningar. Ha en process för att hantera registerutdrag, rättelser och radering. Ni har en månad på er att svara.

Vanliga misstag föreningar gör

Många föreningar bryter omedvetet mot GDPR. Här är de vanligaste misstagen:

• Spara uppgifter för evigt. Många föreningar har medlemsregister som sträcker sig tiotals år tillbaka — med uppgifter om personer som inte längre är medlemmar. Radera det ni inte behöver.
• Skicka e-post med alla mottagare synliga. Om ni skickar mejl till medlemmarna med alla adresser i Till-fältet delar ni personuppgifter (e-postadresser) med samtliga mottagare. Använd alltid BCC (hemlig kopia) eller ett utskickssystem.
• Ingen registerförteckning. Även om det formellt bara är ett krav för organisationer med fler än 250 anställda rekommenderas det starkt för alla föreningar. IMY (Integritetsskyddsmyndigheten) förväntar sig att ni kan redogöra för er behandling.
• Dela medlemslistor i öppna kanaler. Skicka aldrig medlemslistor med personnummer eller adresser via vanlig e-post eller i delade Google-dokument utan behörighetskontroll.
• Fotografera utan information. Publicera inte bilder på barn på sociala medier eller webb utan att informera vårdnadshavare om hur bilderna kommer att användas.

Hur Medlemsfaktura hjälper er med GDPR

Ett av de enklaste sätten att förbättra ert dataskydd är att använda ett system som är byggt med GDPR i åtanke. Medlemsfaktura hjälper er på flera sätt:

• Centralt medlemsregister — Alla uppgifter på ett ställe istället för utspridda i Excel-filer, e-post och papperslistor. Enklare att hålla koll och enklare att radera.
• Export för dataportabilitet — Medlemmar kan begära ut sina uppgifter. Med Medlemsfaktura kan ni enkelt exportera data i standardformat.
• Behörighetsstyrning — Ge olika användare olika nivåer av åtkomst. Kassören behöver inte se allt som ordföranden ser.
• Svensk datalagring inom EU — All data lagras på servrar i EU (Tyskland, Hetzner) under europeisk dataskyddslagstiftning. Ingen överföring till tredjeland. Läs mer på vår Om oss-sida.
• Säker inloggning — Krypterad kommunikation (HTTPS) och lösenordsskyddad åtkomst till alla uppgifter.

Med ett dedikerat föreningssystem minskar ni risken för de vanligaste GDPR-misstagen och gör det enklare att uppfylla era skyldigheter — utan att det tar tid från den verksamhet ni egentligen vill bedriva.

Vanliga frågor om GDPR för föreningar