GDPR i foreningen: det skal bestyrelsen have styr på

Foreningen er dataansvarlig

Det er foreningen, ikke den enkelte frivillige, der har ansvaret for medlemmernes oplysninger. Bestyrelsen skal vide, hvilke oplysninger foreningen har, hvorfor, hvor de ligger, og hvem der har adgang.

Kun det nødvendige

Registrér kun det, foreningen faktisk bruger: typisk navn, kontaktoplysninger, medlemskab og betalinger. Medlemskabet er grundlaget for at behandle de oplysninger. Registrér kun CPR-numre og helbredsoplysninger, hvis der er et konkret behov.

Fortæl medlemmerne det

Medlemmerne har ret til at vide, hvilke oplysninger foreningen har om dem, hvad de bruges til, og hvor længe de gemmes. Det klarer de fleste foreninger med en kort privatlivspolitik ved indmeldelse og på hjemmesiden. Medlemmer kan bede om at se eller få rettet deres oplysninger.

Billeder af medlemmer

Ifølge Datatilsynets vejledning kræver portrætbilleder som udgangspunkt samtykke, mens situationsbilleder fra en aktivitet ofte kan bruges uden. Vær ekstra varsom med billeder af børn, og fjern et billede, hvis nogen beder om det.

Adgang, leverandører og sletning

Giv kun adgang til dem, der har brug for det, og undgå medlemslister i private mailbokse og på private computere. Bruger foreningen et system til medlemmer, skal der være en databehandleraftale med leverandøren. Slet oplysninger, når de ikke længere skal bruges, men gem regnskabsmateriale i fem år efter regnskabsårets udløb, som bogføringsloven kræver.

• Én liste over, hvor medlemsdata ligger
• Databehandleraftale med hver leverandør
• Fast praksis for sletning efter udmeldelse
• Et sikkerhedsbrud anmeldes til Datatilsynet inden 72 timer

Sådan gør I i NemForening

Hver bruger har en rolle, og ændringer på et medlem logges med navn og tidspunkt. Foreningen accepterer databehandleraftalen, når den oprettes. Nyhedsbreve sendes kun til medlemmer, der har sagt ja, og sletter foreningen et medlem med økonomisk historik, anonymiseres personen, så regnskabet stadig hænger sammen.