GDPR i medlemsregistret

Varje förening som har medlemmar behandlar personuppgifter. Det gör GDPR till en fråga för styrelsen — inte för den som råkar sköta registret.

Den goda nyheten är att en förening sällan behöver ett avancerat upplägg. Det som krävs är att veta vilken laglig grund ni står på, hålla registret till det som faktiskt behövs, och skydda det ordentligt.

Föreningen är personuppgiftsansvarig

Det är föreningen som är personuppgiftsansvarig, och styrelsen som ansvarar för att föreningen följer reglerna. Att en enskild ledamot eller en anlitad förvaltare sköter registret flyttar inte ansvaret — det är alltjämt föreningens.

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet och har samlad vägledning för föreningar på sin webbplats. Den är utgångspunkten om ni vill läsa vidare.

Laglig grund för medlemsregistret

All behandling behöver en rättslig grund enligt artikel 6 i dataskyddsförordningen. För ett medlemsregister är det normalt någon av dessa:

• Avtal. Medlemskapet i en ideell förening är avtalsliknande, och behandlingen behövs för att fullgöra det.
• Rättslig förpliktelse. Bokföringslagens krav gör att fakturor och underlag måste sparas.
• Berättigat intresse. Föreningens intresse av att kunna administrera sin verksamhet, efter en avvägning mot medlemmens integritet.

För en samfällighetsförening finns dessutom en tydlig grund i själva förvaltningsuppdraget: enligt Lantmäteriets normalstadgar ska styrelsen föra en förteckning över delägande fastigheter, deras andelstal och ägare. Utan den kan föreningen inte upprätta en debiteringslängd, och utan debiteringslängd kan den inte ta ut några bidrag (42 § lagen (1973:1150) om förvaltning av samfälligheter).

Samtycke är sällan rätt grund för själva medlemsregistret. Samtycke kan tas tillbaka när som helst, och en förening som då måste radera uppgifterna kan inte längre sköta sin förvaltning. Spara samtycket till sådant som verkligen är frivilligt — bilder på webbplatsen, nyhetsbrev till andra än medlemmar.

Vilka uppgifter ni får spara

Principen om uppgiftsminimering (artikel 5) betyder att ni får behandla det som behövs för ändamålet — inte allt som vore praktiskt att ha.

Normalt motiverat: namn, fastighetsbeteckning, andelstal, adress, e-post, telefonnummer, uppgift om förtroendeuppdrag, betalningshistorik.

Kräver eftertanke: personnummer, som får behandlas när det är klart motiverat — exempelvis för säker identifiering vid fakturering eller registrering av styrelseledamöter (styrelseledamöters personnummer ska anmälas till samfällighetsföreningsregistret enligt 26 § SFL).

Sällan motiverat: uppgifter om hälsa, familjeförhållanden, konflikter med grannar, fritextanteckningar om personer. Känsliga uppgifter enligt artikel 9 har mycket sällan någon plats i ett medlemsregister.

En bra kontrollfråga för varje kolumn i registret: vilken uppgift i föreningens förvaltning skulle bli omöjlig utan den här?

Får medlemslistan publiceras eller mejlas ut?

Här görs de vanligaste misstagen.

• Publicera inte medlemsförteckningen öppet på webben. En lista med namn, adresser och kontaktuppgifter fritt tillgänglig för vem som helst är svår att motivera med föreningens behov.
• Skicka aldrig utskick med alla adresser i mottagarfältet. Det är en spridning av personuppgifter till samtliga mottagare, och den klassiska föreningsläckan. Använd hemlig kopia eller ett verktyg som skickar individuellt — se Kommunikation med medlemmarna.
• Anslagstavla och inloggat område är rimligare än en öppen sida, om syftet är att medlemmar ska nå varandra.
• Debiteringslängden innehåller personuppgifter. Den framläggs för medlemmarna på stämman — den publiceras inte. Se Debiteringslängden: vad den ska innehålla.

Information, registerutdrag och gallring

• Informationsplikt (artiklarna 13–14). Medlemmarna ska veta vem som är personuppgiftsansvarig, vilka uppgifter som behandlas, varför, på vilken grund och hur länge. En kort dataskyddsinformation på webbplatsen eller i välkomstbrevet räcker för de flesta föreningar.
• Registerutdrag (artikel 15). En medlem har rätt att få veta vilka uppgifter föreningen behandlar om honom eller henne. Bestäm i förväg vem som svarar, så att begäran inte blir liggande.
• Gallring. Uppgifter ska inte sparas längre än nödvändigt. När ett medlemskap upphör — i en samfällighetsförening: när fastigheten byter ägare — ska kontaktuppgifterna normalt rensas. Undantaget är underlag som omfattas av bokföringslagens sjuåriga arkiveringskrav, och handlingar som behövs för att hantera en pågående fordran.

Skriv ner gallringsrutinen. En rutin som inte är nedskriven blir aldrig utförd av nästa styrelse.

Säkerhet i praktiken

Artikel 32 kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder. För en förening betyder det i praktiken:

• Registret ska inte ligga i en privat inkorg eller på en privat dator utan åtkomstskydd.
• Delade kalkylark med öppen länk är en läcka som väntar på att hända.
• Begränsa åtkomsten till dem som behöver den, och ta bort behörigheter när någon lämnar styrelsen. Det är en av de vanligaste bristerna vid styrelseövergångar.
• Använd föreningens egna konton, inte personliga.

Mer om varför kalkylbladet slutar räcka: Från Excel till digitalt medlemsregister.

När någon annan sköter registret

Anlitar föreningen en ekonomisk förvaltare, ett bokföringsbyrå eller ett IT-system som behandlar personuppgifter för föreningens räkning, är den parten personuppgiftsbiträde. Då krävs ett personuppgiftsbiträdesavtal enligt artikel 28 — ett skriftligt avtal som reglerar vad biträdet får göra med uppgifterna, hur de skyddas, vad som händer vid en incident och vad som sker med uppgifterna när avtalet upphör.

Ansvaret flyttar inte med avtalet. Föreningen förblir personuppgiftsansvarig, och styrelsen förblir den som svarar för att behandlingen är laglig. Kontrollera därför att ni:

• har avtalet skriftligt och undertecknat,
• vet var uppgifterna lagras,
• kan få ut ert register om ni byter leverantör,
• vet vem som informerar er om en incident, och hur snabbt.

Vanliga frågor

Behöver vi ett dataskyddsombud? Nästan aldrig. Kravet träffar myndigheter och verksamheter med storskalig behandling av känsliga uppgifter — inte en vanlig förening.

Måste vi ha registerförteckning? Skyldigheten att föra register över behandlingar har undantag för mindre verksamheter, men undantaget är snävare än det låter. En enkel förteckning över vad ni behandlar och varför är ändå det snabbaste sättet att kunna svara på frågor — och att upptäcka uppgifter ni inte borde ha.

Får vi ha en gemensam kontaktlista för grannsamverkan? Ja, om syftet är tydligt och deltagandet frivilligt. Blanda inte ihop den med medlemsförteckningen, som har en annan grund och ett annat ändamål.

Vad gör vi om uppgifter läckt? Allvarliga personuppgiftsincidenter ska anmälas till IMY, som huvudregel inom 72 timmar. Läs IMY:s vägledning innan det händer — inte när det händer.