Ett medlemsregister är en central del av många föreningars administration. Samtidigt innebär registret att föreningen behandlar personuppgifter och behöver följa GDPR. Här går vi igenom de viktigaste frågorna på en praktisk nivå.
Den organisation som bestämmer varför personuppgifter ska behandlas och hur behandlingen ska gå till är personuppgiftsansvarig. För ett medlemsregister är det därför normalt föreningen – inte kassören, styrelseledamoten eller systemleverantören – som ansvarar för att behandlingen följer GDPR.
Det räcker inte att en uppgift är praktisk att ha. Föreningen behöver kunna förklara varför uppgiften behandlas och vilken rättslig grund som används. Exempel på rättsliga grunder som kan bli aktuella är avtal, rättslig förpliktelse, samtycke och intresseavvägning. Vilken grund som är rätt beror på ändamålet i det konkreta fallet.
När personuppgifter samlas in ska medlemmen få information om bland annat vem som är personuppgiftsansvarig, vad uppgifterna ska användas till, rättslig grund, eventuella mottagare, lagringstid och vilka rättigheter medlemmen har. Informationen bör vara lätt att hitta och skriven på ett begripligt sätt.
Ett medlemsregister innehåller ofta namn, kontaktuppgifter och andra uppgifter som behövs för medlemsadministrationen. Utgångspunkten bör vara att bara samla in de uppgifter som faktiskt behövs för ett tydligt ändamål. Bara för att ett system kan lagra en uppgift betyder det inte att föreningen bör göra det.
Personnummer har ett särskilt skydd i svensk dataskyddsrätt. De bör bara behandlas när det är klart motiverat, till exempel när säker identifiering verkligen behövs eller när det finns ett annat beaktansvärt skäl. Personnummer bör inte exponeras eller spridas i onödan.
GDPR ger särskilt skydd åt bland annat uppgifter om hälsa, politiska åsikter, religiös eller filosofisk övertygelse och fackligt medlemskap. I vissa organisationer – till exempel trossamfund – kan själva medlemskapet avslöja en känslig personuppgift. Då behöver föreningen eller organisationen särskilt kontrollera vilken regel som tillåter behandlingen och vilka skyddsåtgärder som krävs.
Föreningen behöver använda tekniska och organisatoriska säkerhetsåtgärder som är rimliga i förhållande till riskerna. Exempel är inloggning, behörighetsstyrning, begränsad åtkomst, säkerhetskopiering, kryptering där det är lämpligt och tydliga interna rutiner. Alla användare behöver inte kunna se alla uppgifter.
Medlemmar har rättigheter enligt GDPR. Det kan bland annat handla om rätt till information, tillgång till sina personuppgifter, rättelse, invändning och i vissa fall radering. Föreningen behöver ha en praktisk rutin för att ta emot och hantera sådana begäranden.
Som huvudregel ska organisationer föra register över sina personuppgiftsbehandlingar. Det finns undantag, men IMY rekommenderar ändå register som ett sätt att skapa intern kontroll. Ett sådant register gör det lättare att se vilka uppgifter som behandlas, varför, var de finns, vem som har tillgång och hur länge de sparas.
Om en extern leverantör behandlar personuppgifter för föreningens räkning kan leverantören vara personuppgiftsbiträde. Då behövs normalt ett skriftligt personuppgiftsbiträdesavtal som reglerar hur uppgifterna får behandlas och skyddas. Föreningen behöver också förstå vilka underleverantörer som används och var uppgifterna behandlas.
För organisationer med religiöst syfte är det särskilt viktigt att tänka på att medlemskapet kan avslöja en persons religiösa övertygelse. GDPR innehåller särskilda regler och undantag för behandling av känsliga personuppgifter. En kyrka eller ett trossamfund bör därför dokumentera varför uppgifterna behandlas, vilka personer behandlingen omfattar och vilka skyddsåtgärder som används.
Den här sidan är en självständigt skriven sammanfattning. För juridisk vägledning bör ni alltid kontrollera aktuell information hos Integritetsskyddsmyndigheten.
Planningbridge samlar medlemsregister, listor, kalender, kommunikation och administration i samma svenska plattform.