Gå til hovedindhold

GDPR og persondata: foreningens ansvar

Team GoMember
Opdateret

Hvad denne artikel dækker

Denne artikel er foreningens indgang til GDPR og persondatabeskyttelse i goMember. Den giver et samlet overblik: hvad GDPR betyder for foreningen, hvilket ansvar I har, hvilke dokumenter I skal have på plads, og hvilke værktøjer goMember stiller til rådighed.

Artiklen er en oversigt med henvisninger til de praktiske how-to'er. Den juridiske vejledning kommer fra Datatilsynet, DIF og DGI — goMember er databehandler, ikke juridisk rådgiver.

Foreningen er dataansvarlig

I forhold til GDPR er foreningen dataansvarlig. Det betyder, at I i sidste ende har ansvaret for, hvordan medlemmernes, trænernes og ledernes persondata behandles. goMember er databehandler — vi behandler data på jeres vegne efter de instrukser, der er beskrevet i databehandleraftalen.

Det er foreningens ansvar at:

  • Have en privatlivspolitik og en fortegnelse over behandling af personoplysninger
  • Sikre at medlemmerne er informeret om databehandlingen
  • Begrænse hvem der har adgang til persondata internt
  • Beslutte hvor restriktivt I vil håndhæve samtykke før eksponering
  • Ikke skrive persondata steder, hvor systemet ikke kan styre visningen

Det skal foreningen have på plads

Privatlivspolitik

I skal have en privatlivspolitik, der beskriver:

  • Hvilke typer af personer I gemmer data om (medlemmer, trænere, ledere osv.)
  • Hvilke persondata I gemmer (navn, billede, mailadresse, telefonnummer, adresse, fødselsdato)
  • Hvem der har adgang til disse data og hvorfor
  • Hvis I sender data videre til andre organisationer — fx forbund, KlubOffice, HaandOffice, iPaddle eller Rokort — skal modtagerne listes med formål og dataomfang
  • Hvor længe I opbevarer data efter et medlem ikke længere er aktivt

DGI og DIF har udarbejdet en skabelon, som de fleste foreninger kan bruge som udgangspunkt og tilpasse til egen praksis.

Når privatlivspolitikken er på plads, vises den til alle, der melder sig ind online, og eksisterende medlemmer bliver bedt om at godkende den, næste gang de logger ind. Systemet sender også løbende påmindelser til medlemmer, der ikke har godkendt politikken.

Fortegnelse over behandling af personoplysninger

Fortegnelsen opfylder dokumentationspligten i GDPR. Indholdet er stort set det samme som i privatlivspolitikken, men opstillet i en anden form. Også her har DGI og DIF en skabelon I kan bruge.

Databehandleraftale med goMember

Aftalen mellem foreningen og goMember beskriver de vilkår, der gælder for behandlingen af persondata. Den nuværende databehandleraftale findes på gomember.com/om/databehandleraftale. Det er vigtigt, at I som dataansvarlig er bekendt med indholdet.

Frivillige samtykker

Ud over privatlivspolitikken kan I indhente særskilte, frivillige samtykker af medlemmerne — for eksempel til at vises i medlemsgalleri eller til at få sendt nyhedsbreve. Disse opsættes under Indstillinger → Medlemmer → Persondataaftaler. Se Opsæt persondataaftaler.

Foreningen vælger selv, om alle samtykker skal samles i privatlivspolitikken (alt-eller-intet), eller om medlemmet skal kunne vælge til og fra enkeltvis. goMember leverer værktøjet — den juridiske afvejning er foreningens.

Det goMember tager sig af automatisk

Følgende er aktivt i alle goMember-konti, uden at I skal gøre noget:

  • Persondata (mailadresse, adresse, telefonnummer) er krypteret i databasen
  • Backups bevares kun i 30 dage
  • Når et medlem slettes, slettes alle persondata på medlemmet (fakturaer bevares iht. bogføringsloven)

Den fulde beskrivelse finder du i Sådan beskytter goMember persondata.

Det foreningen kan aktivere

To centrale GDPR-funktioner er ikke slået til som standard. Foreningen kan vælge at aktivere dem:

Almindelige misforståelser

"Vi skal indhente samtykke fra alle medlemmer for at gemme deres data."

Nej. Foreninger har hjemmel til at behandle medlemsdata uden samtykke, fordi det er nødvendigt for medlemskabsforholdet. Medlemmerne skal informeres via privatlivspolitikken, men ikke nødvendigvis acceptere noget særskilt. Undtagelsen er, hvis I vil eksponere persondata på offentlige sider (uden login) — her er samtykke nødvendigt.

"Vi skal slette alle data, så snart et medlem melder sig ud."

Nej. I må gerne opbevare data en periode efter udmeldelse, så længe det er sagligt begrundet. Det skal blot fremgå af privatlivspolitikken hvor længe I opbevarer data. Brug evt. automatisk sletning (se Automatisk sletning af inaktive medlemmer).

"Vi kan bare skrive bestyrelsens navne og telefonnumre på hjemmesiden uden videre."

Forsigtigt. Hvis I skriver persondata manuelt på indholdssider, kan goMember ikke styre visningen ved samtykke eller fravalg. Brug Medlemsgalleri-elementet i stedet — så respekteres samtykker og privatlivsindstillinger automatisk.

Det foreningen skal passe på

Selv om goMember håndterer det meste, er der områder, hvor I selv har ansvar:

  1. Skriv ikke persondata manuelt på indholdssider. Brug medlemsgalleri-elementet til trænere, bestyrelse og udvalg. Ellers kan systemet ikke styre, om en person må vises.
  2. Læg ikke medlemslister i Excel eller lignende på hjemmesiden. Hold medlemsdata inde i goMember, hvor adgangen er kontrolleret.
  3. Skriv ikke persondata i nyheder, medmindre det er aftalt med de pågældende.
  4. Begræns antallet af administratorer. Tildel kun fulde admin-rettigheder, hvor det er nødvendigt — brug mere afgrænsede roller (kasserer, holdansvarlig) hvor det rækker.

Pakke-begrænsninger

Funktion Smart Pro Premium
GDPR-værktøjerne i goMember ✅ ✅ ✅

Næste trin

Beslægtede emner

Kommentarer

0 kommentarer

Log ind for at kommentere.