Kort svar
En förening får behandla medlemmarnas uppgifter för att kunna sköta medlemskapet, men bara det som behövs för det. För annat, som att publicera bilder på medlemmar, behövs en annan rättslig grund. Föreningen ska informera medlemmarna när uppgifterna samlas in, skydda dem, ha ett skriftligt avtal med den som behandlar uppgifter åt föreningen och bestämma hur länge de sparas. När någon slutar som medlem ska uppgifterna normalt raderas eller avidentifieras.
Det viktigaste i korthet
- Medlemsavtalet är normalt den rättsliga grunden för medlemsregistret.
- Medlemmarna ska få veta vem som är ansvarig, vad uppgifterna används till och på vilken grund.
- Föreningen bestämmer själv hur länge uppgifter sparas. Vid utträde raderas eller avidentifieras de normalt.
- Ett medlemssystem som behandlar uppgifter åt föreningen kräver ett skriftligt personuppgiftsbiträdesavtal.
- Vissa personuppgiftsincidenter ska anmälas till IMY inom 72 timmar.
Vilken rättslig grund har föreningen?
IMY skriver att föreningen alltid måste ha stöd i dataskyddsförordningen för att behandla personuppgifter, en så kallad rättslig grund. En förening behandlar vanligtvis medlemmarnas uppgifter för att kunna uppfylla avtalet om medlemskap.
Vill föreningen göra något mer, till exempel publicera bilder på medlemmar, kan den behöva en annan rättslig grund än avtalet. Bygger behandlingen på samtycke ska medlemmen få tydlig information innan samtycket lämnas och utan problem kunna ta tillbaka det.
Vad ska medlemmarna få veta?
När föreningen samlar in uppgifter om en medlem ska den bland annat berätta vilken organisation som är personuppgiftsansvarig och hur den nås, vad uppgifterna ska användas till och med stöd av vilken rättslig grund.
Medlemmen ska också få veta vilka mottagare uppgifterna kan lämnas ut till, och om de förs över till ett land utanför EU och EES.
Vilka uppgifter får föreningen spara?
Spara bara det som behövs för medlemskapet. IMY skriver att personnummer bara får behandlas när det är klart motiverat med hänsyn till ändamålet, och att vissa uppgifter är extra känsliga och har ett starkare skydd.
Uppgifter om barn anses särskilt skyddsvärda. Ska barns uppgifter lämnas ut kan föreningen behöva vårdnadshavarens samtycke.
Hur länge får uppgifterna sparas?
Föreningen ska ha bestämt hur länge olika uppgifter får sparas och ha rutiner för att gallra dem. IMY anger ingen fast tid för medlemsregister, så föreningen bestämmer själv utifrån varför uppgifterna behövs.
När en medlem avslutar sitt medlemskap ska föreningen normalt radera eller avidentifiera uppgifterna.
Medlemssystemet är personuppgiftsbiträde
Använder föreningen ett medlemssystem eller en annan tjänst som behandlar personuppgifter åt den, är tjänsten personuppgiftsbiträde. Då krävs ett skriftligt avtal med biträdet.
Personuppgiftsansvaret kan aldrig överlåtas. Föreningen är fortfarande ansvarig för det som biträdet gör med uppgifterna.
Säkerhet och personuppgiftsincidenter
Föreningen ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder så att uppgifterna inte förloras eller hamnar i fel händer. IMY ger exempel som inloggning, begränsad åtkomst, kryptering och säkerhetskopior.
Vissa typer av personuppgiftsincidenter ska anmälas till IMY inom 72 timmar från att föreningen upptäckt dem, och ibland ska de registrerade informeras utan dröjsmål.
Får medlemmarna se registret?
En medlem som ber att få se medlemsregistret har inte rätt att få hela registret. Däremot har medlemmen enligt GDPR rätt till en kopia av de uppgifter som finns om honom eller henne själv.
Vill föreningen lämna ut uppgifter ur registret måste den ha stöd i dataskyddsförordningen, och medlemmarna ska i förväg ha fått veta att registret kan komma att lämnas ut. IMY rekommenderar att det görs när medlemskapet börjar.
Register över behandlingar
Som huvudregel ska föreningen föra ett register över sina behandlingar av personuppgifter. Det finns undantag, men IMY rekommenderar ett register även när de gäller.
Vanliga frågor om medlemsregister och GDPR
Måste vi lämna ut medlemslistan om en medlem ber om den?
Nej. Föreningen är inte skyldig att lämna ut medlemsregistret, men medlemmen har rätt till en kopia av sina egna uppgifter.
Får vi lägga ut bilder på medlemmar på webbplatsen?
Medlemsavtalet räcker normalt inte för det, så föreningen behöver en annan rättslig grund, till exempel ett samtycke som medlemmen kan ta tillbaka.
Hur länge får vi spara uppgifter om medlemmar som har slutat?
IMY anger ingen fast tid. Föreningen bestämmer själv hur länge uppgifter sparas och ska normalt radera eller avidentifiera dem när någon slutar som medlem.
Behöver vi ett avtal med vårt medlemssystem?
Ja. Behandlar ett medlemssystem personuppgifter åt föreningen krävs ett skriftligt personuppgiftsbiträdesavtal, och föreningen är fortfarande ansvarig.
Vad gör vi om uppgifter hamnar i fel händer?
Vissa personuppgiftsincidenter ska anmälas till IMY inom 72 timmar efter att de upptäckts, och ibland ska de som berörs informeras.
Källor
- Föreningars behandling av personuppgifter , Integritetsskyddsmyndigheten
- Vad föreningar behöver göra för att följa GDPR , Integritetsskyddsmyndigheten
- Så hanterar ni föreningens medlemsregister , Integritetsskyddsmyndigheten