Medlemsregister og personvern (GDPR) i foreningen

Et medlemsregister med navn, adresse, e-post og telefonnummer er helt lovlig å føre, også i en liten velforening eller hytteforening. Personvernreglene (GDPR) krever bare at dere har et formål, lagrer det som trengs og ikke mer, holder registeret trygt og sletter opplysninger dere ikke lenger trenger. Her er det viktigste for et frivillig styre, med en sjekkliste dere kan bruke på neste styremøte.

Gjelder GDPR for en liten forening?

Ja. Personvernforordningen gjelder i Norge gjennom personopplysningsloven, og den gjelder for alle som behandler personopplysninger, også foreninger uten ansatte. Det finnes et unntak for rent private aktiviteter, men et medlemsregister i en forening er ikke privat.

Det er foreningen som er behandlingsansvarlig, ikke styrelederen personlig. I praksis er det styret som må sørge for at reglene følges.

Hvilket grunnlag har dere for å registrere medlemmer?

All behandling av personopplysninger må ha et rettslig grunnlag. For en forening er det som regel ett av disse:

• Avtale: Medlemskapet er en avtale. Datatilsynet bruker selv en forening som eksempel: foreningen kan ikke oppfylle medlemsavtalen uten å vite hvem medlemmene er. Navn og kontaktopplysninger for å sende innkalling og kreve inn kontingent er dekket her.
• Berettiget interesse: For borettslag, sameier og foreninger med pliktig medlemskap er det ofte mer naturlig. Styret trenger å vite hvem som eier hver bolig eller hytte for å drive fellesskapet. Interessen må veies mot personvernet til den det gjelder, og den holder for vanlige kontaktopplysninger.
• Samtykke: Bruk det bare til det som er frivillig, for eksempel å publisere bilder eller å stå på en liste som deles med alle. Samtykke kan trekkes tilbake, og da må dere slutte med det.

Merk: Velg grunnlag før dere begynner. Datatilsynet påpeker at man ikke kan bytte til et annet grunnlag hvis et samtykke trekkes tilbake.

Hva bør dere registrere?

Datatilsynet sier at foreninger bare skal behandle opplysninger som er «nødvendige og relevante for å administrere medlemskapet». For de fleste foreninger betyr det:

Datatilsynet skriver at foreninger «sjelden» har saklig behov for fødselsnummer. Et unntak er når medlemmer ønsker skattefradrag for gaver, og foreningen må rapportere til Skatteetaten.

Hvem skal se registeret?

Begrens tilgangen til dem som trenger den:

• Styret: ser hele registeret, siden det trengs for å drive foreningen.
• Kasserer eller forretningsfører: ser det som trengs for innkreving.
• Medlemmene: ser sine egne opplysninger. Alle har rett til innsyn i det foreningen har registrert om dem, og et avslag må begrunnes skriftlig.
• Andre medlemmer: bare det foreningen har bestemt, og helst med samtykke (se «beboerliste» under).

Når et styremedlem går av, skal tilgangen fjernes. Det glemmes ofte når registeret ligger i en privat e-postkonto eller et delt regneark.

Excel og e-post, eller et system?

Mange foreninger har medlemslisten i et Excel-ark som sendes rundt på e-post. Det er ikke forbudt, men det gir noen typiske problemer:

• Det finnes flere versjoner, og ingen vet hvilken som er riktig.
• Listen ligger igjen i innboksen til tidligere styremedlemmer.
• Det er lett å sende den til feil person eller legge den ved en e-post til alle.
• Det er vanskelig å vite hvem som har endret hva.

Uansett hva dere bruker, bør registeret ligge ett sted, med innlogging, og med tilgang bare for dem som trenger den. Ikke send hele listen som vedlegg.

Databehandleravtale ved skytjenester

Lagrer dere registeret i en skytjeneste, er leverandøren databehandler for foreningen. Datatilsynet bruker nettopp skylagring som eksempel på når man må ha databehandleravtale. Avtalen skal være på plass før dere legger inn opplysningene.

For store tjenester som Google, Microsoft og Dropbox ligger avtalen som regel i vilkårene. Det dere må gjøre, er å sjekke at den finnes, at den gjelder den kontotypen dere bruker, og hvor dataene lagres. Private gratiskontoer er ofte laget for privat bruk og ikke for en forening.

Når noen flytter eller melder seg ut

Hovedregelen fra Datatilsynet er at opplysningene skal slettes når et medlem melder seg ut, med mindre dere har avtalt noe annet med medlemmet. Lag en enkel rutine:

1. Når en bolig eller hytte selges, registrer ny eier og avslutt den gamle.
2. Slett e-post og telefonnummer til den som har flyttet, med mindre det er en åpen sak, for eksempel ubetalt kontingent.
3. Regnskapsbilag kan dere beholde så lenge bokføringsreglene krever det. Det er et eget grunnlag.
4. Protokoller fra årsmøter er foreningens historikk og kan beholdes, selv om de inneholder navn.
5. Gå gjennom registeret én gang i året, for eksempel før årsmøtet.

Beboerliste og kontaktliste til naboene

En liste med navn og telefonnummer til alle i feltet er praktisk, men den er en utlevering av personopplysninger. Gjør det slik:

• Spør hver husstand om de vil stå på listen, og hva som skal stå der.
• Ta bare med det som trengs, for eksempel navn, adresse og mobil.
• Del den med medlemmene, ikke på en åpen nettside.
• Merk listen med dato, og lag en ny i stedet for å rette i gamle kopier.

Bilder og Facebook

Datatilsynet skiller mellom to typer bilder:

• Situasjonsbilder, der aktiviteten er motivet, for eksempel dugnaden eller sommerfesten. Slike bilder kan som regel deles uten samtykke, så lenge de er harmløse. Datatilsynet anbefaler likevel å spørre.
• Portrettbilder, der en eller noen få personer er hovedmotivet. Da trenger dere samtykke, også i lukkede grupper. For barn må foreldrene samtykke.

En Facebook-gruppe er fin til nabopraten, men den er ikke et medlemsregister. Ikke legg ut medlemslister, restanselister eller saker om enkeltpersoner der. Husk også at Facebook ikke er databehandler for foreningen, og at ikke alle medlemmer er på Facebook. Viktige beskjeder og innkallinger må gå ut på en måte som når alle.

Sjekkliste for styret

• Vi vet hvilke opplysninger vi har, hvor de ligger og hvorfor vi har dem.
• Vi registrerer ikke fødselsnummer eller annet vi ikke trenger.
• Registeret ligger ett sted, med innlogging, og bare styret har full tilgang.
• Vi har databehandleravtale med leverandøren av tjenesten vi bruker.
• Medlemmene er informert om hva vi lagrer, for eksempel i vedtektene eller på nettsiden.
• Vi sletter opplysninger når noen flytter eller melder seg ut.
• Vi spør før vi deler beboerlister eller publiserer portrettbilder.
• Tidligere styremedlemmer har ikke lenger tilgang.

Datatilsynet sier også at nesten alle virksomheter skal føre en protokoll over behandlingsaktivitetene. For en forening kan det være et kort dokument som beskriver medlemsregisteret, formålet, hvem som har tilgang og når opplysningene slettes.

Starter dere en ny forening, kan dette tas inn fra starten. Se slik starter dere en velforening og vedtekter for hytteforening.

Slik kan NaboVel hjelpe

• Ett register over boliger, hytter, eiere, leietakere og kontaktpersoner, med historikk når eiere byttes, og eksport til Excel ved behov.
• Roller for medlem, styre og administrator. Medlemmene ser bare det foreningen tillater, og kan selv rette kontaktinformasjonen sin på «Min side».
• Full logg over hvem som har endret hva.
• Databehandleravtale er innebygd, så dere slipper å lage den selv.

Opprett foreningen gratis

Kilder

• Datatilsynet: Medlemsopplysninger (spørsmål og svar)
• Datatilsynet: Hva skal skje med opplysningene når et medlem melder seg ut?
• Datatilsynet: Veileder om behandlingsgrunnlag
• Datatilsynet: Når må man inngå databehandleravtale?
• Datatilsynet: Føre protokoll
• Datatilsynet: Deling av bilder
• Personopplysningsloven (lov 15. juni 2018 nr. 38), Lovdata