Personoplysninger

Hvad er GDPR?

GDPR står for General Data Protection Regulation og kaldes på dansk for databeskyttelsesforordningen. Det er et sæt EU-regler, der har til formål at beskytte personoplysninger og give den enkelte bedre kontrol over egne data. Reglerne gælder også for foreninger, når de håndterer oplysninger om personer.

Som forening er I omfattet af GDPR, når I f.eks. indsamler, registrerer, opbevarer eller sletter personoplysninger om jeres medlemmer. Det betyder, at I skal sikre, at behandlingen af data sker i overensstemmelse med lovgivningen.

At behandle personoplysninger kan bl.a. dækker over:

Tre typer af personoplysninger

Når det kommer til GDPR, skelnes der mellem tre kategorier af personoplysninger:

Almindelige personoplysninger (ikke-følsomme):

Disse omfatter oplysninger om navn, adresse, økonomiske forhold, familiemæssige relationer, boligforhold, ejerforhold af bil mv.

Straffeoplysninger:

Oplysninger om, hvorvidt en person har begået en lovovertrædelse, eller er under mistanke for kriminalitet.

Følsomme personoplysninger:

Herunder data om race og etnisk oprindelse, politisk eller religiøs overbevisning, helbredsoplysninger eller seksuel orientering.

Hvad siger GDPR-loven og hvad betyder det i praksis?

GDPR handler grundlæggende om, at persondata skal behandles lovligt, rimeligt og gennemsigtigt. Man skal have et sagligt formål med at indsamle oplysninger, og man må ikke gemme mere end nødvendigt.

For en andelsboligforening betyder det for eksempel, at man gerne må gemme kontaktoplysninger på beboere, men kun så længe det er relevant for foreningen, og man skal kunne redegøre for, hvad oplysningerne bruges til.

Det er også vigtigt at informere beboerne om, hvilke oplysninger foreningen har, og hvordan de bliver behandlet. Det kan eksempelvis ske gennem en privatlivspolitik, som man udleverer ved indflytning eller lægger på foreningens hjemmeside.

Sådan får bestyrelsen overblik over GDPR

Det nye GDPR-univers giver bestyrelsen adgang til svar, vejledning og konkrete eksempler på typiske spørgsmål om databeskyttelse. Her finder I information om de centrale begreber i GDPR samt en guide med 7 vigtige trin, der hjælper bestyrelsen med at leve op til reglerne:

Trin 1: Få overblik

Kortlæg, hvor I opbevarer personoplysninger, og hvem der har adgang til dem.

Trin 2: Stil jer selv spørgsmålet “hvorfor”

Har I en saglig og relevant grund til at indsamle og gemme de konkrete oplysninger?

Trin 3: Slet, når det er tid

Overvej, hvor længe oplysningerne skal opbevares – og husk at slette dem, når de ikke længere er nødvendige.

Trin 4: Informér dem, det handler om

Personer har ret til at vide, at I behandler deres oplysninger – og hvad de bruges til.

Trin 5: Etabler klare procedurer

Lav interne retningslinjer for, hvordan I håndterer forespørgsler, og hvem der har ansvaret for hvad.

Trin 6: Prioritér datasikkerheden

Sørg for, at personoplysninger er beskyttet mod uautoriseret adgang.

Trin 7: Del med omtanke

I har også ansvar, når oplysninger deles med andre – sørg for, at det sker forsvarligt og lovligt.

FAQ:

Må man lægge billeder fra sociale arrangementer på hjemmesiden uden deltagernes samtykke?

Det afhænger af billedets indhold. Billeder fra rolige sammenhænge, som en fælles fejring, kan som regel offentliggøres uden samtykke – så længe de ikke virker udstillende. Viser billedet personer i situationer som dans eller alkoholindtagelse, kræves samtykke. Gør gerne deltagerne opmærksomme på, at der tages billeder, og giv mulighed for at man kan frabede sig det, f.eks. med billedfri zoner.

Hvor længe må man have billeder liggende på foreningens hjemmeside?

Personoplysninger må kun bruges til saglige formål og ikke længere, end det er nødvendigt. Billeder på en forenings hjemmeside bruges ofte til at informere, og derfor kan det være svært at fastsætte en præcis tidsgrænse. Det vigtigste er løbende at vurdere, om formålet med at vise billedet stadig er relevant.

Hvordan skal man forholde sig, hvis et samtykke til behandling af personoplysninger bliver tilbagekaldt?

Hvis et samtykke tilbagekaldes, skal behandlingen og opbevaringen af de personoplysninger, som samtykket omfattede, straks ophøre.

Hvad skal man gøre, hvis et medlem ønsker at få oplyst, hvilke personoplysninger vi behandler om vedkommende?

I skal udlevere en kopi af de personoplysninger, I behandler om personen, samt give yderligere oplysninger om, hvordan I håndterer disse data.

Hvad indebærer videregivelse af personoplysninger?

Når I som dataansvarlige overdrager personoplysninger til en tredjepart, f.eks. en offentlig myndighed eller en faglig organisation, som bliver dataansvarlig for oplysningerne, skal der være et lovligt grundlag for, at I kan videregive oplysningerne.

På samme måde skal tredjeparten have et lovligt grundlag for at indsamle og behandle de modtagne oplysninger.

Er det tilladt at sende eller modtage personoplysninger, herunder fortrolige oplysninger som personnumre, via e-mail?

Det er som regel ikke i strid med GDPR at sende eller modtage oplysninger til et medlem via e-mail, da forsendelsen i de fleste tilfælde er tilstrækkeligt sikker.

At forsendelsen er tilstrækkeligt sikker betyder, at e-mailsystemet anvender kryptering (f.eks. TLS 1.2), og at modtageren også kan modtage e-mails krypteret (TLS 1.2).

Må man bede et medlem om vedkommendes cpr. nummer?

Man må kun behandle medlemmets CPR-nummer, hvis medlemmet har givet samtykke, og der foreligger en saglig begrundelse, f.eks. i forbindelse med kommunalt tilskud eller lignende – eller hvis behandlingen er påkrævet i henhold til loven.

Må man videregive oplysninger om, hvem der er medlem af foreningen?

Som udgangspunkt er det tilladt at dele oplysninger om, hvem der er medlem af foreningen, i et lukket forum. Det kan f.eks. være gennem en medlemsliste i et medlemsblad eller på en lukket intranetside, som kun er tilgængelig for foreningens medlemmer.