GDPR i velforeninger: Risikoen ved Facebook-grupper og behovet for norske alternativer

Behandler en velforening personopplysninger?

Ja. Navn, adresse, e-post, telefonnummer, betalingshistorikk og hvem som bor i hvilken husstand er alt sammen personopplysninger. Da gjelder personvernforordningen, også for en frivillig forening uten ansatte.

Det betyr at dere må ha et formål med opplysningene, bare samle inn det dere trenger, ikke ta vare på dem lenger enn nødvendig, og kunne svare når noen spør hva dere har lagret om dem.

Hvorfor Facebook-gruppa er et problem

De fleste velforeninger bruker en gruppe til alt: dugnadsvarsler, spørsmål om kontingent, klager på naboer, bilder av barn på sommerfesten. Det som starter som praktisk, blir fort et arkiv med opplysninger foreningen ikke kontrollerer.

Fire konkrete problemer:

• Dere eier ikke dataene. Innholdet ligger hos en tredjepart, på deres vilkår, og kan ikke uten videre hentes ut eller slettes samlet.
• Alle ser alt. En henvendelse om betalingsvansker eller en nabokonflikt får hele nabolaget som publikum.
• Halve nabolaget er ikke der. Beskjeder som bare går i gruppa, når ikke alle — og formelle varsler må nå alle.
• Ingen sletting. Når noen flytter, blir innleggene og bildene stående.

Den vanligste feilen: hele medlemslista i kopifeltet

Dette skjer i nesten hver eneste forening. En innkalling sendes til åtti mottakere med alle adressene åpent i kopifeltet, og dermed er hele medlemslista utlevert til alle som fikk e-posten.

Bruk blindkopi, eller et system som sender individuelt. Det er den enkleste GDPR-forbedringen dere kan gjøre, og den tar null minutter. Se hva innkallingen må inneholde i innkalling til årsmøte.

Hva bør ligge hvor?

Skill mellom det sosiale og det formelle:

• Foreningens eget system: medlemsregister, kontingent og betalingsstatus, protokoller, vedtekter, henvendelser til styret, dokumentarkiv.
• Åpen kanal: hyggelige beskjeder, dugnadspåminnelser, bilder folk har samtykket til.

Det er ikke en oppfordring til å legge ned gruppa. Det er en oppfordring til å slutte å bruke den som medlemsregister og saksarkiv.

Bilder av barn

Egen kategori, og den som oftest går galt. Bilder der barn kan identifiseres krever samtykke fra foreldrene, og samtykket må kunne trekkes tilbake. Legges bildet i en gruppe hos en tredjepart, er det i praksis vanskelig å oppfylle det siste.

Spør før dere publiserer, og ha et sted foreldre kan si fra. Et bilde tatt bakfra på sommerfesten løser mye.

Slik rydder dere opp

1. Skriv ned hva dere har. Hvilke opplysninger, hvor de ligger, og hvem som har tilgang.
2. Slett det dere ikke trenger. Gamle medlemslister, e-poster fra folk som har flyttet, regneark på private maskiner.
3. Begrens tilgangen. Ikke alle i styret trenger å se betalingshistorikk.
4. Bruk blindkopi eller et system som sender individuelt.
5. Si hva dere gjør. Et kort avsnitt om personvern på foreningens nettside dekker informasjonsplikten for de fleste.

Hvorfor norske alternativer er enklere

En norsk leverandør med data lagret i Europa fjerner spørsmålet om overføring til tredjeland, og gir dere en databehandleravtale på norsk. Da slipper styret å vurdere noe det ikke har forutsetninger for å vurdere.

MittVel er bygget for norske velforeninger, med medlemsregister, kontingent, meldinger og dokumenter samlet på foreningen — ikke spredt i en gruppe eid av noen andre. Les mer om medlemsregister for velforening og se hvordan henvendelser holdes utenfor det åpne forumet.