En förening som för ett medlemsregister behandlar personuppgifter och omfattas därmed av dataskyddsförordningen, GDPR. Det gäller oavsett om registret ligger i ett medlemssystem, i en pärm eller i en Excel-fil. Den här guiden går igenom vilka uppgifter föreningen får spara, på vilken grund, hur länge och hur filen skyddas, med ett medlemsregister i Excel från Excelkontroll som exempel på hur dokumentationen kan se ut.
Föreningen får spara de uppgifter som behövs för att administrera medlemskapet, till exempel namn, kontaktuppgifter, medlemskategori och betalda avgifter. Den rättsliga grunden är oftast avtal, eftersom medlemskapet är ett avtal mellan medlem och förening. Uppgifterna ska gallras när de inte längre behövs, normalt efter utträde, utom det som bokföringen kräver att föreningen sparar.
Föreningen är ansvarig – inte den som för listan
Det är föreningen som juridisk person som är personuppgiftsansvarig. I praktiken är det styrelsen som ska se till att reglerna följs, även om det är kassören eller medlemssekreteraren som uppdaterar registret. Det betyder att rutinerna bör beslutas av styrelsen och dokumenteras, så att de överlever ett styrelsebyte.
GDPR artikel 5 sätter ramarna. För ett medlemsregister är fyra av principerna särskilt viktiga:
- Ändamålsbegränsning: uppgifterna samlas in för att administrera medlemskapet och får inte användas till något helt annat, till exempel att sälja vidare adresser.
- Uppgiftsminimering: bara det som behövs. En kolumn som ingen använder ska bort.
- Riktighet: felaktiga eller inaktuella uppgifter ska rättas eller raderas.
- Lagringsminimering: uppgifterna sparas inte längre än nödvändigt.
Vilka uppgifter, och på vilken grund?
All behandling behöver en rättslig grund enligt artikel 6. Tabellen visar hur grunderna brukar fördelas i en vanlig ideell förening. Det är styrelsens bedömning som gäller, och den bör skrivas ner.
| Uppgift | Används till | Vanlig rättslig grund |
|---|---|---|
| Namn och adress | Medlemskap, kallelser | Avtal (art. 6.1 b) |
| E-post och telefon | Kallelser, information | Avtal (art. 6.1 b) |
| Födelsedatum eller -år | Avgiftskategori, t.ex. junior eller senior | Avtal (art. 6.1 b) |
| Inbetalda avgifter | Avgiftsuppföljning och bokföring | Avtal och rättslig förpliktelse (art. 6.1 b och c) |
| Förtroendeuppdrag | Styrelse, revisorer, valberedning | Avtal eller berättigat intresse (art. 6.1 b eller f) |
| Bilder på webb och i sociala medier | Information om verksamheten | Ofta samtycke (art. 6.1 a) |
| Nyhetsbrev utöver medlemsinformation | Marknadsföring, erbjudanden | Samtycke (art. 6.1 a) |
Samtycke passar dåligt som grund för själva registret. Ett samtycke kan återkallas när som helst, och föreningen kan knappast administrera ett medlemskap utan namn och adress. Använd samtycke för det som är frivilligt, som bilder och nyhetsbrev, och notera i registret vem som har lämnat det.
Personnummer och känsliga uppgifter
Enligt dataskyddslagen (3 kap. 10 §) får personnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet, vikten av en säker identifiering eller något annat beaktansvärt skäl. De flesta föreningar klarar sig med födelsedatum. Behöver föreningen personnummer, till exempel för att kunna söka bidrag, bör skälet dokumenteras och åtkomsten begränsas.
Uppgifter som avslöjar politisk åsikt, religiös övertygelse eller fackligt medlemskap är känsliga enligt artikel 9. Redan medlemskapet i en sådan förening kan vara en känslig uppgift. Artikel 9 ger föreningar med politiskt, filosofiskt, religiöst eller fackligt syfte ett visst utrymme att behandla uppgifter om sina medlemmar, men uppgifterna får då inte lämnas ut utanför föreningen utan medlemmens samtycke.
Hur länge får uppgifterna sparas?
GDPR anger ingen fast tid. Föreningen bestämmer själv lagringstiden utifrån ändamålet och dokumenterar den. Ett rimligt upplägg för de flesta:
- Aktiva medlemmar: uppgifterna sparas så länge medlemskapet pågår. Gå igenom registret en gång om året, till exempel inför årsmötet, och rätta det som är fel.
- Utträdda medlemmar: kontaktuppgifter och övriga uppgifter tas bort när de inte längre behövs, till exempel vid utgången av verksamhetsåret efter utträdet. Bestäm en fast tidpunkt så att gallringen faktiskt blir av.
- Bokföringsunderlag: om föreningen är bokföringsskyldig (en ideell förening är det enligt 2 kap. 2 § bokföringslagen om tillgångarna överstiger 1,5 miljoner kronor, eller om den bedriver näringsverksamhet eller är moderföretag i en koncern) ska räkenskapsinformationen enligt bokföringslagen (7 kap. 2 §) bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Det gäller verifikationerna för inbetalda avgifter, inte hela medlemsregistret.
- Föreningens historia: uppgifter om hedersmedlemmar och tidigare styrelser kan sparas av historiska skäl, men begränsa dem till namn och uppdrag.
Lagringstiden skrivs in i föreningens förteckning över behandlingen och i informationen till medlemmarna. Ska tider och möten placeras ut över året hjälper det att planera föreningsåret 2027 med gallringen som en fast punkt.
Information till medlemmarna
Enligt artikel 13 ska medlemmen få information när uppgifterna samlas in, alltså vid inträdet. Det räcker med en kort text på ansökningsblanketten eller webbplatsen. Artikel 13 räknar upp fler punkter än dessa, men texten ska bland annat ange:
- att föreningen är personuppgiftsansvarig, och hur den kontaktas,
- vilka uppgifter som behandlas, för vilket ändamål och med vilken rättslig grund,
- hur länge uppgifterna sparas,
- att medlemmen har rätt att få ut, rätta och i vissa fall radera sina uppgifter,
- att klagomål kan lämnas till Integritetsskyddsmyndigheten, IMY.
När registret ligger i Excel
GDPR kräver lämpliga säkerhetsåtgärder, och för en Excel-fil handlar det mest om ordning:
- En fil, en plats. Registret ligger i en mapp med begränsad behörighet, inte i flera versioner på olika datorer.
- Lösenord och behörighet. Skydda filen med ett säkert lösenord, låt bara de som behöver komma åt den och byt lösenordet vid styrelsebyte.
- Skicka inte hela listan. Behöver någon kontaktuppgifter till en grupp, filtrera fram dem och skicka bara det som behövs.
- Molntjänst. Leverantören blir personuppgiftsbiträde, och behandlingen ska regleras i ett biträdesavtal. Kontrollera att tjänstens villkor innehåller ett sådant.
- Förteckning. Beskriv behandlingen skriftligt: ändamål, kategorier av uppgifter, lagringstid och säkerhet.
Mallen hos butiken innehåller en GDPR-flik med registerförteckning och checklista, och den är byggd så att inga personnummer lagras. Det ersätter inte styrelsens egna beslut men gör dem lättare att dokumentera.
En funktionsöversikt finns på sidan om medlemsregister för föreningar i Excel. Fler guider för föreningar och företag finns i EnkelMals guidesamling.
Vanliga frågor
Vilka regler gäller för medlemsregister i föreningar?
Dataskyddsförordningen (GDPR) och den kompletterande dataskyddslagen. Föreningen ska ha en rättslig grund, bara spara det som behövs, informera medlemmarna, skydda uppgifterna och gallra dem när de inte längre behövs.
Behöver föreningen medlemmarnas samtycke för registret?
Oftast inte. Medlemskapet är ett avtal, och det som behövs för att administrera det kan behandlas med avtal som grund. Samtycke behövs däremot för frivilliga saker som bilder på webben.
Hur länge får en förening spara uppgifter om tidigare medlemmar?
Så länge de behövs för ett angivet ändamål. Kontaktuppgifter bör tas bort inom rimlig tid efter utträde, medan bokföringsunderlag ska bevaras till och med det sjunde året efter det kalenderår då räkenskapsåret avslutades, om föreningen är bokföringsskyldig.
Får styrelsen dela medlemslistan med andra medlemmar?
Bara om det behövs för föreningens verksamhet och medlemmarna har informerats om det, och då bara de uppgifter som behövs. Att skicka hela registret till alla medlemmar är sällan förenligt med uppgiftsminimeringen.
Källor
Ordning i registret, ordning i ansvaret
Ett register med rätt fält, en dokumenterad lagringstid och en tydlig gallringsrutin är det mesta av vad GDPR kräver av en vanlig förening.
Till medlemsregistret