GDPR-resurser EFS och Salt

Dataskyddsförordningen definierar en personuppgift som ”Varje upplysning som avser en identifierad eller identifierbar fysisk person.” Det betyder att en upplysning räknas som personuppgift om du kan använda den för att identifiera en fysisk person (ej juridisk person), antingen separat, eller tillsammans med någon annan uppgift som du eller någon annan har om personen.

Exempel på personuppgifter är t.ex. personnummer, namn (om det är unikt nog för att identifiera en person), en adress eller en bild. Det är alltså mycket mer än vad en kanske först tror.

GDPR gäller för alla personuppgifter som föreningen/företaget hanterar. Oavsett om det finns i strukturerade register eller i så kallat ostrukturerat material. Men därmed gör inte GDPR att man inte får ha utskrifter eller ostrukturerat material, man ska bara se till att följa GDPR i sin hantering av dem och att man har korrekta lagliga grunder med fullgjord informationsplikt.

Personuppgifter får behandlas med stöd av en eller flera  av följande lagliga grunder:

1. Samtycke: Inhämta samtycke från den registrerade, i möjligaste mån och med förtydligande om att samtycke kan återkallas utan att det är till nackdel för den som väljer det. En arbetsgivare bör till följd av den anställdes beroende enbart i undantagsfall begära samtycke från en anställd.
2. Avtal: Säkerställ att uppgiftsbehandlingen är nödvändig exempelvis som ett led i att fullgöra ett avtal mellan verksamheten och den uppgifterna avser såsom fullgörande av anställningsavtalet eller annan överenskommelse med en anställd.
3. Annan lag: Uppgiftsbehandlingen kan vara nödvändig för att en verksamhet ska kunna fullgöra en rättslig förpliktelse som följer av de lagar som reglerar verksamheten beträffande skatteredovisning, försäkringar, arbetsmiljöansvar och liknande eller kollektivavtal och förpliktelser gentemot de anställdas fackförbund.
4. Liv och hälsa: Laglig grund är också hantering av uppgifter i syfte att skydda fysisk persons liv och hälsa.
5. Myndighetsutövning: Behandling som behövs för att fullgöra arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning.
6. Intresseavvägning: Laglig grund är också den behandling av uppgifter som behövs för att tillgodose ett berättigat intresse hos verksamheten om detta intresse väger tyngre än den registrerades integritet. Uppgifter om personalens anhöriga kan behövas för att säkerställa kontakt i händelse av arbetsplatsolycka eller sjukdomstillbud exempelvis.

I de fall externa parter får del av organisationens/föreningarnas personuppgifter behövs ett avtal med den externa parten för att reglera hur parten ska använda uppgifterna. Det kan till exempel vara ett företag som säljer medlemssystem eller ett tryckeri som distribuerar ett medlemsblad direkt till adresser. Den externa parten är då ett biträde till organisationen.

”Den som behandlar personuppgifter med stöd av ett samtycke måste kunna visa att ett giltigt samtycke har lämnats av den registrerade.” Det är svårt att bevisa ett muntligt samtycke. Läs mer om det här.

EFS och Salt har ett gemensamt medlemsregister i NGO PRO. Detta ger de bästa förutsättningarna för oss att bedriva vår verksamhet då tex både barn och vårdnadshavare finns i samma register. EFS och Salt tecknar ömsesidiga biträdesavtal för att kontrollera delandet av personuppgifterna. Genom systemets funktionalitet kring sekretess kan vi styra tillgången till personuppgifterna på ett enkelt och kontrollerat sätt.

Detta är en komplex fråga på många sätt. Oftast har samma person flera engagemang som kräver olika lagliga grunder för hantering av personuppgifter. Nedan följer dock en mycket förenklad uppställning över de lagliga grunderna och i vilka sammanhang de rekommenderas att användas inom EFS och Salt.

Vi måste ha fullständigt personnummer för att kunna undvika dubbletter och uppfylla de krav som GDPR ställer på att uppgifterna i vårt centrala register NGO PRO är “korrekta och uppdaterade”.

Praktiskt ger personnumret som unikt personuppgift för alla fysiska personer de bästa förutsättningarna för att tillsammans kunna hjälpas åt inom EFS och Salt att hålla NGO PRO korrekt och uppdaterat. Personnummer är också sättet att kunna uppdatera adresser mot Skatteverkets register.

Vi raderar inte personuppgifterna till utträdda medlemmar direkt, då många som utträder går in i en ny förening som medlem ganska snart efter. Då fortsätter vi att skicka Budbäraren och annan information till personen under övergångsperioden. Dessutom kan personen ha flera anledningar att finnas i NGO PRO, exempelvis vara givare.

Vad är ett arkiv?

Arkivet består av de handlingar som upprättats i verksamheten eller har kommit till föreningen och blivit kvar där. Det behöver inte vara pappershandlingar, det kan också vara information som finns lagrad i datorer som föreningen har eller på andra medier som film eller ljudband.

Vad är det som ska sparas av föreningens handlingar?

Jo, det som rör föreningens verksamhet, eller det som är föreningens egna handlingar, allt från protokoll och årsberättelser eller andra handlingar som rör beslut, bokslut/räkenskaper mm.

Vad kan man slänga och när?

Om ni på ett tidigt stadium skiljer på sådant som ska bevaras och sådant som kan gallras, vinner ni i längden mycket tid. Alltså, om ni redan när ni tar emot eller framställer en handling vet hur ni ska hantera den – sparas för alltid (bevaras), slängas direkt (rensas) eller slängas om något år (gallras).

Arkivet ska spegla föreningens verksamhet och tjäna som föreningens minne!

Deltagare i aktivitet får ni i regel hantera externt från NGO PRO.

Intresseavvägning borde fungera som laglig grund för detta. Dock måste ni kunna söka upp mailadressen och radera den om någon begär det. Ni omfattas också av informationsplikten och måste informera om att ni kommer att spara mailadresserna för att kontakta dem om eventuella framtida event.

Företagen vill att vi fortsätter att använda deras tjänster och de vet att det krävs biträdesavtal, så många har själva uppdaterat sina användarvillkor som vi kan bocka i och godkänna. Alltså hör de flesta leverantörer av sig, men inte alla.

Det dock står ingenstans i lagen att man inte får maila personuppgifter. Men det står att man ska ”vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken” i artikel 32.1. Så om man till exempel behöver kontakta registeransvarig på EFS om en medlem som finns i det gemensamma registersystemet NGO PRO, så kan man maila medlemsnumret istället för personuppgifter. Se mer om detta under ”NGO PRO som resurs för föreningar”.

Om ni ska sprida en matrikel med personuppgifter där alla kan se vilka som är medlemmar i er förening så är det värt att tänka över om ni ska inhämta samtycke för detta från era medlemmar. Detta då det räknas som personuppgifter av särskild känslig karaktär när man är med i en religiös organisation och därför ska man vara försiktig med att sprida den infon. Även om man får hantera de uppgifterna enligt undantaget i artikel 9.2 som vi beskriver tidigare, så är det ändå viktigt att man tar till ”lämpliga skyddsåtgärder” som det står på samma ställe i förordningen. Tänk därför igenom om det risk för att matrikeln hamnar i fel händer, hos någon som är utanför organisationen/organet? Se EFS personuppgiftspolicy med mer info om hur vi definierar ”organet”.

Personuppgiftsansvarig är föreningens styrelse, vilket betyder att de är ansvariga för att GDPR efterföljs. En individ kan aldrig bli personligt ansvarig och behöva betala sanktionsavgifter. När det gäller medlemsuppgifter så är föreningarnas styrelse gemensamt personuppgiftsansvarig med EFS styrelse, enligt vår tolkning i dagsläget. Detta på grund av att både Riks och lokalföreningarna vill ha in medlemsuppgifterna, samt för att många av oss delar det centrala medlemssystemet som är NGO PRO.

Det är dock bra att ha någon utsedd att ansvara för arbetet med personuppgifter & dataskydd.

Nej, inte enligt vår tolkning. EFS Riks kommer inte att anmäla något Dataskyddsombud till Datainspektionen även om vi hanterar känsliga personuppgifter i vår kärnverksamhet vilket då egentligen betyder att man måste ha ett sådant. Detta då vi stödjer oss på undantaget i artikel 9.2 . Det innebär att religiösa organisationer får hantera känsliga uppgifter som gäller ”organs medlemmar eller tidigare medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och personuppgifterna inte lämnas ut utanför det organet utan den registrerades samtycke.”

Ja, men det är då ditt ansvar att se till att listan hanteras på rätt sätt.  En utskriven lista omfattas av GDPR. Listan ska då endast innehålla uppgifter som är nödvändiga för att genomföra verksamheten och inte mer. Tänk på att ni har en skyldighet att inte hantera mer uppgifter än vad som är nödvändigt.

Du får inte ge någon annan tillgång till listan och du måste hålla koll på den så att ingen obehörig får tillgång till listan. När du inte längre har behov av medlemslistan måste du se till att den tas om hand på lämpligt sätt, för att den inte ska kunna hamna i orätta händer.

Till att börja med måste barnet vara identifierbart på bilden för att den ska omfattas av dataskyddsförordningen. Det är bäst att ni inhämtar samtycke från vårdnadshavaren till att få publicera bilderna.

Samtycke som rättslig grund kan bli onödigt krångligt, inte minst för att det kan vara svårt att inhämta samtycke om det är många personer på bilden. Ni kan därför behöva hitta en annan rättslig grund.Vi antar att ert syfte är att ni vill informera om er verksamhet. För ett företag kan publiceringen då vara tillåten enligt den rättsliga grunden intresseavvägning.

För det krävs att företagets intresse av att publicera bilderna för att informera om verksamheten väger tyngre än det intresse personerna på bilderna har av skydd för sina personuppgifter. Dokumentera hur ni har resonerat när ni har gjort den avvägningen. Personerna som är med på bilderna har rättigheter enligt dataskyddsförordningen. Informera därför besökarna på eventet om att deras personuppgifter, alltså bilderna, kan komma att användas för att informera om verksamheten på webbplatsen och att de har möjlighet att invända mot detta. Informera också om vem de ska kontakta.

Ni måste inte samla in namn på alla som är med på bilderna endast för att kunna följa reglerna i förordningen. Men om någon identifierar sig själv och vill utöva sina rättigheter, så gäller rättigheterna i förordningen. (Källa: Datainspektionen)

Medlemsblad är att betrakta som medlemsinformation som motiveras som en del i avtalet för medlemskap i EFS/Salt. På samma grund skickas EFS Missionstidning Budbäraren och nyhetsmejl från EFS riks och region ut till alla medlemmar.

Gällande rättigheter för bilder är det alltid bäst att ha skriftligt samtycke till publicering om bilden är en personuppgift (personen i fråga är identifierbar på bilden). Det kan dock bli onödigt krångligt och den lagliga grunden intresseavvägning kan i vissa fall åberopas. Läs mer under frågan Får vi publicera mingelbilder från vårt event för att informera om vår verksamhet?.