Teknologi og informasjonsutveksling skjer raskere enn noensinne, og spørsmål om personvern har blitt stadig mer aktuelle. Dette gjelder ikke bare for enkeltpersoner på nett, men også for foreninger, sameier og velforeninger. Organisasjoner som tidligere primært håndterte lokale saker som vedlikehold av fellesområder eller sosiale aktiviteter, forvalter i dag også personopplysninger som direkte berører medlemmenes privatliv.
Styret har derfor et tydelig ansvar for at personopplysninger behandles korrekt, sikkert og i tråd med gjeldende lovverk. I denne artikkelen ser vi nærmere på hva personvernlovgivningen innebærer, hvilke plikter styret har, og hvordan SmartOrg kan bidra til trygg og strukturert håndtering av personopplysninger.
Hva er personopplysningsloven og GDPR?
Personopplysningsloven regulerer hvordan personopplysninger kan behandles i Norge. Loven bygger på EUs personvernforordning GDPR (General Data Protection Regulation), som gjelder i hele EU- og EØS-området. Samlet stiller disse regelverkene strenge krav til hvordan personopplysninger samles inn, lagres, brukes og slettes.
For foreninger og sameier betyr dette blant annet at dere:
- må ha et lovlig grunnlag for å lagre personopplysninger
- må ivareta medlemmenes rett til innsyn, endring og sletting
- må kunne dokumentere hvordan personvern håndteres i praksis
Du kan lese mer om regelverket hos Datatilsynet
1. Samtykke og tilgangskontroll
Et grunnleggende krav i personvernlovgivningen er at medlemmene gir et klart og frivillig samtykke til hvordan deres personopplysninger brukes. Dette bør skje allerede ved innmelding, og det må komme tydelig frem:
- hvilke opplysninger som lagres
- hva de brukes til
- hvem som har tilgang
I SmartOrg kan styret definere informasjon og vilkår som vises i registreringslenken og i e-post til nye medlemmer. Dette gir en ryddig og dokumenterbar samtykkeprosess.
Styret bør også sørge for at medlemmer aktiverer sin brukerkonto. Medlemmer som ikke har aktivert konto, har i praksis ikke gitt et aktivt samtykke til lagring av personopplysninger i medlemssystemet.
2. Begrens tilgang til personopplysninger
Ikke alle i organisasjonen trenger tilgang til alle opplysninger. Styret har ansvar for å begrense innsyn til det som er nødvendig for å utføre konkrete oppgaver.
Dette innebærer blant annet å:
- gi systemtilgang kun til relevante roller
- skjule unødvendige felter i medlemslister
- sikre at tidligere medlemmer ikke lenger har tilgang eller lagrede opplysninger
I SmartOrg kan tilgang styres per rolle, felter i medlemslisten kan begrenses, og egne personverninnstillinger sikrer at kontaktinformasjon ikke blir synlig for andre medlemmer uten saklig grunn.
Medlemmer har også rett til å få sine opplysninger slettet. Styret må derfor ha tydelige rutiner for å fjerne persondata når et medlemskap avsluttes, med mindre lovpålagte krav tilsier noe annet.
3. Formål og behov for lagring av personopplysninger
Personopplysninger kan bare behandles dersom organisasjonen har et lovlig behandlingsgrunnlag, for eksempel samtykke, avtale, rettslig forpliktelse eller berettiget interesse. Det er derfor avgjørende at organisasjonens formål er tydelig definert.
Vedtektene eller medlemsvilkårene bør:
- beskrive organisasjonens formål og aktiviteter
- forklare hvorfor personopplysninger er nødvendige
- inneholde klare retningslinjer for personvern
Personopplysninger skal heller ikke lagres lenger enn nødvendig. Et aktivt medlemskap gir normalt et gyldig grunnlag for lagring, så lenge formålet med behandlingen ikke endres.
God praksis er å:
- involvere medlemmene ved endringer i vedtekter
- holde dokumentasjonen oppdatert
- bruke klart og forståelig språk, uten unødig juridisk kompleksitet
Tydelighet og åpenhet bygger tillit og gjør det enklere for medlemmene å forstå hvordan deres opplysninger behandles.
4. Hold dere oppdatert og etterlev regelverket
Personvernlovgivning er ikke statisk. Nye krav og tolkninger kan komme, og styret må sørge for at organisasjonen til enhver tid er i samsvar med regelverket.
Dette kan innebære å:
- følge med på endringer i lovverket
- gi styremedlemmer nødvendig opplæring
- gjennomføre jevnlige vurderinger av rutiner og systemer
Mange organisasjoner velger å utpeke én person med særskilt ansvar for personvern, eller å hente inn ekstern kompetanse ved behov.
Dersom dere behandler sensitive personopplysninger
Sensitive personopplysninger krever ekstra beskyttelse og strengere behandlingsregler. Dette gjelder blant annet opplysninger om:
- helse
- religiøs eller politisk tilhørighet
- seksuell orientering
- etnisitet
- straffbare forhold
Slike opplysninger bør kun behandles dersom det er strengt nødvendig og lovlig. Dersom organisasjonen har behov for dette, oppfordrer vi dere til å ta kontakt med SmartOrg for å vurdere en skreddersydd databehandlingsavtale. Selv om dette normalt ligger utenfor standard bruk, er vi åpne for å håndtere spesielle behov i tråd med gjeldende regelverk.