FAQ om persondata

Her er de hyppigst stillede spørgsmål om persondataforordningen med tilhørende svar fra DGI Jura.

DGI Jura har udarbejdet svar på aktuelle spørgsmål om persondataforordningen i en såkaldt FAQ. Persondataforordningen trådte i kraft den 25. maj 2018.

FAQ står for Frequently Asked Questions og indeholder spørgsmål fra idrætsforeninger samt tilhørende svar. FAQ’en skal ses som et supplement til DIF og DGI's Vejledning til foreninger om behandling af persondata.

Spørgsmålene er inddelt i forskellige kategorier. Klik på spørgsmålene i den kategori, som du ønsker at læse mere om - og få svar.

Dataansvar(lig)

Hvis vi som lokalforening trækker personoplysninger (f.eks. medlemslister) ud til daglig brug fra en ekstern leverandør, er vi så databehandler? Nej, foreningen vil i stedet være dataansvarlig. Derimod vil den eksterne leverandør være databehandler.
Begrebsfordelingen kan forklares ved, at den eksterne leverandør opbevarer data på jeres vegne og af hensyn til formål, der er opstillet i foreningen. Leverandøren leverer en ydelse til foreningen, så foreningen kan leve op til sit dataansvar.

Hvad skal man overveje i forhold til opslag på foreningens Facebook-side? Facebook er opbygget så de oplysninger, der lægges på, har Facebook selv retten til at benytte. Derfor er Facebook selv dataansvarlig, men det er foreningen også. Foreningen skal sikre sig, at foreningen har ret til at behandle og videregive de data, der lægges op på Facebook.
Det betyder, at man skal være ekstra kritisk med hvilke oplysninger og billeder, der lægges på. Der må ikke findes følsomme oplysninger. Brugen af Facebook skal omtales i privatlivspolitikken.

Hvis et idrætscenter modtager en kopi af medlemsoplysninger for at udstede armbånd til omklædningsrum, er idrætscenteret databehandler eller dataansvarlig? Det kommer først og fremmest an på, om armbåndene udstedes til formål, der er opstillet og til gavn for foreningen eller idrætscenteret.
Er der tale om, at oplysninger stilles til rådighed for idrætscenteret med henblik på, at idrætscenteret kan gemme oplysninger og anvende dem til egen behandling, her til udstedelse af armbånd til centrets omklædningsrum, så er der tale om en videregivelse af personoplysninger til en selvstændig dataansvarlig, hvorfor databehandleraftale ikke er påkrævet.
Videregivelse af almindelige personoplysninger skal ske med henvisning til interesseafvejningsreglen, men det forudsætter, at foreningens berettigede interesse i at videregive de pågældende personoplysninger er beskrevet i foreningens privatlivspolitik.

Hvis en idrætsforening er organiseret som en hovedforening med flere tilhørende idrætsaktiviteter i selvstændige afdelinger, og hovedforeningen håndterer det centrale medlemsregister, hvor er dataansvaret placeret? Dette er et godt spørgsmål. Umiddelbart vurderer vi, at hovedforeningen og den enkelte afdeling er fælles dataansvarlige.
Det betyder, at dataansvaret er delt, og det skal nævnes i privatlivspolitikken, hvad hovedforeningen henholdsvis afdelingen behandler. Der skal ikke foreligge en databehandleraftale.

Hvis foreninger gør brug af et eksternt mailsystem, for eksempel fra leverandører som Gmail, Outlook og Hotmail med flere– agerer systemleverandøren da databehandler for foreningen? Google, Microsoft m.fl. vil være at betragte som databehandler.
Når en forening opretter erhvervs-emailkonti, skal foreningen dermed indgå databehandleraftaler med leverandøren. Herved tilgodeses datasikkerheden for den registrerede.

Databehandler

Hvordan finder vi ud af hvilke databehandlere, vi skal have en databe-handleraftale med? En forening skal dog indgå en databehandleraftale med alle dens databehandlere – det vil sige alle leverandører, der behandler data på vegne af foreningen.
Derimod skal der ikke indgås en databehandleraftale, hvis personoplysninger videregives til en dataansvarlig, der skal behandle oplysningerne til egne formål.
Med andre ord afhænger behovet for en databehandleraftale af den data-retlige konstruktion samt den ydelse, den pågældende systemleverandør leverer.

Hvad er klassiske eksempler på en databehandler? Enheder, der behandler personoplysninger på vegne af en dataansvarlig, er databehandlere
Eksempler på leverandører, der ofte vil agere databehandler for foreninger ved at behandle personoplysninger på vegne af foreningen, er:
Conventus, Holdsport, Klubmodul, ForeningLet, DanLøn, Dropbox, Google Drev og OneDrive m.fl.

Hvis vi opbevarer personoplysninger i ”skyen” ved brug af cloud-løsninger, skal vi så indgå en databehandleraftale med leverandøren? Hvis en leverandør hoster, dvs. drifter og opbevarer data for en dataansvarlig, er leverandøren databehandler, da hosting udgør en behandling efter forordningen.

Er der særlige forhold, som en forening skal være opmærksom på ved brug af Dropbox? Opbevarer en forening personoplysninger i Dropbox, er oplysningerne reelt lagret uden for EU, hvorfor særlige regler gør sig gældende.
For foreninger betyder dette, at Dropbox ikke er certificeret til at opbevare personoplysninger på foreningens ledere og trænere som følge af det ansættelseslignende forhold, der består mellem foreningen og dens ledere og trænere.

DGI anbefaler, at en forening ikke opbevarer nogen form for følsomme oplysninger i Dropbox. Foreningens brug af Dropbox bør derfor alene omfatte almindelige personoplysninger på foreningens medlemmer.

Er en kasserer/ekstern bogholder databehandler for foreningen? Hvis kassereren i foreningen er frivillig, er den pågældende ikke at betragte som databehandler, men derimod løser vedkommende blot opgaven i kraft af sit virke i foreningen.
Har foreningen i stedet købt sig til kassererfunktionen hos 3. part, for eksempel en erhvervsdrivende, er den pågældende databehandler, og i dette tilfælde skal parterne indgå en databehandleraftale.

Er det foreningens ansvar at tage kontakt til databehandleren, eller kan vi forvente, at de kontakter foreningen omkring denne aftale? Idrætsforeningen har som dataansvarlig - ifølge persondataforordningen - et ansvar for at indgå en databehandleraftale, der i øvrigt lever op til forordningens krav, med anvendte databehandlere.
Foreninger har derfor ansvar for at databehandleraftale forefindes og dermed initiativpligt til at sikre dette.
Mange databehandlere tager selv initiativ for at håndtere alle deres kunder ensartet og hjælpe disse, hvilket er helt ok. Det væsentlige er, at der forefindes en databehandleraftaler.

Hvis en forening retter henvendelse til Google, Dropbox eller lignende med henblik på at indgå en databehandleraftale, men de ikke svarer tilbage, hvad bør en forening da foretage sig? o En forenings benyttelse af it-systemer kan ikke anses for at være privat, men må i denne sammenhæng anses for at være ”erhvervsbrug”. Derfor skal en forening først og fremmest sikre sig, at de tilgår Dropboxs og Googles (databehandlerens) system gennem en erhvervsløsning, hvilket bør medføre, at der medfølger en standarddatabehandleraftale.
o Foreninger må have tålmodighed, og I kan næppe forvente, at disse aktører behandler henvendelser om databehandleraftaler individuelt. Har I ikke hørt fra sådanne databehandlere i kølevandet på forordningens ikrafttræden d. 25. maj 2018, bør I rette henvendelse til de pågældende.

Er e-Boks databehandler for idrætsforeninger? Der skal ikke indgås databehandleraftale med e-Boks, da e-Boks ikke modtager data direkte fra foreningen. Der består dermed ikke et forhold mellem en dataansvarlig og en databehandler.

Skal en forening ved brug af Mobilepay eller netbank indgå databehandleraftaler med leverandørerne? Der er tale om en videregivelse af oplysninger til bank eller MobilePay, som er nødvendig for gennemførelse af transaktionen og (bankens) senere dokumentation for, at betalingen/transaktionen er gennemført.
Derfor er der ikke behov for en databehandleraftale, da banken/MobilePay ikke age-rer som databehandler.

Hvorledes skal vi sikre os, at en databehandlers medkontrahent/underdatabehandler overholder loven? F.eks. hvis en forening benytter 'Klubmodul' som databehandler, og NETS benyttes i denne løsning til betaling. Skal ansvarsfordeling reguleres mellem Nets (underleverandør) og foreningen (dataansvarlig) eller Nets og Klubmodul (databehandler)?

Foreningen skal i sin databehandleraftale med Klubmodul fastlægge retningslinjerne for den databehandling, som databehandleren skal udføre på vegne af foreningen. I det omfang en databehandler, her Klubmodul, benytter sig af en underdatabehandler, som i eksemplet her NETS, er Klubmodul forpligtet til at sikre sig og ansvarlig for, at NETS behandler foreningens data efter samme vilkår som Klubmodul.

Skal foreningen lave databehandleraftale med forbund og organisationer, for eksempel DGI? I DGI-regi vil der være tale om videregivelse til en selvstændig dataansvarlig, da DGI behandler oplysningerne til egne formål. Hvad der gælder i andre sammenhænge, må afhænge af en konkret vurdering.

Hvor kan foreninger finde eksempler på databehandleraftaler til inspiration? Til inspiration kan foreninger læse bilag 3 til foreningsvejledningen, som er DGI’s eget udkast til en databehandleraftale.
Datatilsynet har også udarbejdet en standardskabelon til en databehandleraftale, man kan finde på deres hjemmeside. Sidst kan nævnes, at man kan gå ind på conventus.dk for at se, hvordan de har udarbejdet et eksempel på en databehandleraftale.

Kan en person uden for bestyrelsen blive anset som "databehandler", hvis vedkommende eksempelvis sørger for udsendelse af foreningsblad pr. mail? o Det må komme an på, hvad der menes med en ”person uden for bestyrelsen.” Hvis en træner eller for den sags skyld en træners kone frivilligt sørger for udsendelse af foreningsbladet eller står for bogføringen i foreningen, så er der ikke tale om brug af en ekstern databehandler, der påkræver en databehandleraftale. Det skyldes, at personen varetager opgaven som følge af sin personlige relation til foreningen.
o Modtager den pågældende derimod betaling for opgaven, uden at den pågældende samtidig har en anden privat relation til foreningen, bør foreningen indgå en databehandleraftale med den pågældende.

Hvis en forening benytter et firma, der har et tilmeldings- og tidstagningssystem ved afvikling af et løb, er firmaet så databehandler for foreningen? Ja, firmaet vil agere som databehandler for foreningen. Det er foreningen, der afholder løbet og dermed også har interesse i at foretage den tilmelding og tidstagning, som firmaet er behjælpelige med. Foreningen skal dermed indgå en databehandleraftale med firmaet.

Vi sender kontingentopkrævninger via Nets. Er de databehandler? Nej. Nets er her dataansvarlig. De behandler oplysningerne på egne vegne med henblik på at gennemføre en transaktion.

Hvorfor skal vi anvende erhvervsløsninger? Fordi private brugere ikke skal indgå databehandleraftaler. Derfor vil de fleste foretagender, der både tilbyder en privat- og en erhvervsløsning, ikke være sat op til eller motiveret for at indgå databehandleraftaler

Skal der indgås en databehandler aftale med hjemmeside-/domæneudbyder og foreningen, når medlemmer skal bruge hjemmeside som registreringsplatform? Ja. Udbyderen af hjemmeside opbevarer (hoster) data på vegne af foreningen, og derfor skal indgås behørig databehandleraftale.

Hvis en forening indgår aftale med fysioterapeut, om at denne skal føre logbog over skader på over skader på foreningens medlemmer, og logbogen alene deles mellem fysioterapeut og medlemm, hvem skal der laves en aftale mellem? Fysioterapeut og medlem? Eller fysioterapeut og forening?
Foreningen initierer databehandlingen, og den agerer derfor som dataansvarlig. Antaget at fysioterapeuten varetager opgaven gennem eget firma (og ikke gennem sin tilknytning til foreningen), så optræder fysioterapeuten som databehandler for foreningen, hvorfor parter skal fastsætte rammerne for databehandling i en databehandleraftale. Foreningen skal heri opstille retningslinjer for databehandlingen, ligesom de skal føre kontrol med, at databehandleren opfylder sine forpligtelser i henhold til persondataforordningen såvel som databehandleraftalen. Med andre ord skal foreningen som dataansvarlig påtage sig ansvaret. Den kan ikke uden videre blot overlade hele ansvaret til fysioterapeuten.

Personoplysninger

Må en forening vise resultater og tider fra et motionsløb på foreningens hjemmeside? Resultater kan vises på foreningens hjemmeside, men der bør ikke oplyses flere personoplysninger, end formålet tilsiger. Personoplysninger som navn og resultat er gangbart, men det bør fremgå af foreningens privatlivspolitik (som følge af foreningens oplysningsforpligtelse over for den registrerede), at navn og resultat bliver lagt op på foreningens hjemmeside.

Kan resultatlister være oplysninger af historisk værdi? Resultatlister er et godt eksempel på personoplysninger, der kan være af historisk værdi for en forening. En forening skal imidlertid overveje, hvad formålet er med at gemme oplysningerne, herunder tage stilling til hvorvidt alle resultater på resultatlisten er af historisk værdi for foreningen.

Hvordan opbevares våbenpåtegninger indeholdende CPR-nummer, der kommer i papirform fra politiet? Et aflåst lokale i en mappe? Når personoplysninger forefindes i fysisk form, for eksempel i papir og ringbind, skal de ligeledes opbevares sikkert, hvor de kun kan tilgås af de, som har behov for behandle og anvende data.
Er der tale om følsomme oplysninger og CPR-nummer, så bør disse oplysninger være aflåst.

Er en fødselsdato, (altså de første 6 cifre af CPR-nummer), en almindelig personoplysning? o Fødselsdato er at betragte som en almindelig personoplysning.
o CPR-nummer er derimod i en kategori for sig, men har det tilfælles med følsomme oplysninger og oplysninger om strafbare forhold, at de er tillagt en højere grad af beskyttelse.

Billeder

Skal foreningen indhente samtykke hos medlemmerne, inden vi uploader billeder, for eksempel på Facebook eller hjemmeside? o 1. Almindelige, harmløse billeder der kan offentliggøres uden samtykke.

Ved almindelige forstås billeder, der viser identificerbare personer, og ikke indeholder følsomme oplysninger, f.eks. skader eller oplysninger om strafbare forhold. Personer er identificerbare, hvis de kan genkendes, hvorfor det er uden betydning om der er knyttet navne eller lignende til billedet.
Ved harmløse forstås billeder, der ud fra almindelig sund fornuft ikke udstiller, udnytter eller krænker personen/personerne på billedet. Hvis der er børn/unge på billedet, skal man være særligt opmærksom på, om billedet er harmløst.

Disse almindelige, harmløse billeder kan ud fra en samlet interesseafvejning offentliggøres, såfremt foreningens interesse i at offentliggøre billedet overstiger personen på billedets interesse i, at billedet ikke bliver offentliggjort. Eksempler på lovlig offentliggørelse uden samtykke:
- Spillere under fodboldkamp.
- Tilskuere til en gymnastikopvisning.
- Holdbilleder.
- Børn til fastelavnsarrangement.

2. Billeder der kræver samtykke

Ved billeder der kræver samtykke forstås billeder, der ikke falder ind under punkt 1., altså billeder, der kan virke udstillende, udnyttende eller krænkende.
Eksempler herpå:
- Billeder fra omklædningsrum.
- Børn og unge i svømmehal.
- Billeder fra baren eller halfest.
- Billeder der viser skader på udøvere.
- Kommerciel brug.

Når personoplysninger, herunder billeder, uploades på Facebook, er der reelt tale om videregivelse af oplysninger til en tredjepart (Facebook). Derfor bør foreningens brug af Facebook beskrives i foreningens privatlivspolitik.

Må foreningen have et offentligt galleri på hjemmesiden med billeder fra flere år tilbage og hvor nogle af personerne måske ikke længere er medlem? Her er det oplagt at inddrage interesseafvejningsreglen.
Hvilken eller hvor tung interesse har vi som forening i, at vores nuværende medlemmer samt offentligheden kan gå tilbage og se flere gamle billeder?
Hvilken interesse har de pågældende på billedet derimod i, at billedet/billederne slettes?
Har foreningen en interesse i at kunne vise en historik, er det lovligt.

Skal man indhente samtykke, hvis man anvender profilbilleder af trænere på klubbens hjemmeside? Og gælder der særlige regler, når træenerne er under 18? Udgangspunktet er, at harmløse billeder, herunder et portrætbillede, kan offentliggøres på klubbens hjemmeside ud fra interesseafvejningsreglen. Det er imidlertid usikkert om interesseafvejningsreglen kan bære, at der offentliggøres billeder af medarbejdere. Datatilsynet har hidtil lagt den linje, at en sådan offentliggørelse, som udgangspunkt, kræver samtykke.
Den sikre løsning er derfor, at der indhentes samtykke fra træneren. Dette gælder også såfremt træneren er under 18 år.

Vi har brugt at udlevere et ark med portrætbilleder af vort hold, for at deltagerne bedre genkender hinanden. Er det tilladt? Ja, en sådan behandling af portrætbilleder kan ske ud fra en interesseafvejning.
En forening vil i almindelighed have en interesse i at udlevere ark med portrætbilleder af hold.
Der skal ved denne interesseafvejning tages højde for, om der for eksempel er børn i badetøj på holdbilledet, hvilket gør billedet mindre harmløst, end hvis der var tale om et holdbillede af et fodboldhold.

Gælder de samme regler for brug af foto på hjemmeside også for sociale medier - eller er der andet, man skal være opmærksom på der? Der er i begge situationer tale om en databehandling, der i vid udstrækning tjener samme formål.
Almindelige, harmløse billeder kan deles ud fra en interesseafvejning på hjemmeside såvel som sociale medier. Deling af billeder, der viser skadede udøvere eller lignende kræver samtykke.

Kan vi gemme kontaktinfo på tidligere medlemmer mhp. at invitere dem til jubilæum? Et eksempel: En forening skal holde 50 års jubilæum og ønsker at invitere gamle medlemmer: Kan vi med interesseafvejningsreglen argumentere for, at vi beholder navne og kontaktinfo med henblik på at invitere dem til jubilæum?

Svaret er ja. Det er datatilsynets opfattelse, at foreninger med interesseafvejningsreglen i hånden, kan opbevare medlemmers kontaktinformation med henblik på at invitere dem til foreningens jubilæum. Foreningens interesse i at kunne invitere tidligere medlemmer til jubilæum vejer derfor tungere end den registreredes privatliv.

Privatlivspolitik

Kan en landsorganisation udarbejde en fælles privatlivspolitik for alle tilknyttede lokalforeninger og efterfølgende lægge denne op på landsorganisationens hjemmeside? En landsorganisationen som DGI kan ikke udarbejde en fælles privatlivspolitik gældende for alle foreninger. Foreningen er dataansvarlig og skal derfor selv udforme sin privatlivspolitik.

Er der krav om, at foreningen udvælger en fysisk kontaktperson, eller er det tilstrækkeligt at henvise til foreningen? I en privatlivspolitik skal der angives kontaktoplysninger på hvem, der kan rettes henvendelse til vedrørende foreningens privatlivspolitik. Men der er ikke krav om, at der foreningen skal udvælge en fysisk kontaktperson. Det er tilstrækkeligt at henvise til, at alle henvendelser skal ske til foreningen, for eksempel ved at henvise til foreningens mailadresse.

Kan indholdet i en privatlivspolitik (bilag 1) være en del af handelsbetingelserne ved indmelding og betaling? Privatlivspolitikken skal være eksplicit og kan derfor ikke indeholdes i handelsbetingelserne. Derimod bør der ved indsamling af personoplysninger, herunder ved betaling og indmeldelse, henvises til privatlivspolitikken, så den fremstår lettilgængelig for den registrerede. Det kan for eksempel gøres ved, at linke til foreningens privatlivspolitik på samme måde, som foreningen henviser eller linker til foreningens handelsbetingelser.

Bør vi synliggøre foreningens privatlivspolitik på hjemmesiden? Bør det være nævnt i vedtægterne? Foreningens privatlivspolitik skal ikke nævnes i vedtægterne, men har foreningen en hjemmeside, bør den fremgå heraf på en sådan måde, at den er lettilgængelig for foreningens medlemmer, trænere og ledere.
Privatlivspolitikken bør ligesom foreningens vedtægter altid være lette at tilgå.
Privatlivspolitikken kan synliggøres ved at figurere i foreningens lokaler, i eventuelle selvbetjeningsløsninger eller ved fysisk udlevering f.eks. i forbindelse med et medlems indmeldelse i foreningen.

Skal adgangsarmbånd, for eksempel til fitnesscentre, nævnes i privatlivspolitikken? Hvad med indgang med fingertouch? Dette indebærer behandling af personoplysninger og udgør hermed et behandlingsformål, der skal nævnes i privatlivspolitikken.
Alternativt skal det fremgå af de medlemsvilkår, der fremsættes ved indmeldelse.

Kan vi som underafdeling i en større forening (paraplyforening) henvise til hovedforeningens privatlivspolitik? Det vigtigste er, at de registrerede får de oplysninger, som de efter persondataforordningen har krav på. Bliver det utilstrækkeligt eller upræcist for den registrerede, hvordan vedkommendes oplysninger bliver behandlet i en fælles privatlivspolitik, bør I formentlig overveje, om hver enkelt afdeling vil være bedre tjent med egen privatlivspolitik. Det korte svar er altså ja.

Samtykke

Hvad er samtykke? Et samtykke betyder, at foreningen behandler oplysninger om pågældende person (den registrerede) på grundlag af, at denne har givet lov til det. Af bevismæssige grunde bør et samtykke normalt være skriftligt, men det kan gives mundtligt eller underforstået. For at et samtykke er gyldigt, skal det være afgivet frivilligt, den pågældende skal være informeret om, hvad formålet samtykket drejer sig om, og det skal være klart, hvad der er givet samtykke til og til hvem, og at det altid kan trækkes tilbage.

Må personoplysninger kun behandles med samtykke? Nej. I langt de fleste situationer kan foreningen behandle personoplysninger uden samtykke, fordi der er et andet lovligt grundlag for at behandle oplysningerne. Andre lovlige grundlag kan være, at det følger af lovgivningen, eller at det er nødvendigt for at opfylde en kontrakt. Interesseafvejningsreglen er også et behandlingsrundlag, som foreningen meget ofte kan gøre brug af.
Det er derfor meget sjældent, at foreningen overhovedet har brug for at indhente samtykke.
Hvis foreningen kan behandle personoplysninger på andet grundlag end samtykke, bør der ikke indhentes samtykke. Der kan dog være nogle situationer, hvor der skal være samtykke. Det gælder f.eks. ved behandling af helbredsoplysninger, børneattest og CPR-nummer.

Kræver brug af billeder samtykke? Nej, normalt kan foreningen i kraft af interesseafvejningsreglen bruge billeder, og derfor kræves ikke samtykke. Det gælder harmløse billeder, der viser aktivitet under træning, kamp eller opvisning. Holdbilleder kræver heller ikke samtykke. Men hvis et billede skal bruges til direkte at markedsføre en sponsors produkter, så kræver det samtykke.

Kan børn og unge under 18 år selv give samtykke? Det beror på en konkret vurdering, om den pågældende er i stand til at overskue betydningen af at give samtykke. Men det er Datatilsynets praksis, at normalt kan unge, der er fyldt 15 år selv give samtykke, mens børn under 15 år ikke kan, så her er det en forælder (forældremyndighedsindehaver), der skal give samtykke.

Opbevaring i foreningen

Må man gemme holdlister og kontrakter med personlige oplysninger og lignende på ens private computer, eller skal det være en foreningscomputer? Der er ikke noget, der hedder SKAL. Forstået på den måde, at der ikke kun er én rigtig måde at gøre det på.
Men at behandle foreningens personoplysninger på en foreningscomputer beskyttet med password er en måde at gøre det på.
Med andre ord må man gerne, for eksempel i egenskab af bestyrelsesmedlem, opbevare de nødvendige oplysninger om medlemmerne på egen pc. Man bør dog sikre disse data bedst muligt, for eksempel gennem opdaterede antivirusprogrammer og et password til PC'en.

Mappen med børneattester må ikke stå frit fremme i klubhuset. Men må den opbevares privat, for eksempel hos kasseren? Det afgørende er ikke, hvor børneattesterne opbevares, men hvordan de opbevares. Dokumenter med særligt personfølsomme oplysninger, for eksempel børneattester, der jo indeholder CPR-nummer, bør ikke stå frit tilgængeligt i private hjem. De bør være opbevaret i et aflåst skab, da de kun bør kunne tilgås af de foreningsrelevante personer.
Ved digital behandling bør oplysningerne opbevares på en foreningsejet PC med adgang for meget få foreningspersoner.

Må vi i en Facebook-gruppe spørge til fødselsdato og år, telefonnummer og mail-adresse? Ud fra et persondataretligt perspektiv må det klart frarådes. Det er særligt af hensyn til, at en Facebookgruppe ofte angår flere, end hvem oplysninger direkte angår.
I stedet bør oplysninger for eksempel indsamles via mail kun være kendt for foreningen og det pågældende medlem, ligesom meddelelser indeholdende personoplysninger lettere kan slettes på behørig vis.

Er der lovgivning om, hvordan man indhenter personoplysninger? For eksempel via mail eller Facebook? o Persondataforordningen foreskriver ikke konkrete anvisninger for hvilke platforme eller it-systemer, man kan anvende, hvornår. Men den opstiller rammer for, hvordan personoplysninger kan behandles, herunder hvad angår indsamling.
o For eksempel må der ved indsamling af personoplysninger ikke må indsamles flere oplysninger end nødvendigt, at den registrerede oplyses om sine rettigheder og vilkår for behandlingen (ved henvisning til en privatlivspolitik), og at oplysningerne ikke skal kunne tilgås af flere, end hvad formålet tilsiger.
o Ved indsamling via Facebook skal man sikre sig, at oplysningerne ikke videregives til Facebook, da formålet ikke tilsiger dette. Det må generelt frarådes, at oplysninger indsamles via Facebook

Må vi kommunikere persondata på sms? Det vil selvfølgelig være OK at anvende SMS til praktisk kommunikation, herunder skrive meddelelser indeholdende enkelte, almindelige personoplysninger. Omfattende behandling af personoplysninger skal ikke ske via SMS, for eksempel bør medlemsregistreret ikke sendes rundt via SMS. Samtidig bør der på SMS hellere ikke ske kommunikation af personoplysninger, der er tillagt en højere grad af beskyttelse.

Kan en bestyrelse gøres ansvarlig, hvis et bestyrelsesmedlem uden bestyrelsens viden har personfølsomme oplysninger liggende? Foreningen har dataansvaret. Opbevarer et bestyrelsesmedlem oplysninger på en uhensigtsmæssig og uforsvarlig måde, og det skyldes, at foreningen som dataansvarlig ikke har ført fornøden fortegnelse og instruktion af det pågældende bestyrelsesmedlem, så vil foreningen efter omstændigheder kunne blive stillet til ansvar.

Er der noget vi skal være særligt opmærksom på, når når vi opbevarer data fra vores hold for børn med særlige behov, for eksempel ADHD og autisme? I behandler formodentlig en vis mængde følsomme oplysninger i form af helbredsoplysninger. Sådanne data påkræver samtykke og en øget it- og datasikkerhed.

Hvilke regler gælder for opbevaring af SKV-blanketter, f.eks. SKV6? SKV står for Skytteforeningernes Våbenregistrering. SKV-blanketterne indeholder CPR-nummer og våbenoplysninger, der skal behandles som særligt beskyttede oplysninger.

Er det i forhold til persondataforordningen ulovligt at føre logbog i en skytteforening? - Skytteforeninger er ved lov forpligtet til at føre logbog, da det følger af vores sikker-hedsbestemmelser, der har til formål at opfylde våbenbekendtgørelsens § 22, stk. 11. Det gælder både medlemmers brug af foreningens våden og prøveskytters brug af dis-se.
- Derfor er behandlingen af de oplysninger, der skal fremgå af logbogen, ikke i strid med persondataforordningen. Der er grundlag for behandlingen i 12 måneder. Kort efter denne periodes udløb skal dataene slettes.

Er det i forhold til den nye persondataforordning ulovligt at føre logbog i en skytteforening? o Skytteforeninger er ved lov forpligtet til at føre logbog, da det følger af vores sikkerhedsbestemmelser, der har til formål at opfylde våbenbekendtgørelsens § 22, stk. 11. Det gælder både medlemmers brug af foreningens våben og prøveskytters brug af disse.
o Derfor er behandlingen af de oplysninger, der skal fremgå af logbogen, ikke i strid med persondataforordningen. Der er grundlag for behandlingen i 12 måneder. Kort efter denne periodes udløb skal data slettes.

Er det lovligt at have børneattester liggende elektronisk i e-Boks? Så længe de tilgodeser et behandlingsformål kan børneattester ligge i en elektronisk e-Boks. Men som for alle andre foreningsanvendte it-systemer og programmer skal der ryddes op i foreningens data.

Må man give en forælder holdets medlemsliste, hvis for eksempel der skal samle ind til en gave? Og kan man bede om IKKE at komme på listen, der udleveres? o Det må man gerne. Listen må dog kun indeholde de data, der er nødvendige for løsning af opgaven og anden relevant kommunikation.
o Man kan som registreret altid anmode om sletning, men hvorvidt foreningen skal slette oplysningerne, beror på en interesseafvejning. Her vil en anmodning om sletning veje tungt.

Hvis de enkelte hold kommunikerer via Facebook-grupper, har foreningen så ansvar i dette? o Det må komme an på, om det er foreningen, der har oprettet gruppen og dermed også fungerer som administrator for gruppen. Er det tilfældet, bør foreningen udarbejde retningslinjer for brug af gruppen, herunder hvilke oplysninger, der må deles, ligesom foreningen bør opstille interne retningslinjer for, hvornår oplysninger i en sådan gruppe skal slettes igen.
o Foreningen bør sikre sig, at medlemmer ikke deler oplysninger, som foreningen ikke selv kan tillade sig at dele.

Må man bruge sin arbejdspc til foreningsarbejde? o Første spørgsmål må være – hvad siger arbejdsgiveren til dette? Dernæst, hvis arbejdsgiverens sikkerhedspolitik ikke stemmer overens med foreningens, kan her være et problem. Samtidig bør det som minimum sikres, at din arbejdsgiver eller andre kolleger ikke herved har adgang til foreningens data.
o Kan man efterleve foreningens sikkerheds- og slettepolitik på tilfredsstillende vis på denne måde, så vil der formentlig ikke være noget i vejen for denne løsning rent dataretligt.

Kræver det samtykke at hænge medlemslister op i klublokalet eller skal det bare stå i privatlivspolitikken? Ofte vil et klublokale i en vis udstrækning være tilgængeligt for offentligheden, og i disse tilfælde vil en forening ikke kunne hænge en medlemsliste op alene med henvisning til, at der er oplyst herom i foreningens privatlivspolitik.
Vi vurderer, at det kan tillades ved samtykke, men vi kan ikke anbefale det, da vi ikke kan se, at det tilgodeser et nyttigt formål

Må løn til trænere behandles fra en privat PC med arkivering af timesedler på privat drev eller i Hotmail? o Retningslinjerne for brug af privat PC bør fastsættes af foreningen. Det bør så vidt muligt søges undgået, at omfattende databehandling sker på en privat PC. Det samme gælder for brug af privat mail. Hvad angår brug af privat drev, så har man her ikke mulighed for at indgå den fornødne databehandleraftale. Så medmindre den omtalte arkivering er minimal, bør foreningen tilgå en erhvervsløsning hos udbyderen af drevløsningen.

”Er det lovligt at lægge en liste over medlemmer, der har betalt kontingent, op på foreningens hjemmeside? Det vil være problematisk at lægge navne på medlemmer, der har betalt kontingent på hjemmesiden. Derved fortæller man indirekte, hvem som mangler kontingentindbetaling. Kontingent - og evt. restancer - er et anliggende mellem den enkelte forening og medlemmet. Her vil hensynet til det enkelte medlem veje tungt. Så det vil være ulovligt.

Sletning

Hvornår har medlemsoplysninger historisk værdi? Almindelige personoplysninger kan i udgangspunktet gemmes, når de har historisk værdi. Hvornår samt hvilke oplysninger, der har historisk værdi, må afgøres konkret ud fra en den enkelte forenings traditioner. Her tænkes særligt på resultater, bedrifter og ledervirke i foreningen.

Man kan gemme oplysninger på tidligere medlemmer af statistiske årsager. Hvad kræves angående anonymisering? Man må ikke behandle flere personoplysninger, end formålet tilsiger. Ønsker man i en forening at føre statistik over hvor mange mænd og kvinder, der er blandt foreningens aktive, er der ikke behov for at gemme navne (og/eller adresse for den sags skyld). Forenningen kan nøjes med alene at gemme oplysning om vedkommendes køn.

Er det ikke modstridende, at historiske oplysninger skal gemmes så længe, at de har historisk karakter, men at medlemsoplysninger skal slettes i udmeldelelsesår + 3 år? Nej. Så længe foreningen af andre årsager kan gemme oplysninger i op til udmeldelelsesår + 3 år, så er der ingen grund til at overveje deres historiske værdi. De medlemsoplysninger, der herefter anses for at have en historisk værdi, kan i udgangspunktet forsat gemmes.

Hvilke regler er der i forhold til at gemme medlemsdata af statistiske hensyn, altså alder, køn og bopæl? Se ovennævnte svar. Det er imidlertid klart, at man ikke uden videre kan gemme alle foreningens oplysninger med henvisning til, at det gavner statistiske eller historiske formål.
At opbevare personoplysninger af hensyn til, at de har en historisk eller statistisk værdi for forening, er en berettiget interesse fra foreningens side, der kan indgå i en interesseafvejning.
Det vil sige, hvis et medlem for eksempel forlanger oplysninger af historisk eller statistisk værdi slettet, må man foretage en afvejning af interesserne hos foreningen på den ene side og det pågældende medlem på den anden.

Er det ok at have en medlemsliste på klubbens hjemmeside, hvor det enkelte medlem selv, via vedkommendes profil, kan vælge om de vil vises på listen? Medlemslisten kan kun lægges offentlig tilgængelig på hjemmesiden med samtykke fra den enkelte. Der skal altid være en adgang til, at et samtykke kan tilbagekaldes. Her er en selvbetjeningsløsning, som den beskrevne fin.

Hvordan forholder vi os til slettefrister i forhold til mails? - og hvordan styrer vi personoplysninger, som er sendt eller modtaget mellem udvalgsmedlemmer og trænere? Eller trænere, som sender deres CPR-nummer, så foreningen kan indhente børneattester?

Det er svært at kontrollere, men I kan vedtage retningslinjer og slette-politiker for mails af denne type.
Hvis en træner har sendt sit CPR-nummer, så har foreningen ansvar for, at CPR-nummeret ikke flyder i foreningens indbakke eller registre, men træneren har selv et ansvar for, hvordan oplysninger figurerer i vedkommendes egne systemer.

Oftest bruger betyrelsesmedlemmer og trænere i foreninger egne mailadresser. Vil det give et problem? Det kan give et problem i det omfang, at de pågældende ledere og trænere vil have sværere ved at administrere meddelelser indeholdende personoplysninger og hermed også have sværere ved at overholde foreningens generelle politik for databehandling, herunder foreningens slettepolitik.

Brugen af egne mailadresser forudsætter derfor, at ledere og trænere er bevidste om foreningens regler for behandling af personoplysninger.

Det anbefales, at en omfattende behandling af personoplysninger, for eksempel hele medlemsregisteret, CPR-nummer, børneattester og følsomme oplysninger alene sker ved brug foreningsmail. Det skyldes forordningens krav om datasikkerhed.

Kan vi gemme kontaktinfo på tidligere medlemmer med henblik på at invitere dem til foreningens jubilæum? Eksempel: En forening skal holde 50 års jubilæum og ønsker i den forbindelse at invitere gamle medlemmer. Kan vi med interesseafvejningsreglen argumentere for, at vi beholder navne og kontaktinfo med henblik på at invitere dem til jubilæum?

Svaret er, at det er at strække interesseafvejningsreglen for langt. Hensynet til den registreredes privatliv vejer simpelthen for tungt i forhold til foreningens interesse i at afholde et jubilæum. Det vil kræve samtykke.

Er mails omfattet af persondataforordningen, så alle mails med et medlem skal slettes ved udmeldelse? Ja. Mails, der indeholder medlemsoplysninger, skal slettes, når der ikke længere er et formål med at have dem liggende.

Hvis vi anvender et IT-system, der ikke kan slette personoplysninger, men alene inaktivere profiler på tidligere medlemmer, vil det så være tilstrækkeligt? Nej, ikke hvis det er eneste mulighed. Derimod kan det som led i en proces, der ender med sletning, være OK.

Må man gemme gamle kampprogrammer i klublokalet? Eksempel: Vi har kampprogram fra hjemmestævner for 30 år siden liggende i vores klublokale. I disse kampprogrammer er alle trænernes navn og kontaktoplysninger nævnt. Hvad gælder for disse kampprogrammer?
Svaret er, at det første spørgsmål foreningen bør stille sig selv, er til hvilke formål gemmes disse kampprogrammer? Er foreningen af den opfattelse, at de har en historisk værdi foreningen, så er det lovligt og skal fremgå af foreningens privatlivspolitik.

Historik og sletning: Hvad gør man med billeder fra tidligere arrangementer på hjemmesiden? Man må gerne have billeder fra tidligere arrangementer liggende på hjemmesiden, men man bør gøre sig nogle overvejelser om, hvad formålet er med at vise billederne, og hvornår billederne ikke længere tjener til opfyldelse af det pågældende formål.
Billederne skal tages ned og slettes fra foreningens registre, når de ikke længere tjener til opfyldelse at et legitimt formål, men meget kan gemmes ud fra ønsket om bevaring af historik.

Hvilke regler gælder for sletning af data på instruktører og trænere, der får omkostningsgodtgørelse? I forhold til slettefrister skelnes mellem lønnede og ulønnede.
Hvis der er en kontrakt med den ulønnede, som får omkostningsgodtgørelse, må kontrakten behandles på samme måde som for lønnede. Det vil sige, at kontrakten kan gemmes i udmeldelsesåret + 5 år.
Af hensyn til dokumentation vil foreningen i henhold til lov om forældelse af fordringer (pengekrav) have en berettiget interesse i at gemme kontrakten for den nævnte periode. Spørgsmålet er dog ikke afklaret i praksis.

Hvor længe må vi have situationsbilleder på vores hjemmeside? o Så længe I har en berettiget interesse i at gemme dem. Det må variere alt efter, til hvilket formål billedet er gemt.
o Der er dermed ikke nogen eksakt grænse for, hvor længe man må vise situationsbilleder på hjemmesiden. Man bør dog overveje, at fjerne billedet, når alle, der medvirker i billedet har forladt klubben. Alternativt skal foreningen kunne argumentere for billedets historiske værdi.

Risiko og sanktion

Hvad er risikoen ved ikke at være klar den 25. maj 2018? Det er ikke DGI´s opfattelse, at der umiddelbart er risiko for nogen bødesanktioner over for den enkelte forening, hvis den ikke er helt klar til den 25. maj.
Forordningens krav gælder fra denne dato, men i praksis må det forventes, at Datatilsynet har forståelse for, hvis foreningen er i god gang med at implementere reglerne, men ikke er nået helt i mål.

Hvilket juridisk ansvar og økonomisk risiko har den dataansvarlige? Det er DGI's opfattelse, at der er en meget begrænset risiko for, at den enkelte forening vil blive pålagt bøder. Vi kan dog ikke udelukke, at der vil blive rejst erstatningskrav fra personer, hvis oplysninger ikke behandles korrekt.

Er bestyrelsesmedlemmer personligt ansvarlige, eller er det kun foreningen, som straffes? Foreningen er dataansvarlig, og dermed er det også foreningen, der efter reglerne vil kunne blive pålagt en bøde.

Kommunikation

Kræver det samtykke, hvis en forening vil udsende nyhedsbreve til sine medlemmer? • En forening har lov til uden samtykke at kommunikere via e-mail med sine medlemmer. Det gælder information om konkrete aktiviteter, herunder træningstider, aflysninger og lignende. Men det gælder også nyhedsbreve med mere generelle oplysninger om foreningen og dens aktiviteter.
• Såfremt nyhedsbrevene har et kommercielt indhold, kræver det derimod samtykke fra medlemmerne. Det kan for eksempel være reklamer og tilbud fra sponsorer.
• Derfor kan foreningen selvfølgelig selv beslutte, at den kun vil sende nyhedsbreve til medlemmer, der har givet samtykke. Sådan en opbygning forhindrer naturligvis ikke anden relevant medlemsinformation som oplysning om træningsaflysning og indkaldelse til medlemsmøde eller generalforsamling.

Hvilken information fra foreningen kan medlemmer frabede sig? • Medlemmer kan ikke frabede sig at modtage relevant medlemsinformation som for eksempel oplysning om aflysning af træning og indkaldelse til medlemsmøde eller generalforsamling. Denne basiskommunikation må anses for at være en forudsætning for medlemskab.

Privatlivspolitik Cookiepolitik English