GDPR for idræts­foreninger og foreninger: Hvad skal du egentlig være opmærksom på?

GDPR gælder ikke kun for store virksomheder. Også din idrætsforening og din forening behandler personoplysninger — navne, adresser, telefonnumre, e-mailadresser, betalingsoplysninger og helbredsoplysninger. Det betyder, at I er underlagt de samme databeskyttelsesregler som alle andre.

Heldigvis behøver du ikke en jurist for at overholde reglerne. I denne artikel giver vi dig et praktisk overblik over, hvad GDPR betyder for idrætsforeninger og foreninger, og hvad du konkret skal gøre.

Rubic er GDPR-sikkert og drives i Norge — læs mere om sikkerhed →

Hvad er GDPR — kort fortalt?

GDPR (General Data Protection Regulation) er EU's databeskyttelsesforordning, som også gælder i Norge gennem personopplysningsloven (den norske persondatalov). Reglerne giver enkeltpersoner rettigheder over deres egne data og pålægger organisationer forpligtelser, når de indsamler og bruger personoplysninger.

For en idrætsforening eller en forening betyder det i praksis:

• Du skal vide, hvilke personoplysninger I indsamler
• Du skal have et lovligt grundlag for at behandle dem
• Du skal opbevare dem sikkert
• Du skal kunne slette dem, når der ikke længere er brug for dem

Hvilke personoplysninger behandler en idrætsforening?

Flere, end du måske tror:

Medlemsdata: Navn, fødselsdato, adresse, telefon, e-mail, medlemsnummer.

Betalingsoplysninger: Kontingentbetalinger, fakturadata, Vipps-transaktioner, kontonummer.

Aktivitetsdata: Fremmøde til træning, kampresultater, gruppetilhørsforhold.

Helbredsoplysninger: Allergier, skader, medicinske oplysninger — især for børn. Det er »særlige kategorier« af personoplysninger med ekstra strenge krav.

Billeder og video: Kampbilleder, holdbilleder, indhold på sociale medier.

Frivilligdata: Kontaktoplysninger, tilgængelighed, vagthistorik.

De vigtigste GDPR-forpligtelser for din klub

1. Hav en privatlivspolitik

I skal informere medlemmerne om, hvordan deres personoplysninger bruges. Lav en enkel privatlivspolitik, der forklarer:

• Hvilke oplysninger I indsamler
• Hvorfor I indsamler dem (formålet)
• Hvem der har adgang
• Hvor længe I opbevarer dem
• Hvordan man kan anmode om indsigt, berigtigelse eller sletning

Den bør være tilgængelig på klubbens hjemmeside og henvises til ved indmeldelse.

2. Hav et lovligt behandlingsgrundlag

For hvert formål, I behandler data til, har I brug for et lovligt grundlag. De mest almindelige for idrætsforeninger:

• Aftale: Medlemskabet er en aftale — I har brug for persondata for at administrere det.
• Legitim interesse: At sende træningsindkaldelser til aktive medlemmer er en naturlig del af formålet.
• Samtykke: Til markedsføring, offentliggørelse af billeder og helbredsoplysninger har I brug for aktivt samtykke.

3. Indsaml ikke mere end nødvendigt

Indsaml kun de oplysninger, I faktisk har brug for. Har I brug for personnummer? Sandsynligvis ikke. Har I brug for fødselsdato? Ja, til aldersklasser. Tænk hvert felt i indmeldelsesformularen igennem.

4. Opbevar data sikkert

Personoplysninger skal beskyttes mod uautoriseret adgang. Konkret betyder det:

• Opbevar ikke medlemslister i åbne Google Docs eller delte Excel-filer
• Begræns, hvem der har adgang til administrationssystemet
• Brug stærke adgangskoder og helst totrinsgodkendelse
• Vælg et system, der er GDPR-sikkert og drives i overensstemmelse med norske krav

Over 500 organisationer bruger Rubic, som er GDPR-sikkert og drives i Norge.

5. Slet data, der ikke længere er brug for

Når et medlem melder sig ud, har I ikke længere grundlag for at beholde alle oplysninger. Bokføringsloven (den norske bogføringslov) kræver, at bilag opbevares i fem år efter regnskabsårets afslutning, men kontaktoplysninger for inaktive medlemmer bør slettes — eller i det mindste anonymiseres — efter en rimelig periode.

6. Hav en databehandleraftale med leverandører

Bruger I et administrationssystem, en e-mailtjeneste eller anden software, der håndterer medlemsdata? Så skal der foreligge en databehandleraftale (DPA) mellem klubben og leverandøren. Den regulerer, hvordan leverandøren behandler data på jeres vegne.

Tjek, at din leverandør har det på plads. En seriøs leverandør tilbyder det som standard.

Billeder af børn — hvad siger reglerne?

Et almindeligt spørgsmål: Må vi lægge holdbilleder og kampbilleder af børn ud? Svaret er: Ja, men med forbehold.

• Indhent samtykke fra forældrene, helst ved indmeldelsen
• Giv mulighed for at trække samtykket tilbage
• Offentliggør ikke billeder, der kan opleves som krænkende eller identificerer børn i sårbare situationer
• Vær særligt varsom med billeder fra svømmehaller, og offentliggør aldrig billeder fra omklædningsrum

Et godt administrationssystem lader dig gemme samtykkestatus pr. medlem, så du altid ved, hvem der har sagt ja — og hvem der ikke har.

GDPR-tjekliste for idræts­foreningen

Brug denne liste som udgangspunkt:

1. Har I en privatlivspolitik på hjemmesiden?
2. Ved I, hvilke personoplysninger I indsamler — og hvorfor?
3. Opbevares medlemsdata i et sikkert system (ikke åbne regneark)?
4. Har I databehandleraftaler med alle leverandører, der håndterer data?
5. Har I rutiner for at slette data om tidligere medlemmer?
6. Indhenter I samtykke til offentliggørelse af billeder?
7. Har I begrænset adgangen — er det kun dem, der har brug for det, der har adgang?

Vælg et system, der tager databeskyttelse alvorligt

Det nemmeste, du kan gøre for at forbedre databeskyttelsen i klubben, er at gå væk fra løse regneark, e-mailtråde og delte mapper — og over til et system, der er bygget med databeskyttelse i bunden.

Rubic er GDPR-sikkert, drives i Norge og leverer databehandleraftale som standard. Adgangsstyring, sletning og samtykkehåndtering er indbygget.

Book en gratis demo → rubic.no/demo