GDPR gäller även för idrottsföreningar och föreningar. Här är en praktisk guide till vad du måste tänka på när du behandlar personuppgifter.
GDPR gäller inte bara för stora företag. Även din idrottsförening och din förening behandlar personuppgifter — namn, adresser, telefonnummer, e-postadresser, betalningsuppgifter och hälsouppgifter. Det innebär att ni omfattas av samma dataskyddsregler som alla andra.
Som tur är behöver du ingen jurist för att följa reglerna. I den här artikeln ger vi dig en praktisk översikt över vad GDPR innebär för idrottsföreningar och föreningar, och vad du konkret måste göra.
Rubic är GDPR-säkert och driftas i Norge — läs mer om säkerhet →
Vad är GDPR — i korthet?
GDPR (General Data Protection Regulation) är EU:s dataskyddsförordning, som även gäller i Norge genom personopplysningsloven (den norska personuppgiftslagen). Reglerna ger enskilda personer rättigheter över sina egna uppgifter och ålägger organisationer skyldigheter när de samlar in och använder personuppgifter.
För en idrottsförening eller en förening innebär det i praktiken:
- Du måste veta vilka personuppgifter ni samlar in
- Du måste ha en laglig grund för att behandla dem
- Du måste förvara dem säkert
- Du måste kunna radera dem när de inte längre behövs
Vilka personuppgifter behandlar en idrottsförening?
Fler än du kanske tror:
Medlemsuppgifter: Namn, födelsedatum, adress, telefon, e-post, medlemsnummer.
Betalningsuppgifter: Betalningar av medlemsavgifter, fakturauppgifter, Vipps-transaktioner, kontonummer.
Aktivitetsuppgifter: Närvaro på träningar, matchresultat, grupptillhörighet.
Hälsouppgifter: Allergier, skador, medicinsk information — särskilt för barn. Detta är ”särskilda kategorier” av personuppgifter med extra stränga krav.
Bilder och video: Matchbilder, lagbilder, innehåll i sociala medier.
Volontäruppgifter: Kontaktuppgifter, tillgänglighet, passhistorik.
De viktigaste GDPR-skyldigheterna för din klubb
1. Ha en integritetspolicy
Ni måste informera medlemmarna om hur deras personuppgifter används. Ta fram en enkel integritetspolicy som förklarar:
- Vilka uppgifter ni samlar in
- Varför ni samlar in dem (ändamålet)
- Vem som har åtkomst
- Hur länge ni sparar dem
- Hur man kan begära tillgång, rättelse eller radering
Den bör finnas tillgänglig på klubbens webbplats och hänvisas till vid inträdet.
2. Ha en laglig grund för behandlingen
För varje ändamål ni behandlar uppgifter för behöver ni en laglig grund. De vanligaste för idrottsföreningar:
- Avtal: Medlemskapet är ett avtal — ni behöver personuppgifter för att administrera det.
- Berättigat intresse: Att skicka träningskallelser till aktiva medlemmar är en naturlig del av ändamålet.
- Samtycke: För marknadsföring, publicering av bilder och hälsouppgifter behöver ni aktivt samtycke.
3. Samla inte in mer än nödvändigt
Samla bara in uppgifter som ni faktiskt behöver. Behöver ni personnummer? Förmodligen inte. Behöver ni födelsedatum? Ja, för åldersklasser. Tänk igenom varje fält i inträdesformuläret.
4. Förvara uppgifter säkert
Personuppgifter ska skyddas mot obehörig åtkomst. Konkret innebär det:
- Förvara inte medlemslistor i öppna Google Docs eller delade Excel-filer
- Begränsa vem som har åtkomst till administrationssystemet
- Använd starka lösenord och helst tvåfaktorsautentisering
- Välj ett system som är GDPR-säkert och driftas i enlighet med norska krav
Över 500 organisationer använder Rubic, som är GDPR-säkert och driftas i Norge.
5. Radera uppgifter som inte längre behövs
När en medlem går ur har ni inte längre grund för att behålla all information. Bokføringsloven (den norska bokföringslagen) kräver att verifikationer sparas i fem år efter räkenskapsårets slut, men kontaktuppgifter för inaktiva medlemmar bör raderas — eller åtminstone anonymiseras — efter en rimlig period.
6. Ha ett personuppgiftsbiträdesavtal med leverantörer
Använder ni ett administrationssystem, en e-posttjänst eller annan programvara som hanterar medlemsuppgifter? Då ska det finnas ett personuppgiftsbiträdesavtal (DPA) mellan klubben och leverantören. Det reglerar hur leverantören behandlar uppgifter för er räkning.
Kontrollera att din leverantör har detta på plats. En seriös leverantör erbjuder det som standard.
Bilder på barn — vad säger reglerna?
En vanlig fråga: Får vi lägga ut lagbilder och matchbilder på barn? Svaret är: Ja, men med förbehåll.
- Inhämta samtycke från vårdnadshavare, helst vid inträdet
- Ge möjlighet att återkalla samtycket
- Publicera inte bilder som kan upplevas som kränkande eller som identifierar barn i sårbara situationer
- Var särskilt försiktig med bilder från simhallar, och publicera aldrig bilder från omklädningsrum
Ett bra administrationssystem låter dig spara samtyckesstatus per medlem, så att du alltid vet vem som har sagt ja — och vem som inte har gjort det.
GDPR-checklista för idrottsföreningen
Använd den här listan som utgångspunkt:
- Har ni en integritetspolicy på webbplatsen?
- Vet ni vilka personuppgifter ni samlar in — och varför?
- Förvaras medlemsuppgifterna i ett säkert system (inte öppna kalkylark)?
- Har ni personuppgiftsbiträdesavtal med alla leverantörer som hanterar uppgifter?
- Har ni rutiner för att radera uppgifter om tidigare medlemmar?
- Inhämtar ni samtycke för publicering av bilder?
- Har ni begränsat åtkomsten — är det bara de som behöver det som har åtkomst?
Välj ett system som tar dataskydd på allvar
Det enklaste du kan göra för att förbättra dataskyddet i klubben är att gå ifrån lösa kalkylark, e-posttrådar och delade mappar — och över till ett system som är byggt med dataskydd i grunden.
Rubic är GDPR-säkert, driftas i Norge och levererar personuppgiftsbiträdesavtal som standard. Behörighetsstyrning, radering och samtyckeshantering är inbyggt.
Boka en gratis demo → rubic.no/demo