Er jeres erhvervsnetværks medlemsliste GDPR-sikker?

Annonce – sponsoreret indhold.

Spørgsmålet om GDPR, erhvervsnetværk og medlemsliste har et kort svar: Det er ikke ulovligt at have en medlemsliste, men hvis den ligger i et Excel-ark på formandens computer, i en Facebook-gruppe eller i en mailingliste, som ingen har opdateret i årevis, er netværket sandsynligvis ikke compliant. GDPR kræver, at I kan dokumentere, hvorfor I behandler oplysningerne, hvem der har adgang, og hvornår de slettes. Det er som regel dokumentationen og overblikket, der mangler, ikke den gode vilje.

GDPR og erhvervsnetværkets medlemsliste: hvilke persondata håndterer I egentlig?

Mange tror, at oplysninger om virksomheder ikke er persondata. Det passer kun delvist. Et CVR-nummer og et firmanavn er ikke personoplysninger, men det er navnet på kontaktpersonen, direkte mobilnummer, personlig mailadresse og titel. For en enkeltmandsvirksomhed er ejeren og virksomheden i praksis samme person. Et typisk erhvervsnetværk behandler:

• Kontaktoplysninger: navne, telefonnumre, mailadresser og stillingsbetegnelser.
• Virksomhedsprofiler: beskrivelser, logoer og portrætfotos af medlemmerne.
• Mødedeltagelse: hvem der er tilmeldt, har meldt afbud eller udebliver igen og igen.
• Økonomi: kontingent, fakturaoplysninger og sponsoraftaler.
• Leads og introduktioner: hvem der har anbefalet hvem til hvilke opgaver.
• Særlige forhold ved arrangementer: kostønsker og allergier kan i nogle tilfælde afsløre helbredsforhold eller religion, som GDPR behandler som følsomme oplysninger.

Netværket er som udgangspunkt dataansvarlig. Ansvaret ligger hos foreningen eller netværket, og i praksis er det bestyrelsen, der skal kunne svare, hvis Datatilsynet eller et medlem spørger.

Hvorfor er Excel, Facebook-grupper og mailinglister en risiko?

Værktøjerne er ikke forbudte, men de er bygget til noget andet end at styre persondata. Derfor vælger flere netværk i stedet en samlet erhvervsnetværk software, hvor medlemsdata, mødetilmeldinger og leads ligger ét sted med styret adgang. Problemerne med de spredte løsninger falder i tre grupper.

Behandlingsgrundlag og samtykke bliver uklart

Mange tror, at alt kræver samtykke. Det gør det ikke. Oplysninger, som er nødvendige for medlemskabet, kan ofte behandles på et andet grundlag, fx aftalen med medlemmet eller netværkets legitime interesse. Samtykke er derimod relevant til fx billeder på hjemmesiden, nyhedsbreve eller videregivelse til eksterne. Problemet i en Facebook-gruppe er, at ingen har defineret grundlaget. Den, der tilføjer et medlem til gruppen eller en mailingliste, har sjældent spurgt, hvad vedkommende ønsker delt.

Dataminimering forsvinder i kopierne

Princippet om dataminimering betyder, at I kun må indsamle de oplysninger, I har brug for. Et regneark vokser typisk med kolonner for fødselsdato, privatadresse, noter om medlemmets personlighed eller gamle mailtråde. Og det findes sjældent i én udgave. Det sendes som vedhæftning, gemmes på private computere og ligger i downloadmapper hos tidligere bestyrelsesmedlemmer.

Sletning er næsten umulig at dokumentere

Medlemmer kan bede om indsigt i og sletning af deres oplysninger. Hvis data findes i et Excel-ark, tre mailtråde, en Facebook-gruppe og en kasserers lokale mappe, kan I ikke garantere, at alt er fjernet. Det samme gælder opbevaringsbegrænsning: Oplysninger skal ikke gemmes længere, end formålet kræver.

Hvordan dokumenterer I samtykke og behandlingsgrundlag?

GDPR bygger på ansvarlighed: Det er ikke nok at gøre det rigtige, I skal kunne vise det. Disse pejlemærker gør dokumentationen konkret:

1. Kortlæg hvert formål. Skriv ned, hvorfor I har medlemsliste, deltagerlister, leadlog og mailudsendelser, og hvilket behandlingsgrundlag der gælder for hver.
2. Informér ved indmeldelse. Medlemmet skal vide, hvad der registreres, hvem der ser det, og hvor længe det gemmes. En kort privatlivspolitik og en henvisning i indmeldelsesprocessen er et godt udgangspunkt.
3. Gør samtykke aktivt og specifikt. Hvor samtykke er nødvendigt, fx til foto eller deling af profil med alle medlemmer, skal det være frivilligt og kunne trækkes tilbage. Foruddefinerede afkrydsninger duer ikke.
4. Gem beviset. Notér hvem der har givet samtykke, hvornår, og hvad der blev givet samtykke til.
5. Før en fortegnelse. Selvom mindre organisationer kan være delvist fritaget, behandler et netværk typisk data løbende, og så er en simpel oversigt over jeres behandlinger i praksis nødvendig.

Husk også, at markedsføringsmails følger markedsføringsloven ud over GDPR. At nogen står på medlemslisten, giver ikke automatisk lov til at sende kommercielle udsendelser fra eksterne samarbejdspartnere.

Hvem må have adgang til netværkets medlemsdata?

Princippet er, at den enkelte kun skal have adgang til det, vedkommende har brug for. Kassereren har brug for faktureringsoplysninger, men ikke nødvendigvis notater om leads. Almindelige medlemmer skal kunne finde hinandens firmanavn og kontaktperson, men behøver ikke se hinandens betalingsstatus eller fraværshistorik.

Gå igennem disse punkter:

• Adgangsliste: Hvem i bestyrelsen, sekretariatet og blandt frivillige kan åbne hvilke filer eller systemer?
• Personlige konti: Delte logins gør det umuligt at se, hvem der har gjort hvad.
• Fratrædelse: Når et bestyrelsesmedlem stopper, skal adgangen lukkes, og lokale kopier slettes.
• Databehandlere: Bruger I et eksternt system, mailværktøj eller bogholderi, skal der være en databehandleraftale, og I bør vide, hvor data opbevares.
• Nye værktøjer: Hvis nogen kopierer medlemslisten ind i et AI-værktøj for at lave en invitation, er det en videregivelse. Læs mere om risikoen i Er ChatGPT GDPR-sikker når du bruger den til arbejde.

Et dedikeret system med rolleopdelt adgang gør denne styring lettere, fordi bestyrelse, sekretariat og medlemmer kan få forskellige rettigheder, og fordi der kun findes én kilde til data. Husk dog, at software ikke i sig selv gør jer compliant. Spørg leverandøren om databehandleraftale, hosting og sikkerhed, og vurdér svarene.

Hvad gør I med udmeldte medlemmer?

Her opstår de fleste utilsigtede overtrædelser, fordi ingen føler ansvar for dem, der er gået. Når formålet med behandlingen ophører, skal oplysningerne som udgangspunkt slettes eller anonymiseres. Der er nuancer:

• Regnskabsmateriale: Bogføringsreglerne kræver, at bilag og betalingsoplysninger opbevares i en periode. Her er det lovkravet, der afgør, hvad I må og skal gemme, ikke medlemmets ønske. Tjek gældende regler hos Erhvervsstyrelsen eller revisor.
• Alt andet: Profil, kontaktoplysninger, noter, deltagerhistorik og billeder bør fjernes, medmindre der er et konkret, dokumenteret formål.
• Kommunikationskanaler: Fjern personen fra mailinglister, Facebook-gruppe, messenger-grupper og eventuelle delte kalendere.
• Tidsfrist: Fastsæt en intern regel, fx at udmeldte medlemmers oplysninger gennemgås efter en bestemt periode, og skriv den i privatlivspolitikken.

Besvar også indsigtsanmodninger rettidigt. Medlemmer kan spørge, hvilke oplysninger I har om dem, og her ser man hurtigt, om netværket har overblik.

Hvad bør bestyrelsen konkret tjekke i dag?

Brug et bestyrelsesmøde på denne gennemgang. Det tager ikke lang tid, men afslører ofte de største huller:

1. Hvor ligger medlemsoplysninger henne (filer, grupper, mailinglister, private enheder), og hvor mange kopier findes?
2. Er behandlingsgrundlaget for hvert formål skrevet ned?
3. Får nye medlemmer information om, hvad der registreres og hvorfor?
4. Kan I dokumentere samtykke, hvor I har brug for det?
5. Har kun de nødvendige personer adgang, og har alle personlige logins?
6. Findes der databehandleraftaler med alle eksterne leverandører?
7. Er der en fast procedure for sletning af udmeldte medlemmer og for adgangsstyring, når bestyrelsen skifter?
8. Ved alle, hvad de skal gøre ved brud på datasikkerheden, fx en forkert afsendt mail med medlemsliste? Brud skal i visse tilfælde anmeldes til Datatilsynet inden for 72 timer.

Kan I ikke svare på flere af punkterne, er det et tegn på, at netværkets medlemshåndtering bør samles. Det sparer også tid, fordi bestyrelsen undgår at vedligeholde de samme oplysninger flere steder. Datatilsynet har vejledninger til foreninger, og er I i tvivl om jeres konkrete situation, bør I få rådgivning fra en jurist med erfaring i databeskyttelse.