Medlemskartotek og GDPR: hvad må I gemme om medlemmerne?
Et medlemskartotek er listen over, hvem der er medlem, hvordan I får fat i dem, og om de har betalt kontingent. Det skal kunne fire ting: vise hvem der er medlem lige nu, sende kontingentopkrævningen uden at krydse af i hånden, give bestyrelsen kontaktoplysninger uden at give alle adgang til alt, og slette et medlem, når grunden er væk. Den sidste glemmer de fleste. I det øjeblik I skriver et navn ned, er foreningen dataansvarlig efter GDPR. Og så forbeholdet, som ingen produktside skriver: har foreningen under cirka 20 medlemmer, er regnearket nok.
Hvad skal et medlemskartotek som minimum kunne?
Fire opgaver. Alt andet er ekstra.
- Vise aktuel medlemsstatus. Hvem er medlem, hvem er meldt ud, hvem er ny — uden en oprydning først.
- Håndtere kontingentet. Kan I sende opkrævningen ud og bagefter se, hvem der er i restance, ét sted?
- Give bestyrelsen kontaktoplysninger. Uden at listen sendes rundt som vedhæftet fil.
- Slette et medlem. Melder nogen sig ud, skal oplysningerne kunne komme væk.
Oveni ligger en pligt, ingen kan sælge jer. Datatilsynet kræver, at I skriver ned, hvilke oplysninger I behandler, hvorfor, hvem der modtager dem, og hvornår de slettes. Det hedder en fortegnelse, den skal I selv lave, og størrelsen er underordnet: også de små skal have den. Datatilsynet har en skabelon til den.
Hvilke oplysninger må I gemme om jeres medlemmer, og hvorfor?
Hovedreglen for almindelige oplysninger er interesseafvejningen: foreningens interesse i at drive foreningen vejer tungere end medlemmets interesse i at lade være. Den rækker til de felter, I faktisk skal bruge. To ting først. Det, I bruger til at opkræve kontingent, hviler på aftalen med medlemmet. Og er foreningen politisk, religiøs eller en fagforening, eller er medlemskab forbeholdt fx personer med et bestemt handicap, er medlemskabet selv en følsom oplysning: så holder interesseafvejningen ikke, og listen må ikke gives videre uden samtykke.
| Oplysning | Hvorfor I må gemme den | Hvem må se den | Hvornår ryger den |
|---|---|---|---|
| Navn | Interesseafvejningen. Uden navn ingen liste | Bestyrelsen; holdledere | Ved udmeldelse (jeres frist) |
| Adresse og telefon | Interesseafvejningen, kun hvis I faktisk bruger dem | Bestyrelsen; den, der skal ringe | Ved udmeldelse (jeres frist) |
| Interesseafvejningen til indkaldelse; aftalen til opkrævning | Bestyrelsen; holdledere | Ved udmeldelse (jeres frist) | |
| Fødselsdato | Kun med konkret grund: aldersgrænse i vedtægterne | Bestyrelsen; holdlederen | Når brugen falder væk |
| Kontingentstatus | Aftalen med medlemmet — I skal kunne se, hvem der har betalt | Kassereren; formanden | Når mellemværendet er afsluttet |
| CPR-nummer | Kun ved samtykke og saglig grund, eller hvis loven kræver det | Kun den ene, der har grunden | Så snart grunden er væk |
| Helbred, fx allergi før en tur | Følsom oplysning. Kræver i praksis medlemmets udtrykkelige samtykke | Kun den, der skal bruge det | Når turen er slut |
| Billede fra kamp eller stævne | Helhedsvurdering. Normalt uden samtykke, hvis ingen kan føle sig udstillet. Sig højt, at I fotograferer | Følger formålet | Når formålet er væk |
| Udstillende billede, fx fra festen | Spørg om lov først, og skriv ned, hvad medlemmet sagde ja til | Følger samtykket | Når samtykket trækkes tilbage |
De nederste rækker er dem, foreninger går galt i. CPR-nummeret skal I ikke gemme "for en sikkerheds skyld": kan I ikke sige både grunden og samtykket højt, skal feltet ikke findes. En allergi før en tur hører ikke permanent hjemme i kartoteket. Og billederne kører de fleste efter en regel, der ikke findes længere: Datatilsynet skelnede før mellem situations- og portrætbilleder, men droppede sondringen i september 2019. I dag er det en helhedsvurdering af billedet og formålet.
Hvornår skal et tidligere medlem slettes?
Der er ingen fast frist, og det er med vilje. Datatilsynet siger, at I selv bedst kan vurdere, hvor længe I har brug for oplysningerne: så længe I fornuftigt kan svare på "hvorfor har vi stadig brug for dem?", må I gemme dem. Det vigtigste er, at I har taget stilling og kan vise, hvad I besluttede. Udmeldelsen er anledningen, ikke i sig selv en frist. "Måske vender de tilbage" er ikke en grund, det er et ønske. Kræver andre regler, at noget gemmes længere, gør I det.
Problemet er sjældent reglen, det er rutinen. Læg én gennemgang om året lige efter kontingentopkrævningen, hvor I alligevel har fat i listen: hvem er ikke længere medlem, og hvorfor står de her stadig? Har I den rutine, behøver I ikke gennemgå hvert dokument løbende. Skriv fristen ind i fortegnelsen.
Hvem i foreningen må se hvad?
Adgang skal følge opgaven, ikke titlen. Formanden skal have hele listen, kassereren medlemsliste og kontingentstatus. Holdlederen skal kunne ringe til sit eget holds tolv spillere, når træningen aflyses. Mere end det er behovet ikke.
Det er her, regnearket falder. Ligger listen på et fælles drev, har holdlederen adgang til alle 200 medlemmer, deres adresser og hvem der er i restance — og det har de to tidligere kasserere, der stadig står på delingen, også. Spørg derfor ethvert bud: kan to personer have forskellig adgang til den samme liste?
Må I lægge medlemslisten på hjemmesiden?
Nej, ikke på en åben side og ikke uden samtykke fra hvert medlem. Datatilsynets udgangspunkt er, at medlemsoplysninger deles i et lukket forum: en adgangskodebeskyttet side kun for medlemmer, eller et medlemsblad, der kun går til medlemmerne. En side, Google kan finde, er ikke et lukket forum, og den kan I ikke trække tilbage. Bestyrelsens navne kan stå åbent, hvis de har sagt ja. 200 medlemmers adresser hører bag login. Dét skal en hjemmeside til foreningen kunne holde adskilt.
Skal I udlevere listen, hvis et medlem kræver det?
Slå op i vedtægterne først. Nogle giver medlemmet ret til at indkalde ved et antal underskrifter, ikke ret til at få listen. Varslet står samme sted, regnet igennem i indkaldelse til generalforsamling og varslet i vedtægterne. GDPR blokerer det ikke automatisk, men I skal kunne pege på jeres grundlag — "et medlem bad om det" er ikke et grundlag. Vælg den mindst eksponerende form: kan foreningen sende beskeden ud for medlemmet, er det bedre end at udlevere 200 e-mailadresser. Skriv to linjer i referatet om, hvad I gjorde og hvorfor. Er I i tvivl, så spørg Datatilsynet. Vi er ikke jurister, og vedtægterne afgør sagen først.
Hvad koster det — og hvornår skal I ikke betale?
Har I under cirka 20 medlemmer, opkræver kontingent én gang om året og ikke har en hjemmeside, så er regnearket nok. Fortegnelsen skal I stadig lave. Det tipper, når I kan nikke til to eller flere: kassereren jagter betalinger i hånden; flere skal have adgang, men ikke til det hele; listen findes i tre versioner, og ingen ved, hvilken der gælder; ingen husker at slette dem, der er meldt ud.
Hos os er der en gratis plan til 0 kr., og Pro koster 249 kr./md. Lav regnestykket højt i bestyrelsen: 2.988 kr. om året er for en forening med 60 medlemmer omkring 50 kr. pr. medlem. Hold tallet op mod kontingentet. Er kontingentet 200 kr., æder systemet en fjerdedel af det, hvert medlem betaler — så skal I tænke jer om. Er det 800 kr., og kassereren bruger to aftener på opkrævningen hvert forår, er svaret nok givet. Kontingent kan opkræves via MobilePay, der kan sendes SMS-påmindelser til dem i restance, og eget domæne følger med på Pro. Hvad gebyret koster, er regnet igennem i kontingent via MobilePay.