Lovligt grundlag for almindelige medlemsoplysninger
Foreninger behandler typisk almindelige oplysninger som navn, adresse, kontaktdata og betalingsoplysninger. Sådanne data kan som udgangspunkt behandles uden samtykke, når det er nødvendigt for administrationen af medlemsforholdet eller beror på en legitim interesse, der ikke overstiges af medlemmets rettigheder, jf. GDPR art. 6. Samtykke kan anvendes, men er ikke hovedreglen for almindelig drift.
Hvis foreningen vil bruge oplysninger til nye formål, der ikke er dækket af medlemsadministration eller legitim interesse, kræves et gyldigt samtykke. Samtykket skal være frivilligt, specifikt, informeret og utvetydigt, og kunne dokumenteres og tilbagekaldes uden negative konsekvenser, jf. GDPR art. 7.
Databeskyttelsesprincipper og behandlingsbegrænsninger
Selv ved lovligt grundlag skal principperne overholdes: formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning samt integritet og fortrolighed. Det betyder kun at indsamle relevante data, holde dem ajour, sikre mod uautoriseret adgang og slette, når formålet er opfyldt.
Praktisk indebærer det klare formålsbeskrivelser, adgangsstyring for bestyrelse og eventuelle databehandlere, faste slettefrister samt processer for berigtigelse og anonymisering. Foreningen bør kunne redegøre for disse valg og føre en behandlingsfortegnelse.
Gør dit arbejde med sundhedsdata og AI lidt lettere efter Djøfs kursus
Læs mere her →Følsomme oplysninger, strafbare forhold og personnumre
Følsomme oplysninger efter GDPR art. 9 (fx helbred, politisk overbevisning eller biometriske data) må som udgangspunkt ikke behandles, medmindre en snæver undtagelse er opfyldt. Foreninger bør derfor undgå at indsamle sådanne data og i givet fald sikre eksplicit hjemmel.
Oplysninger om strafbare forhold (art. 10) og CPR-numre er særligt beskyttede og kræver lovhjemmel eller gyldigt samtykke; videregivelse uden samtykke kan kun ske ved klart overvejende interesser. Se Datatilsynets vejledning for yderligere praksis og definitioner på datatyper på datatilsynet.dk.
