ALLMÄNT OM DATASKYDDSFÖRORDNINGEN

General Data Protection Regulation eller GDPR heter den förordning som EU-parlamentet antog 27 april 2016. Den gäller för alla EUs medlemsländer från och med 25 maj 2018. I Sverige kallas denna förordning Dataskyddsförordningen. Syftet med förordningen är att skydda fysiska personer i behandlingen av deras personuppgifter.
I Sverige kommer denna förordning att ersätta personuppgiftslagen (PUL) som idag reglerar behandlingen av personuppgifter.
Enligt förordningen måste det i varje medlemsland finnas en tillsynsmyndighet. I Sverige är detta Datainspektionen. En av de största skillnaderna mellan PUL och Dataskyddsförordningen är att det har införts sanktioner (böter m.m.) som kan utdömas om man inte följer förordningen.

GDPR JÄMFÖRT MED PUL

Har man tidigare följt PUL ordentligt blir inte förändringen till Dataskyddsförordningen speciellt stor. Har man däremot inte följt PUL måste man nu se över sin behandling av personuppgifter, särskilt som det nu införs sanktionsavgifter som i värsta fall kan göra överträdelser kostsamma. Det största problemet är nog att många föreningar inte är medvetna om allt som PUL har omfattat och vilka delar man inte har efterlevt. Dataskyddsförordningen reglerar behandling av både manuella och datoriserade register. Nytt är att mejl och andra datahanterade handlingar anses som behandling av personuppgifter. Alltså inte bara faktiska register utan annat som innehåller personuppgifter berörs också. Centralt är också att GDPR reglerar att personuppgifter endast ska lagras och bearbetas i den utsträckning det är nödvändigt för det explicita syfte för vilket uppgifterna ursprungligen samlades in.

DEFINITIONER

För att ni ska förstå innebörden av de begrepp vi använder i denna information har vi nedan tagit med de definitioner från förordningen som berör er.

FÖLJANDE DEFINITIONER ÄR HÄMTADE UR DATASKYDDSFÖRORDNINGENS 4 ARTIKEL:

www.datainspektionen.se/dataskyddsreformen/dataskyddsforordningen/forordningstexten/#4

Personuppgifter:
Varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Riktlinjer för enskilda väghållare

Behandling: En åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.
Register: En strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,
Personuppgiftsansvarig: En fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.
Personuppgiftsbiträde: En fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.
Samtycke av den registrerade: Varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.
Personuppgiftsincident: En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats,

VILKEN DEL AV VÄGHÅLLARENS VERKSAMHET BLIR BERÖRD?

Det som skrivs nedan utgår från att föreningenoch den anläggning som föreningen förvaltar är bildad vid en lantmäteriförrättning, alltså en samfällighetsförening. För andra föreningar, exempelvis ideella föreningar, finns inte möjlighet att hänvisa till lagstöd för lagring av uppgifter utan samtycke eller avtalsstöd krävs för samtliga personuppgifter i ett register. Företräder ni en sådan annan förening kan vidare kontakt tas med REV’s kansli för mer information.
Som förening är ni personuppgiftsansvarig för de uppgifter ni samlar in om era medlemmar. I föreningen är det styrelsen som ansvarar för att förordningen följs. Ett ”register” i dataskyddsförordningens mening är en samling information där informationen är sökbar.
Föreningens registerhållning är ett av de områden som kommer att beröras av dataskyddsförordningen.

De register som vi anser blir berörda i er verksamhet är följande:

Medlemsregistret
Register över förtroendevalda (revisor, styrelse, valberedning etc.)
Eventuell mejlbox som föreningen har
Eventuell hemsida som föreningen har

Ur medlemsregistret görs, inför varje stämma där debitering ska ske, ett utdrag för att upprätta en debiteringslängd, och när själva stämman genomförs upprättas en röstlängd. Dessa innehåller uppgifter från medlemsregistret vid en viss tidpunkt (ögonblicksbild), de är statiska och kan normalt inte ändras i efterhand.

VILKA UPPGIFTER KAN LAGRAS MED LAGSTÖD RESPEKTIVE SAMTYCKE?

Centralt i GDPR är att all insamling och lagring av personuppgifter kräver lagstöd eller samtycke.
Grunden till en samfällighetsförenings medlemsregister är den förteckning över deltagande fastigheter som anslutits med tvång genom Lantmäteribeslut när gemensamhetsanläggningen bildades.
I medlemsregistret måste sedan uppgifter om respektive fastighets ägare införas. Eftersom fastighetens medlemskap i föreningen är tvingande kan man hävda lagstöd för att registrera fastighetsägarnas namn och adress. Uppgifter om ägarnas namn och adress kan till exempel fås från Lantmäteriets fastighetsregister. Detta anser vi måste vara tillåten behandling, föreningen måste ha vissa uppgifter för att kunna kontakta sina medlemmar.

Syftet med medlemsregistret är att till samtliga medlemsfastigheter kunna skicka:

Kallelse till stämma
Avisering av medlemsavgiften
Annan information från föreningen/styrelsen

Uppgifter som telefonnummer och mejladress kan ni ta in genom samtycke från medlemmen. Vill medlemmen hellre bli kontaktade via mejl, ger de sitt samtycke till att ni får registrera mejladressen. Se alltid till att samtycket är skriftligt. Samtyckeshandlingarna måste sparas så att ni i efterhand kan visa att personen givit er sitt samtycke. Tänk på att samtycke gäller på personnivå, om ni har flera ägare registrerade på en fastighet måste samtycke inhämtas från var och en som finns registrerad.
När det gäller medlemmarnas personnummer är detta i regel inte en nödvändig uppgift som ni behöver i verksamheten. I vissa situationer kan det dock bli nödvändigt att ta fram medlemmens personnummer, till exempel om ni behöver ha kontakter med Kronofogden. Personnummer är enbart tillåtet att inhämta och använda när ni behöver det, ni ska inte lagra uppgifterna i medlemsregistret utan radera dem när Kronofogdekontakten är avslutad. Ni får alltså inte heller inhämta personnummer i förväg för att ha dem till hands för eventuellt behov i framtiden.
I ett separat register över förtroendevalda torde det finnas både behov och lagstöd för att lagra personnummer och bankkontonummer till de förtroendevalda.
Om styrelsearvode betalas ut måste ju skattelagstiftningens krav på kontrolluppgifter m.m. uppfyllas, och utbetalning kunna ske.
Med begreppet ”känsliga personuppgifter” avses uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening, hälsa, en persons sexualliv eller sexuella läggning, genetiska uppgifter och biometriska uppgifter som entydigt identifierar en person. Utgångspunkten är att det är förbjudet att samla in och behandla sådana personuppgifter, men det förbudet kan knappast anses vara begränsande för en samfällighetsförening.

SPRIDNING AV PERSONUPPGIFTER

Om ni vill kunna lämna ut hela eller delar av medlemsregistret, till exempel i en medlemsmatrikel, krävs samtycke från varje medlem vars uppgifter lämnas ut. Föreningen får alltså inte göra medlemsregistret publikt eller skicka ut en kopia till alla medlemmar utan att alla medlemmar samtyckt till detta. Om föreningen har en hemsida skall denna inte heller innehålla personuppgifter med mindre än att samtycke för ändamålet inhämtats.
Det finns dock ett undantag för debiteringslängden som enligt lag måste finnas tillgänglig för alla medlemmar inför varje stämma. För denna krävs således inget samtycke. Om (!) föreningen också vill hålla debiteringslängden tillgänglig på hemsidan så måste det ske på en låst del av hemsidan, som bara är öppen för föreningens medlemmar med personliga inloggningar. Ett gemensamt lösenord för samtliga medlemmar duger inte eftersom man då inte kan utestänga tidigare medlemmar. Det finns dock inget lagkrav på att debiteringslängden ska finnas på hemsidan, det räcker till exempel att den finns tillgänglig hemma hos någon i styrelsen.

DOKUMENTERA HUR PERSONUPPGIFTERNA HANTERAS

Nytt i GDPR är att alla som behandlar personuppgifter måste ha någon form av dokumentation som visar vilka personuppgifter man behandlar och hur man behandlar dem. Alla steg i behandlingen måste framgå, allt från hur registret lagras och hur ändringar införs/raderas till hur uppgifterna hanteras vid utskick (till exempel om en adresslista hanteras av ett tryckeri för utskick av årsmöteskallelse). Anledningen till detta är att om tillsynsmyndigheten gör en förfrågan eller inspektion och frågar vilka personuppgifter man behandlar och på vilket sätt ska man enkelt kunna visa hur man hanterar uppgifterna.

EXTERNA RESURSER OCH TJÄNSTER

Det är många föreningar som använder extern kompetens, till exempel en bokföringsbyrå eller ett företag som tar hand om medlemsregistret och göra utskick. I ett sådant fall blir den externa kompetensen att se som ett personuppgiftsbiträde. De behandlar således personuppgifter för er räkning. Här krävs att ni har ett avtal er emellan som reglerar hur personuppgifterna behandlas. Era personuppgiftsbiträden borde redan ha påbörjat arbetet med att ta fram dessa avtal.
Användningen av Dropbox, Google Drive, mejlutskickstjänster och andra molntjänster börjar också bli vanlig. Om ni lagrar personuppgifter på dessa är även dessa tjänsteleverantörer att se som personuppgiftsbiträden. Ni måste alltså ha ett avtal enligt ovan, och också säkra att de servrar som uppgifterna lagras på finns inom EUs gränser. I annat fall kan ni inte använda dessa tjänster för lagring av personuppgifter.

RÄTTEN TILL INSYN OCH ATT ”BLI BORTGLÖMD”

En person kan när som helst be om ett utdrag om vilka uppgifter ni har lagrade om denne. En person kan också begära att bli ”bortglömd”. Om en medlem begär att bli bortglömd måste ni ta bort all information ni har om denne om uppgiften har samlats in med stöd av samtycke. Information ni måste ha på laglig grund kan ni dock spara. Den behöver inte raderas även om enskild medlem begär det. Radering behöver dock inte göras från backuper, men om en sådan återinstalleras måste raderingen utföras på den återinstallerade backupen.

FÖRENINGENS HISTORISKA ARKIV

Föreningens historiska dokument som protokoll, verksamhetsberättelser m.m. berörs inte heller av förordningen utan kan sparas för framtiden, under förutsättning att de inte är lagrade så att personuppgifter är sökbara.
Övrigt historiskt material, såsom tidigare styrelsers handläggning av ärenden som berört en privatperson, bör också kunna behållas om materialet inte ingår i något sorterat register som gör att uppgifterna är sökbara. Det kan i många fall vara bra om nuvarande styrelse kan gå tillbaka till detta material för att få svar på frågor som kan vara bortglömda. Om en sådan handläggning gjorts via mejl måste den dock raderas ur mejlsystemet eftersom det är sökbart. Att däremot spara en utskriven kopia eller i ett digitalt format där personuppgifterna inte är sökbara ens som fritext bedömer vi går bra.
Om personuppgifter i det historiska materialet är sökbara bör man vara mer restriktiv. Det kan i en sådan situation bli aktuellt att helt ta bort detta register eller att gå igenom materialet och ta bort personuppgifterna från detta.
Har ni ingått avtal med privatpersoner, medlem eller utomstående, får naturligtvis personuppgifterna i avtalet, eller uppgifter som ligger till grund för avtalet, sparas så länge avtalet är giltigt eller så länge lagen kräver att ni behåller det efter att avtalstiden gått ut.

MYNDIGHETSHANDLINGAR

Personuppgifter som kan finnas i lantmäterihandlingar är ingenting som styrelsen behöver beakta när det gäller dataskyddsförordningen. Sådana handlingar bör förvaras hos styrelsen på ett betryggande sätt, det gäller även handlingar som styrelsen får från Kronofogden eller andra myndigheter.

PRAKTISKA FRÅGOR KRING ÖVERGÅNGEN FRÅN PUL TILL GDPR

Innan förordningen träder i kraft den 25 maj 2018 bör styrelsen göra en inventering av vad ni har för personuppgifter registrerade. Har ni uppgifter som kräver samtycke får ni antingen ta bort dem eller inhämta samtycke från medlemmarna. Det går inte att hänvisa till att ni använt uppgifter som kräver samtycke ”så länge att det borde vara OK”, samtycke måste alltid inhämtas för dessa. Det är också viktigt att ni rensar era register från personuppgifter som inte längre behövs, t.ex. uppgifter om personer som inte längre är medlemmar/fastighetsägare.
Efter att förordningen trätt ikraft den 25 maj 2018 skall styrelsen, när förändring sker, om till exempel en medlem säljer sin fastighet och flyttar, se till att ta bort uppgifterna om denna person i medlemsregistret.
Debiteringslängder med den avflyttade medlemmens uppgifter bör dock sparas i vart fall i 10 år. Den nya medlemmens uppgifter skall föras in i befintliga register och samtycke inhämtas för att till exempel föra in dennes telefonnummer eller mejladress i medlemsregistret.
En bra lösning kan vara att utse någon i styrelsen till registeransvarig. Alltså en person som har som ansvar att se till att registren är uppdaterade och bara innehåller de uppgifter ni faktiskt får ha. Det kan också vara bra att antalet personer i styrelsen som överhuvudtaget har tillgång till medlemmarnas uppgifter begränsas. Den dag en personuppgift behövs för handläggningen av ett ärende kan den registeransvarige ta fram uppgiften.

DATAINSPEKTIONEN ÄR TILLSYNSMYNDIGHET

Om det sker en incident där personuppgifter sprids på ett icke avsett sätt måste detta anmälas till Datainspektionen. Om lagring eller spridning av personuppgifter gjorts på ett felaktigt sätt kan det finnas en risk för att föreningen åläggs att betala en sanktionsavgift.

JURIDISKA PERSONER

Har ni medlemmar som är näringsidkare och är juridiska personer så är det bra att veta att deras uppgifter inte omfattas av ovanstående regler. Dataskyddsförordningen berör enbart privatpersoner. Avtal med näringsidkare berörs inte heller av förordningen. Om ni dock bara har någon eller ett fåtal sådana medlemmar kan det för enkelhetens skull vara praktiskt att hantera dem på samma sätt som privatpersoner så behöver man inte ha olika rutiner i olika fall.