Kom godt i gang med at håndtere persondata forsvarligt

INDLEDENDE ØVELSER: Lever din organisation op til lovgivningen for håndtering af persondata? 25. maj 2018 gælder nye regler, og der venter store bøder, hvis ikke de bliver overholdt. Her kan du læse, hvordan du allerede nu bør gå i gang med at forberede dig.

Har din organisation fuldstændig tjek på, hvilke personoplysninger I indsamler, hvordan I opbevarer dem, og om I videregiver dem? Eller har I eksempelvis flere år gamle ringbind med personoplysninger stående på hylderne, og har I aldrig lige fået lavet en politik for, hvornår I sletter mails og andre elektroniske såvel som ikke-elektroniske filer, der indeholder persondata?

Når den nye persondataforordning træder i kraft den 25. maj 2018, vanker der store bøder, hvis ikke organisationer overholder de nye regler. Helt op til 20 millioner euro eller fire procent af organisationens globale omsætning risikerer man at skulle aflevere i bødepenge. Derudover er der risiko for at havne i en decideret shitstorm, hvis ikke ens organisation eller forening på forsvarlig vis beskytter personfølsomme oplysninger og lever op til lovgivningen.

Organisationer skal bevise, at de lever op til loven
“Hvis man allerede har fuldstændigt styr på den eksisterende lovgivning, så er det en forholdsvis lille opgave, der venter. Men erfaringen viser, at det nok er de færreste organisationer og foreninger, der har det,” siger sekretariatschef i indsamlingsorganisationernes brancheorganisation, Isobro, Mette Grovermann.

Den største forandring i forhold til gældende lovgivning er, at organisationerne med den nye forordning fra maj næste år selv har ansvaret for at bevise, at de lever op til kravene i forordningen. Der er derfor god grund til allerede nu at komme i sving med de indledende øvelser. Her får du en række råd til, hvordan du kommer godt i gang med forberedelserne.

Ny dansk lovgivning på plads i efteråret 2017
Den nye persondataforordning, som blev vedtaget i EU i april 2016, erstatter en mere end 20 år gammel EU-lov om behandling af personoplysninger, som på grund af den teknologiske udvikling er forældet på en række punkter. Med den nye forordning bliver enkeltindividers ret til databeskyttelse styrket, og det stiller nye krav til foreninger og organisationer.

Onsdag den 24. maj 2017 udsendte Justitsministeriet en betænkning, som beskriver, hvordan EU-forordningen skal forstås i Danmark, og som kommer til at danne grundlag for det videre arbejde med at udforme et dansk lovforslag, der forventes at blive fremsat i Folketinget i efteråret 2017.

Du kan læse hele justitsministeriets betænkning om, hvordan EU-forordningen skal forstås i en dansk kontekst her: Del 1, bind 1, Del 1, bind 2, Del 2.

Sådan kommer du i gang
Selvom det danske lovforslag først bliver fremsat i Folketinget til efteråret, er det ifølge sekretariatschef i Isobro Mette Grovermann en god idé at gå i gang med forberedelserne allerede nu.

Her er nogle af de indledende forberedelser, som du kan begynde med. Nedenstående er ikke udtømmende, men det er en række konkrete tiltag, som det vil være fornuftigt at starte med.

1) Kortlæg hvor persondata bevæger sig hen i organisationen
Første skridt er systematisk at kortlægge, hvordan og hvornår organisationen indsamler persondata fra eksempelvis medlemmer, og hvor persondata bevæger sig hen inde i organisationen. Hvem i organisationen behandler persondata og til hvilket formål? Ryger data f.eks. videre til et bogholderi eller til en marketingafdeling?

At kortlægge datastrømmenes bevægelse i organisationen er det helt grundlæggende og afgørende stykke arbejde. Organisationen kan ikke leve op til kravene i persondataforordningen, hvis ikke du først har brugt tid på at få et forkromet overblik over, hvilke data du håndterer, til hvilket formål, hvor længe og på hvilket grundlag.

2) Hvilken kategori af persondata er der tale om?
Dernæst skal du have skabt overblik over, hvilke typer af persondata, organisationen indsamler, da der gælder forskellige regler for, hvordan du skal behandle hver kategori af data. Du skal derfor skelne imellem, hvornår organisationen behandler personoplysninger såsom navn, CPR-nummer, nummerplade, adresse, familiemæssige oplysninger, kreditkortnummer og mailadresse, og hvornår organisationen behandler personfølsomme oplysninger såsom etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske eller biometriske data, helbredsoplysninger og seksuel orientering.

3) Hvad er lovhjemmelen til at behandle de forskellige typer af persondata?
Hver gang organisationen behandler enten persondata eller personfølsomme oplysninger, skal du overveje, hvad lovhjemmelen er til at behandle disse data. Kræver det f.eks. samtykke, eller er medlemskabet af foreningen i sig selv at betragte som det kontraktlige grundlag. Du skal desuden overveje, om organisationen overhovedet må behandle de forskellige typer af data.

Uanset om der kan indhentes samtykke, så skal organisationen have en saglig grund til at behandle data. Der gælder således et grundlæggende princip om, at organisationerne skal minimere mængden af persondata, de behandler, så de kun behandler relevant data. En kirkelig organisation må eksempelvis ikke spørge nye medlemmer til seksuel orientering eller familiemæssige forhold, hvis der ikke er en saglig grund til det – heller ikke selvom de indhenter samtykke.

Hvis du er i tvivl, er det en god idé indledningsvis at kigge i de grundlæggende principper i EU-forordningens kapitel 2, artikel 5 (se boks) og overveje, om organisationens behandling er i overensstemmelse med EU-forordningens hensigt.

4) Få overblik over, hvilke eksterne parter organisationen deler data med
Overvej i hvilke tilfælde persondata overlades eller videregives til nogen uden for organisationen. Hver gang organisationen videregiver data, skal du have vished for, at du har kontrol med organisationens data – også efter de er overladt til andre. Hvis bogholderiet anvender et faktureringssystem som eksempelvis e-conomic, skal der laves en databehandleraftale med e-conomic om, hvordan de må behandle organisationens data, og det gælder for samtlige af de eksterne parter, som organisationen overlader data til. E-conomic eller andre eksterne parter, som du overlader persondata til, skal videregive din instruks om, hvordan persondata fra organisationen må behandles til alle deres underleverandører.

5) Opret sletteprocedurer
Næste skridt er at udarbejde procedurer for, hvornår persondata og personfølsomme oplysninger slettes igen. Det gælder både for elektroniske data og for printet data, som står rundt omkring på hylder i ringbind.

“Noget data bør smides ud efter tre år, andet efter 12 måneder. Noget tredje data skal slettes efter fem år, og noget fjerde kan man forsvare at gemme længere. Men man bør indføre retningslinjer for, hvornår man smider data ud i organisationerne, og hvornår man sletter gamle mails,” siger Mette Grovermann.

6) Tjek om du kan svare på Datatilsynets 12 spørgsmål
Nu er det blevet tid til at tjekke, om organisationen er på rette spor i forhold til behandling af persondata. For at få et pejlemærke om, hvorvidt det er tilfældet, kan du se, om organisationen kan svare på Datatilsynets 12 spørgsmål, som du finder her:

7) Udarbejd en privatlivspolitik vha. Ervhervsstyrelsens PrivacyKompasset
Dernæst er det en god idé at udarbejde en decideret privatlivspolitik for organisationen. Erhvervsstyrelsen har lavet et værktøj kaldet Privacykompasset, som kan anvendes til at udarbejde en privatlivspolitik, der er tilpasset netop din organisation. Værktøjet er lavet, så det tager højde for både de eksisterende og de kommende regler, og det er et godt sted at begynde, men der er ikke tale om en certificering. Allerede inden kortlægningen af datastrømmene i organisationen kan du med fordel forsøge at besvare spørgsmålene i PrivacyKompasset. Det giver en fornemmelse af, hvor tæt på eller langt fra målet, organisationen er. Når du har kortlagt datastrømmene og fået det store overblik, kan du besvare spørgsmålene på ny, og så skulle der gerne være sket en udvikling, så organisationen nu er tættere på at kunne generere en privatlivspolitik.

8) Indarbejd privatlivspolitikken i alle dele af organisationen
Én ting er at udarbejde en politik, men den er ikke det papir værd, den er skrevet på, hvis ikke man bruger tid på at massere den ind i hver en fiber af organisationen. Så nu skal du bruge krudt på at udbrede politikken i organisationen, så alle i organisationen forstår retningslinjerne, kan håndtere dem og handle efter dem.

9) Udpeg én, der er ansvarlig for organisationens politik for behandling af persondata
For at sikre, at lovgivningen og organisationens politik for håndtering af persondata overholdes, er det en god idé at udpege én i organisationen, som er ansvarlig for at sætte sig ind i de grundlæggende principper i persondataforordningen, og som andre i organisationen kan gå til, hvis de er i tvivl om håndtering af persondata.

10) Følg op på om politikken overholdes hvert år
Når først organisationen har udviklet en politik for behandling af persondata og implementeret den i alle lokalafdelinger og alle dele af organisationen, er det en god idé at føre ind i organisationens årshjul, at der hvert år på et bestemt tidspunkt følges op på, om retningslinjerne bliver overholdt i praksis. Når du f.eks. alligevel udarbejder blanketter til Skat, søger tipsmidler eller laver årsrapport, kan du i samme ombæring følge op på din håndtering af persondata, så du sikrer, at privatlivspolitikken er opdateret.

Forrige artikel Guide: Få succes med crowdfunding Guide: Få succes med crowdfunding Næste artikel Få mest ud af dit frivillige arbejde på CV'et Få mest ud af dit frivillige arbejde på CV'et
Normale spilleregler sættes ud af kraft, når frivillige hjælper til i kommuner

Normale spilleregler sættes ud af kraft, når frivillige hjælper til i kommuner

FORSKNING: Professor Bjarne Ibsen og hans kolleger ved Center for forskning i Idræt, Sundhed og Civilsamfund på Syddansk Universitet har gennem flere år nærstuderet samarbejdet mellem kommuner og frivillige. Mange steder mangler de frivillige og kommuner klare aftaler for samarbejdet, lyder konklusionen.

Naturens vogtere: Vi tænker ret højt om vores communities

Naturens vogtere: Vi tænker ret højt om vores communities

BEST PRACTISE: I nutidens medielandskab er SoMe-kampagnen stedet, du for alvor kan samle natur- og klimainteresserede mennesker og kræve forandring. Danmarks Naturfredningsforenings digitale redaktør, Sanne Buggeskov, tager Civilsamfundets Videnscenter med om bag kulissen.

Sådan gøder socialøkonomiske virksomheder kommunalt samarbejde

Sådan gøder socialøkonomiske virksomheder kommunalt samarbejde

GUIDE: Mange kommuner har et småstøvet notat liggende om, at de gerne vil samarbejde med socialøkonomiske virksomheder, men de har samtidig svært ved at knække koden. I denne guide klæder Dorte Bukdahl, der er centerleder i Copenhagen Dome - Videnscenter for socialøkonomi, parterne på til at indgå i gode samarbejder. 

Socialøkonomi: Succeskommunen Silkeborg skruer op for partnerskaber

Socialøkonomi: Succeskommunen Silkeborg skruer op for partnerskaber

BEST PRACTISE: Da John Kvistgaard kom til Silkeborg Kommune, lå der ikke meget andet end en hensigtserklæring om socialøkonomi på et stykke papir. I dag - efter godt fem år - har kommunen succes med at få langtidsledige i job og har sparet millioner. Næste skridt er partnerskaber.

FRAK: Vi er nysgerrige af natur

FRAK: Vi er nysgerrige af natur

At tjene sine egne penge og blive anerkendt for sin indsats kan være den forskel, der gør, at en ung bryder social arv. Det ved den socialøkonomiske virksomhed FRAK, der er på evig jagt efter arbejdstræning og fritidsjob til unge på kanten. Læs mere her om, hvordan FRAK spreder sin indsats ud og skaber nye jobs.

Sådan sætter du arbejdsmiljøet på dagsordenen i din organisation

Sådan sætter du arbejdsmiljøet på dagsordenen i din organisation

GUIDE: Civilsamfundet er ikke fritaget for stressede medarbejdere, ustrukturerede ledere eller arbejdspukler, der fører til konsekvent overarbejde. Konsulenthuset Ingerfair og Dansk Magisterforening har sat spot på det gode arbejdsklima og udarbejdet værktøjer, som er målrettet civilsamfundet.

SOS Børnebyerne: Et kærligt “hjem” for alle medarbejdere

SOS Børnebyerne: Et kærligt “hjem” for alle medarbejdere

BEST PRACTISE: Dansk Magisterforening har sammen med konsulenthuset Ingerfair sat fokus på arbejdsmiljøet i en ny undersøgelse. Læs her, hvorfor SOS Børnebyerne sætter medarbejdertrivslen i højsædet, og få gode råd til at give arbejdsmiljøet et tjek.

Status: Hvad civilsamfundet skal vide om

Status: Hvad civilsamfundet skal vide om "dansen med coronavirus"

CORONARETNINGSLINJER: Sommeren er ovre, og store dele af civilsamfundet er igen i omdrejninger efter forårets nedlukning. Her finder du seneste nyt om forsamlingsforbud, mundbind og hvad du skal gøre, hvis du oplever smittespredning i din organisation.

Sådan håndterer du smitte i din forening

Sådan håndterer du smitte i din forening

CORONAKØREPLAN: Når et medlem eller en frivillig bliver smittet med coronavirus covid-19, er der brug for overblik og klar kommunikation. Danske Gymnastik- og Idrætsforeninger (DGI) giver her et kig ned i deres manual for smittehåndtering.

Sådan ser foreningslivets økonomiske fremtid ud efter genåbningen

Sådan ser foreningslivets økonomiske fremtid ud efter genåbningen

VEJEN UD AF KRISEN: Fire nøgleaktører i civilsamfundet tegner her en skitse af det forandrede økonomiske landskab, som foreningslivet skal navigere i efter genåbningen. Hør analysen og få gode råd til at navigere i det nye økonomiske terræn fra Frivilligrådets formand, sekretariatschefen i Fondenes Videnscenter, en professor og DGI’s landsformand.

Over sommeren: Få status over genåbning og corona-hjælp til civilsamfundet her

Over sommeren: Få status over genåbning og corona-hjælp til civilsamfundet her

GUIDE: Danmark er nu godt på vej til mere normaliserede forhold. Men efterdønningerne af coronakrisen udfordrer stadig civilsamfundet på blandt andet økonomi. Her samler vi gode svar og nyttige links, der kan hjælpe din organisation om på den anden side af krisen. Guiden er senest opdateret 17. juni og opdateres igen på den anden side af sommerferien.

Efter lock down: Gode råd til at byde dine frivillige velkommen tilbage

Efter lock down: Gode råd til at byde dine frivillige velkommen tilbage

FASTHOLDELSE: Den nye coronavirus tog os på sengen. Mange organisationer, der engagerer frivillige, nåede ikke at få sagt ordentligt farvel og på gensyn. At starte op efter krisen kræver derfor tydelig ledelse, så man får pejlet sine frivillige ordentligt ind på kerneopgaven igen. Nogle frivillige har brug for en peptalk. Andre står utålmodigt og stamper i gulvet. Her guider Center for Frivilligt Socialt Arbejde til den gode genopstart.

Poul Due Jensens Fond: 75 procent af vores donationer går til coronakrisen i år

Poul Due Jensens Fond: 75 procent af vores donationer går til coronakrisen i år

KRISEHJÆLP: Poul Due Jensens Fond har til en vis grad måttet lægge mantraer om god processtyring til side for lynhurtigt at kunne støtte coronarelaterede projekter. Når året er omme vil cirka 75 procent af pengene være gået til projekter relateret til coronakrisen. Kim Nøhr Skibsted giver her indblik i, hvordan krisehåndtering ser ud fra maskinrummet i en fond.