Er medlemssystemet deres klar for den nye personvernsforordningen?

Hva kommer den nye personvernsforordningen (GDPR) helt konkret til å bety for deres medlemshåndtering? Og opererer medlemssystemet deres i samsvar med GDPR, som trer i kraft allerede 25. mai 2018? Det er mange spørsmål, men ikke like mange klare svar når det gelder GDPR. Vi håper derfor at denne artikkelen, som fungerer som en slags sjekkliste for hvordan å sikre personvern i medlemssystemer, kan gi litt inspirasjon.

16. november 2017

Av: Thorleif Rytz Gotved

Du vet det.

Alle kollegaene dine i sekretariatet vet det.

Ja, selv i sentralstyret er det garanter minst ett, hvis ikke to, medlemmer som har løftet fingeren og tatt opp det alle snakker om:

At EUs personvernsforordning (også kjent som GDPR) er på vei. Faktisk har den allerede trådt i kraft, men får først virkning fra 25. mai 2018.

Men hva betyr det helt konkret for medlemssystemet deres – og hva skal til for å sikre at dette er i samsvar med GDPR? Må dere kanskje ut å kjøpe et nytt medlemssystem?

Prinsipper og grunnregler

Det er dessverre ikke et enkelt svar på disse spørsmålene, og det skyldes at GDPR bygger på en rekke ulike prinsipper og grunnregler om personvern som kan tolkes på flere ulike måter.

For eksempel er et av de helt sentrale prinsippene, i så vel den nåværende personvernlovgivningen som den nye GDPR, at den dataansvarlige og -behandleren skal gjennomføre nødvendige tekniske og organisatoriske tiltak for å sikre at medlemsdata bl.a. ikke misbrukes, slettes eller for øvrig behandles i strid med loven.

Men hva betyr dette helt konkret?

I denne artikkelen presenterer vi i Groupcare noen av de områdene som medlemsorganisasjoner bør være oppmerksomme på for å sikre at deres medlemssystemer er i samsvar med GDPR. Vær oppmerksom på at artikkelen ikke dekker alle aspekter man må være oppmerksom på, blant annet fordi det kan være særlige forhold for noen typer forening (f.eks. fagforeninger, politiske partier, pasientforeninger mv.), eller forhold ved den enkelte foreningen som må tas i betraktning.

Målgruppen for artikkelen er aktive og ansatte i medlemsorganisasjoner, særlig de som jobber med eller har ansvar for medlemsadministrasjon og -kommunikasjon, uansett hvilket medlemssystem som brukes i dag. Som en særlig service til våre eksisterende kunder har vi skrevet hvordan Membercare/Membersite understøtter de enkelte punktene i kursiv nederst i avsnittene.

Kan man slette eller anonymisere data?

I dag er det helt normal praksis i mange foreninger at identifiserbar data på utmeldte medlemmer lagres. Dette kan det være både gode og litt mindre gode grunner for.

En av de gode grunnene er for eksempel at kontingenten er fradragsberettiget og man må derfor  lagre opplysningene i en årrekke. En annen grunn kan være en rettslig forpliktelse.

Men mange foreninger lagrer også data fordi det enten ikke er mulig å slette dataen fra systemet eller av ren bekvemmelighet: hvis et utmeldt medlem ønsker å bli medlem igjen, så trenger man bare å aktivere personene med et enkelt tastetrykk.

Men det går ikke!

Medlemsopplysninger er samlet inn med et uttrykkelig og saklig formål, og når medlemskapet er opphørt, så skal dataen i prinsippet slettes.

Ulempen ved å måtte slette data er imidlertid det at verdifull statistikk går tapt. Dermed har man ikke lenger muligheten til å bruke medlemsdatabasen til å lage oversikter, over for eksempel hvor mange medlemmer det var for fem år siden, eller hvor mange av disse som fortsatt er medlem i dag.

Derfor er det en veldig god idé, såfremt datasystemet deres gir muligheten til det, å anonymisere medlemsdata. Det vil si at for eksempel navn, e-post, adresse mm. fjernes, slik at personen ikke lenger kan identifiseres. Da er det fortsatt registrert at en uidentifiserbar person var medlem i en gitt periode, samtidig som prinsippene i personvernforordningen overholdes.

I Membercare er det mulig å anonymisere medlemsdata slik at dette prinsippet i GDPR overholdes, og slik at data til statistikkbehandling beholdes. Det kan enten skje i en automatisert form, hvor personen anonymiseres etter en gitt tid, eller ved et enkelt tastetrykk som gjøres ved behandling av persondataen til den enkelte, hvis anonymiseringen må skje raskt og enkelt.

Behandling av data/ rettigheter

Det er viktig at it-systemet deres sikrer at kun relevante ansatte og (aktive) medlemmer har tilgang til den dataen som samles i foreningen. Hvis for eksempel resepsjonisten har som oppgave å rette opp kontaktopplysninger mm., så skal personen naturligvis ha muligheten til det. Men hvis det gjelder informasjon om medlemmer i et ESDH-system (typisk saksdokumenter), så skal ikke resepsjonisten ha tilgang til disse opplysningene.

Et annet eksempel kan være en lokalleder som trenger tilgang til medlemssystemet for å kunne slå opp enkelte medlemmer, eller lage en komplett medlemsliste. I så fall er det viktig å være oppmerksom på at lokallederen KUN har tilgang til opplysninger om sine egne medlemmer, og ikke medlemmer fra ande lokalforeninger.

Medlemssystemet Membercare er bygget opp slik at kun relevante personer har rett til å behandle data. Hvem som kan få tilgang til den ulike dataen defineres av den enkelte foreningen.

Oppbevaring av data

For å overholde GDPR er det en forutsetning at medlemsdata holdes innenfor EUs grenser. Selv om forordningen ikke n Data kan også oppbevares i andre land, for eksempel USA, men da kreves det juridisk sett at leverandøren er sertifisert i forhold til den såkalte Privacy Shield-avtalen, i tillegg til at man har inngått en databehandleravtale direkte med databehandleren.

Et godt eksempel er nyhetsbrevplattformen MailChimp, som ca. 40% av profesjonelle danske foreninger bruker. All databehandlingen til MailChimp foregår i USA (hvis dere bruker MailChimp og ikke har inng

Hvis man benytter medlemssystemet Membercare, så behandles all persondata via vår samarbeidspartner SAC IT, som oppbevarer all data i Danmark, nærmere bestemt i Ballerup.

Er det mulig å loggføre?

Hvem gar gjort hva og når? Hvis medlemssystemet deres har åpnet for loggføring, er det mulig å se hvem som har gjort hvilke endringer inne i systemet. Dette kan for eksempel være endring av en ledelsesstilling. Denne funksjonen er særlig relevant hvis lokale aktive eller medlemmene selv har tilgang til systemet og kan gjøre endringer.

Membercare loggfører stort sett alle endringer, slik at det er mulig å se hvem som har gjort de ulike endringene.

To-faktor autentisering for bedre beskyttelse

Hvis man ønsker å sikre de helt nødvendige tekniske forhåndsreglene for forordningen, så er det lurt å aktivere en to-faktor autentisering, gitt at medlemssystemet deres har en slik funksjon. Husk at to-faktor autentisering også er minst like relevant i forhold til eventuelle selvbetjeningsløsninger. En to-faktor autentisering fungerer slik at man for eksempel mottar en SMS med en unik adgangskode når man logger inn i systemet.

Både medlemssystemet Membercare og selvbetjeningsplattformen Membersite har en to-faktor autentiseringsfunksjon som lett kan aktiveres dersom man ønsker det. Alt du trenger å gjøre er å passe på å huke av på riktig konfigurasjon inne i systemet.

Right to be forgotten

Det er en utbredt misforståelse at «the right to be forgotten» er en nyskapelse med den nye GDPR. Den rettigheten er faktisk også en del av den eksisterende personvernlovgivningen. Det som er nytt med GDPR er dog blant annet at eventuelle tredjeparter som har fått utlevert data også skal informeres om at personen ønsker å bli «glemt».

Men ny eller ei, det som er avgjørende er om medlemssystemet deres enkelt kan glemme medlemmer – dvs. slette eller anonymisere.

Medlemssystemet Membercare kan som allerede nevnt anonymisere medlemmer.

Proporsjonalitetsprinsippet

Dette prinsippet betyr kort sagt at det må være en forholdsmessighet mellom den dataen som samles inn og foreningens formål. Det vil si at kun informasjon som er relevant for foreningens drift kan samles inn. Foreninger står i en heldig posisjon når det gjelder proporsjonalitetsprinsippet fordi fundamentet og formålet til foreningen alltid bygger på vedtektene, og disse vedtektene kan jo foreningen selv endre.

Er det snakk om en pasientforening som har som formål å fungere som rådgiver for medlemmer, eller ivareta særlige interesser osv. så er det brede rammer for hva man kan samle inn av opplysninger. For eksempel er det helt naturlig å da registrere hvilke sykdommer/lidelser medlemmene lider av, da disse opplysningene er viktige for formålet.

Men det er andre ting man skal være oppmerksom på. Hvis dere for eksempel registrerer medlemmers personnummer, så skal det være en god grunn til det. Et eksempel på dette er hvis kontingenten er fradragsberettiget. Hvis det ikke foreligger en god grunn for å samle inn personnummer, men dere gjerne vil vite noe om medlemmenes alder for å få et overblikk over foreningens demografi, så skal dere sørge for at kun fødselsdatoen registreres og ikke de siste sifrene i personnummeret.

I Membercare er fødselsdato og de siste sifrene i personnummeret adskilt, slik at det er mulig å kun samle inn fødselsdatoen hvis det er ønskelig.

Innsynsrett

Når man er registrert, for eksempel i forbindelse med et medlemskap, har man både i den eksisterende personvernlovgivningen og den nye GDPR, rett til å få opplyst om hvilken data som er samlet inn. Hvis mange medlemmer ønsker å ta i bruk denne rettigheten, så kan det fort bli en veldig resurskrevende oppgave. For hvor mange og hvilke kurs har denne personen deltatt i, og har medlemmet hat tillitsverv osv.?

Derfor vil det være praktisk, hvis medlemssystemet deres enkelt og greit kan lage en komplett oversikt over all dataen som er samlet om en person. Da kan man enkelt få samlet alle opplysninger om personens medlemskap, tillitsposter (også historiske), arrangementsdeltakelse osv.

Membercare får med versjon 18.1, som slippes i mars 2018, en ny funksjon som raskt og enkelt kan lage en komplett rapport på all dataen på et gitt medlem.

Behøver dere et nytt system?

Hvis det eksisterende medlemssystemet deres ikke er i 100% samsvar med GDPR, skal dere så gå til anskaffelse av et nytt system eller utvikle det eksisterende?

Det er sikkert en del it-selgere som ville sagt «ja» til begge disse alternativene. Men det er ikke nødvendigvis alltid dette som skjer, noe som blant annet framgår på side 483 i en rapport laget av den danske Justisministeren.

”Et eksempel på en situation, hvor denne afvejning af hensyn kommer i fokus, vil være, når et ældre systems sikkerhed skal gennemgås. Viser det sig i et sådant tilfælde, at systemet ikke på alle områder helt modsvarer det aktuelle tekniske niveau, men at implementeringsomkostningerne ved at bringe hele systemet på niveau er uforholdsmæssigt store, kan den dataansvarlige i stedet søge at imødekomme behovet for større sikkerhed ved hjælp af også organisatoriske foranstaltninger. Der er således ingen forpligtelse til at efterkomme sikkerhedskravene alene rent teknisk…”

«Organisatoriske foranstaltninger», altså organisatoriske tiltak, forbindes ofte med dyre ressurser for sekretariatet. Derfor bør den enkelte medlemsforeningen undersøke om det kan være billigere å gjennomføre noen justeringer i det nåværende systemet. Eller enda bedre: gå over til et system som garanter fungerer i samsvar med GDPR. Et viktig moment ved GDPR er den løpende tolkningen av forordningen, som gjør at de justeringene som gjennomføres i dag, ikke nødvendigvis er tilstrekkelige i morgen.

Dokumentasjonskrav

Nytt for den nye personvernforordningen er at det kreves at organisasjoner skal dokumentere hva som lagres av data, hvor og hvorfor dette lagres. Dette er for å kunne foreta en analyse av risiko og personvernkonsekvenser. Det er en prosess alle foreninger må igjennom, enten de vil eller ei.

Datatilsynet har laget en oversiktlig beskrivelse og veiledning til hvordan man kan gjennomføre en slik analyse, også kalt DPIA (Data Privacy Impact Assessment). Du finner veiledningen her.

Nysgjerrig på Membercare?

Hvis du eller organisasjonen din er interessert i å se nærmer på medlemssystemet Membercare eller selvbetjeningsplattformen Membersite, så skrive eller ring til Emil Hovøre Andersen på eha@groupcare.com eller tlf. +45 5184 2654

2018-03-13T11:48:23+00:00