Alla föreningar måste skydda sina medlemsregister och se till att de inte innehåller fler personuppgifter än nödvändigt. Information från registret får bara lämnas ut under vissa förutsättningar.
De flesta föreningar för register över sina medlemmar där exempelvis medlemmarnas namn, adress, telefonnummer, mailadress och ibland personnummer ingår.
Vissa uppgifter är extra skyddsvärda eller känsliga, till exempel personnummer eller information om religion, sjukdom eller barn. Men även om uppgifterna i sig inte är känsliga kan föreningens inriktning göra att de blir det. Om någon till exempel är medlem i en förening för en viss religion eller sjukdom kan personens för- och efternamn bli känsligt. I en idrottsförening är samma uppgifter oftast mindre känsliga.
Registrera inte mer än nödvändigt
Ett medlemsregister får inte innehålla fler personuppgifter än nödvändigt. Ni måste också ha ett tydligt syfte med de uppgifter ni samlar in. Ni får alltså inte samla in uppgifter på vaga grunder, exempelvis för att ni tror att de kan vara bra att ha i framtiden. Det gäller enligt principerna om uppgiftsminimering.
Om ni vill hantera känsliga personuppgifter, exempelvis om religion eller hälsa, måste ni dessutom ha ett särskilt stöd i GDPR för det. Den typen av personuppgifter kan få behandlas om det görs inom ramen för en berättigad verksamhet med lämpliga skyddsgärder hos er. Det kan bland annat handla om politiska eller religiösa föreningar.
Då kan ni dela med er av medlemsregistret
Om ni vill lämna ut uppgifter från medlemsregistret till någon måste ni ha stöd i dataskyddsförordningen (GDPR). Det kan till exempel vara att medlemmarna själva har godkänt att uppgifterna lämnas ut. Tänk på att ni kan behöva vårdnadshavares samtycke om det är barns personuppgifter som ska lämnas ut, särskilt om barnen är under 13 år.
Ett annat stöd för att lämna ut uppgifter är att den utomstående har ett berättigat intresse av att behandla uppgifterna. Ni måste i så fall kontrollera varför den utomstående vill ha personuppgifterna, om de verkligen behövs och vad de ska användas till.
Vilka uppgifter det handlar om har stor betydelse. Om medlemmarna är barn eller har skyddade personuppgifter väger deras integritet extra tungt. Känsliga personuppgifter, exempelvis information om medlemskap i ett religiöst förbund, får inte lämnas ut med stöd av någon annans berättigade intresse.
För att det ska vara tillåtet att lämna ut ert medlemsregister måste medlemmarna ha fått information om att registret kan komma att lämnas ut. Det bör rimligen göras i samband med ingåendet av medlemskapet.
Det kan också finnas särskilda bestämmelser som ni måste ta hänsyn till, exempelvis lagen om ekonomiska föreningar. För sådana föreningar ska medlemsförteckningen hållas tillgänglig hos föreningen för var och en som vill ta del av den.
Medlemmar har inte rätt till hela registret
Om en medlem begär att få se medlemsregistret är ni inte skyldiga att lämna ut det. Däremot har medlemmen rätt enligt GDPR att få en kopia på de uppgifter som finns om honom eller henne själv.
Hantera medlemsregistret på ett säkert sätt
Föreningen måste se till att personuppgifterna skyddas så att de inte förloras eller hamnar i fel händer. Enligt GDPR måste ni vidta lämpliga tekniska och organisatoriska skyddsåtgärder, exempelvis genom säkra lösenord eller att begränsa behörigheter så att inte fler personer än nödvändigt kommer åt uppgifterna.
Om ni hanterar känsliga uppgifter och vill skicka dem via e-post är det viktigt att säkerställa att det kan ske på ett säkert sätt, till exempel genom kryptering för att förhindra att uppgifter kan läsas av någon annan än den avsedda mottagaren.