De fleste frivillige bestyrelser har det med at rynke på næsen, når nogen siger “GDPR”. Det lyder som noget for jurister og store virksomheder, ikke for en fodboldklub med 140 medlemmer og en kasserer, der styrer det hele fra en bærbar i køkkenet. Men reglerne gælder også jer. Den gode nyhed er, at det ikke er så indviklet, som det lyder, hvis man deler det op i de tre områder, hvor foreninger typisk snubler: billeder, medlemslister og de skærme, der hænger i klubhuset.

Her er den korte, kontante udgave, som hele bestyrelsen kan forstå på ét møde.

Billeder af medlemmer er ikke bare “hyggebilleder”

Et billede af et genkendeligt menneske er en personoplysning. Så snart I lægger et holdfoto op på Facebook eller trykker det i medlemsbladet, behandler I altså persondata. Det betyder ikke, at I skal have skriftlige kontrakter for hvert eneste snapshot til sommerfesten, men det betyder, at I skal have styr på hjemlen.

Skil to typer billeder ad. Situationsbilleder viser en aktivitet eller stemning: en flok børn til stævne, jubel på sidelinjen, en fyldt sal til generalforsamlingen. Dem kan I som udgangspunkt dele uden samtykke, så længe ingen hænges ud eller fremstilles negativt. Portrætbilleder derimod, hvor formålet tydeligt er at vise en bestemt person, kræver samtykke. Grænsen er ikke altid knivskarp, og derfor er den vigtigste regel den mest jordnære: spørg, hvis du er i tvivl, og fjern billedet uden diskussion, hvis nogen beder om det.

Husk især børnene. Er medlemmet under 15, skal I have samtykke fra forældrene, før portrætter deles offentligt. Lav en simpel afkrydsning på indmeldelsesblanketten, så slipper I for at jagte tilladelser bagefter.

Medlemslisten er guld værd – også for de forkerte

Medlemslisten er foreningens mest følsomme dokument. Navn, adresse, fødselsdato, telefonnummer, måske betalingsoplysninger og en note om, hvem der skylder kontingent. Alt sammen samlet ét sted. Det er præcis den slags data, GDPR er skabt til at beskytte.

To ting går galt igen og igen i foreninger. Det første er, at listen ligger frit tilgængelig, typisk som et regneark, der er blevet mailet rundt mellem seks skiftende bestyrelsesmedlemmer gennem årene. Det andet er, at ingen nogensinde sletter noget. Et medlem, der meldte sig ud i 2016, ligger stadig i systemet med fuldt CPR-fragment og gammel adresse.

Ryd op. Beslut hvor længe I gemmer oplysninger efter en udmeldelse (typisk kort tid af hensyn til regnskab og bogføringslovens krav), og hold jer til det. Sørg for, at kun de personer, der reelt har brug for adgang, kan se listen. Og undgå at sende følsomme lister rundt som løse vedlagte filer i almindelige mails, hvor de lever videre i alle mulige indbakker. Et ordentligt medlemssystem med adgangsstyring løser det meste af det her næsten af sig selv.

Skærmen i klubhuset: hvad må egentlig vises?

Flere og flere klubhuse har fået en infoskærm hængende ved indgangen eller i cafeteriet. Den viser træningstider, holdopstillinger, nyheder og måske et velkommen til nye medlemmer. Praktisk, men også et sted, hvor persondata pludselig bliver hængt op på væggen for alle, der går forbi.

Tommelfingerreglen er enkel: en skærm i et halvoffentligt rum må vise det, medlemmerne med rimelighed forventer at få vist offentligt. Træningstider, kampprogram og fornavne på en holdopstilling er sjældent et problem. Fulde navne kombineret med fødselsdato, restancelister eller fotos af enkeltpersoner uden samtykke hører derimod ikke hjemme på en skærm, som forældre, gæster og modstanderhold kan læse. Tænk over, at det, der er fint i en lukket medlemsportal, ikke automatisk er fint på en væg.

Der findes en god gennemgang af netop det her i denne artikel om GDPR og infoskærme i foreninger, som er værd at læse, inden I sætter strøm til skærmen.

Gør det til en rutine, ikke et projekt

Den fælde, jeg oftest ser, er, at GDPR bliver behandlet som et engangsprojekt: en heftig oprydning en enkelt eftermiddag, hvorefter alt får lov at sejle igen. Det holder ikke. Data flyder ind hele tiden, nye frivillige kommer til, og gamle skærme skifter indhold. Læg i stedet et fast punkt på et bestyrelsesmøde et par gange om året, hvor I gennemgår, hvem der har adgang til hvad, og om der er billeder eller lister, der skal luges ud.

Vælger I et system, der selv trækker data fra medlemsregisteret over på skærmen, slipper I samtidig for de manuelle lister, der ellers bliver liggende i mails og på USB-nøgler. Løsninger som KlubKlar er bygget til at hente indholdet automatisk, så I ikke skal kopiere følsomme oplysninger rundt manuelt, hver gang noget ændrer sig. Det gør ikke jeres ansvar mindre, men det fjerner nogle af de klassiske fejlkilder.

Kort opsummeret

GDPR i en forening handler ikke om at få en jurist på lønningslisten. Det handler om sund fornuft sat i system: spørg om lov til portrætter, hold medlemslisten låst og opdateret, og tænk dig om, før noget personhenførbart ryger op på en skærm, som alle kan se. Gør I de tre ting, er I nået længere end de fleste klubber i landet, og I sover roligere, næste gang ordet GDPR falder til generalforsamlingen.