Hjælp til jeres lokale GDPR-arbejde

Når I skal lave jeres fortegnelse, kan I finde og kopiere informationer fra korpsets privatlivspolitik. På den måde er I hurtigt nået rigtigt langt med jeres fortegnelse. 

Beskrivelserne i privatlivspolitikken dækker over korpsets behandlinger i Medlemsservice. Der er information om hvilke typer af personoplysninger, der behandles (navn, e-mail, mv.), hvem det vedrører (spejdere, frivillige, mv.), hvorfor behandlingerne finder sted samt hjemmel til behandlingerne. 

Behandler I personoplysninger om yderligere persongrupper, eller behandler I yderligere typer af personoplysninger, skal I huske at beskrive dette i jeres fortegnelse.

Husk også at beskrive, hvilke personoplysninger I behandler i jeres øvrige IT-systemer, fysiske arkiver, mv.

Vi anbefaler, at I så vidt muligt kun opbevarer information om spejderne i Medlemsservice. Når I kun opbevarer spejdernes personoplysninger ét sted, eller meget få steder, begrænser I mængden af opbevaret data (jf. reglen om dataminimering).

I korpsets privatlivspolitik finder I en beskrivelse af korpsets gængse behandlinger af personoplysninger, herunder formål med og lovligt grundlag (hjemmel) for behandlingerne af personoplysningerne.

Hvis I har yderligere behandlinger i jeres enhed, skal I huske at beskrive disse samt formål med og hjemlen for behandlingerne i jeres privatlivspolitik. 

Formål med opbevaring af persondata kan fx være:

• At kunne invitere nuværende og tidligere medlemmer til arrangementer, fx jubilæer.
• At værne om gruppens historie og have en samlet historik for gruppen lokalt.

I disse eksempler er hjemlen Databeskyttelsesforordningens Artikel 6, 1(f), også kendt som interesseafvejningsreglen.

Husk, at I kun må opbevare personoplysninger, som I har brug for at have (need-to-have, ikke nice-to-have). 

Børn og unge nyder en særlig beskyttelse ifølge Databeskyttelsesforordningen. Derfor skal vi være ekstra varsomme, når vi behandler børn og unges personoplysninger.

Da vi har mange børn og unge i korpset, bliver nye medlemmer ved indmeldelse i korpset spurgt om samtykke til, at vi må tage og bruge billeder af dem, for der skal ikke så meget til, før børnenes interesse i at undgå at blive afbilledet, vil overstige vores interesse i at offentliggøre billedet.

Vi vil desuden gerne give spejderen/forældrene mulighed for selv at vælge, om der må tages og bruges billeder af spejderen, da der ofte er mange følelser forbundet med brugen af billeder. 

Medlemmerne bliver både spurgt, om de vil give samtykke til brug af billeder til medlemskommunikation i både gruppen og hele korpset, og om de vil give samtykke til brug af billeder i markedsføring for gruppen. Når spejderen er under 13 år, skal forældrene træffe valget. 

Og hvad er så forskellen på medlemskommunikation og markedsføring?

Medlemskommunikation er, når I kommunikerer om spejderaktiviteter direkte til spejderne og deres pårørende. Det kan fx være historier i nyhedsmails og blade eller deling af billeder med spejderne, fordi det er sjovt for dem at kigge på billeder fra en lejr eller en aktivitet. 

Markedsføring er fx kommunikation i forbindelse med salg til eksterne, dvs. andre end spejderne selv og spejdernes nærmeste. Det kan fx være en reklame for juletræssalg eller en offentlig fastelavnsfest. Ved opslag, hvor I søger nye frivillige eller gør reklame for jeres gruppe for at få nye medlemmer, vil det være god stil kun at benytte fotos, hvor der er givet tilladelse til brug ved markedsføring. 

Husk altid at respektere spejderens valg. Dog må I selvfølgelig gerne gå i dialog med spejderne/forældrene, der ikke har givet samtykke til fotos, om spejderen i særlige tilfælde må være med på billeder, fx ved gruppebilleder.

Et godt råd er at gøre det til en vane at slette personoplysninger løbende, når der ikke længere er behov for at beholde dem.

Et andet godt råd er at nøjes med at gemme enkelte/de allerbedste fotos (og ikke alle 420 fotos fra en tur). Det gør det lettere at håndtere efterfølgende.

Husk, at man ikke må opbevare personoplysninger for evigt i en ubegrænset periode. Dette gælder også et historisk arkiv med gamle dagbøger, logbøger, mv. Her bør I løbende (fx hvert 3.-5. år) revurdere, hvad der forsat har relevans og skal gemmes. Pas på med følsomme og fortrolige personoplysninger.

Når I kasserer papirer med personoplysninger, bør de destrueres (brændes på bålet eller makuleres), så uvedkomne ikke får adgang til personoplysningerne.

Skriv gerne jeres overvejelser vedr. sletning ned og lav evt. sletteprocedurer for de enkelte systemer, arkiver, mv. Det gør jeres GDPR-arbejde lettere i længden. 

Vi anbefaler jer at lave fælles postkasser (e-mails), der kan gå i arv ved personskifter, fx formand@gruppe.dk, kasserer@gruppe.dk, osv. Det gør det lettere at holde styr på jeres persondata i gruppen. I sikrer samtidig, at relevant viden forbliver i gruppen. 

Derudover kan I med fordel indstille e-mail-postkasserne til at slette e-mails automatisk, fx 3 år efter modtagelse. Hvis I har brug for at gemme udvalgte e-mails i længere tid, fx e-mails med aftaler og kontrakter, kan disse gemmes et andet sted.

Der slettes ikke personoplysninger, der er nødvendige for at administrere aktive spejderes medlemskab.

Når I opretter arrangementer i Medlemsservice, bør I gøre brug af funktionen automatisk sletning, hvis der spørges ind til helbredsoplysninger eller andre følsomme eller fortrolige oplysninger. Sletning 30 dage efter afholdt arrangement er passende. Alternativt skal I huske at slette oplysningerne manuelt, umiddelbart efter arrangementet er slut. Dette gøres lettest ved brug af funktionen Automatisk sletning, der også kan bruges efter, at arrangementet er slut.

Uploader i filer med personoplysninger i Medlemsservice skal I selv huske at slette disse manuelt, når de ikke længere skal bruges. 

Når en spejder stopper i gruppen, slettes eventuelle helbredsoplysninger automatisk af systemet 1 måned efter medlemskabets ophør.

Pga. bogføringsloven skal tidligere medlemmers øvrige personoplysninger gemmes i 5 år plus indeværende år efter medlemskabets ophør. Herefter anonymiseres de tidligere medlemmers personoplysninger automatisk. I behøver derfor ikke slette tidligere spejderes personoplysninger manuelt. 

Hvis nye spejdere melder sig ind i jeres gruppe via Medlemsservice, mødes de – medmindre jeres gruppe har valgt at gøre noget andet – af denne tekst: ”Læs mere om landsorganisationens behandling af dine og dit barns personoplysninger her” med et link til korpsets privatlivspolitik. Dette opfylder som udgangspunkt jeres oplysningspligt. 

Hvis I har yderligere eller afvigende behandlinger, skal I lave jeres egen privatlivspolitik lokalt og huske at henvise jeres spejdere til denne eller på anden vis opfylde oplysningspligten. 

Hvis I skal udarbejde jeres egen privatlivspolitik, kan I bruge denne skabelon og nøjes med at rette til. 

Hvis I har en anden indmeldelsesprocedure, skal I sikre jer, at nye medlemmer præsenteres for landsorganisationens og evt. jeres egen privatlivspolitik i løbet af de første uger fra indmeldelsen.  

Hvis et medlem beder om at få slettet alle sine persondata, skal I tænke jer om, før I går i gang med at slette løs. Man har ret til at få slettes sine persondata, men kun i de tilfælde, hvor der ikke er en retlig forpligtelse, der strider mod det. Fx kræver bogføringsloven, at vi gemmer udvalgte oplysninger i 5 år plus indeværende år.

Når I giver nye frivillige adgang til spejderes personoplysninger, fx i Medlemsservice, skal de klædes på, så de kender reglerne for håndtering af personoplysninger.

I er velkomne til at bruge denne guide til nye frivillige

Udover at begrænse adgange til bygninger, aflåste skabe og IT-systemer, anbefaler vi jer også at lave adgangsbegrænsning til mapper og funktioner i IT-systemerne. 

Overvej, hvem der har brug for at have adgang til en given mappe og begræns adgangen til disse personer. Sørg for løbende at tjekke, om det er de rette personer, der har adgang. 

I skal have en plan for, hvad I gør, hvis der sker et brud på datasikkerheden. Hvem gør hvad hvornår? Og er ansvarspersonerne klædt på til opgaven?

Et databrud kan fx ske i forbindelse med et hackerangreb, hvis en computer med personoplysninger bliver stjålet, eller hvis uvedkomne har haft adgang til personoplysninger, online eller i den fysiske verden, fx hvis en leder glemmer et dokument med personoplysninger i bussen.

Hvis databruddet vedrører korpsets fælles systemer, fx Medlemsservice, bedes i kontakte Korpskontoret hurtigst muligt.

På Datatilsynets hjemmeside kan I finde en vejledning til håndtering af databrud. I finder den her.

Husk, hvis der er tale om et alvorligt databrud, er der en frist på 72 timer, fra man opdager databruddet, til man skal have sendt en anmeldelse til Datatilsynet. 

Opbevaring af persondata i cloud-tjenester kræver en særlig opmærksomhed. I skal (som altid) sikre jer, at databehandleren har styr på sikkerheden. Og især hvis I gemmer følsomme eller fortrolige persondata i systemet. 

Datatilsynet har udgivet en vejledning, som vi vil anbefale jer at følge, hvis I bruger eller overvejer at bruge en cloud-tjeneste. I finder den her.

Hvis I tegner abonnement med en cloud-tjeneste, vil vi anbefale, at det gøres med en af gruppens e-mailadresser (ikke en privat e-mailadresse). 

Som beskrevet i Datatilsynets vejledning skal I have styr på jeres databehandlere. Medlemsservice er en af dem. Alle grupper, regioner, Korpskontoret og andre enheder under korpset er fælles dataansvarlige for persondata i Medlemsservice, og vi har derfor indgået en aftale om dette, som også indeholder en aftale for de tilfælde, hvor vi agerer databehandlere for hinanden. Korpskontoret har ansvaret for selve databehandleraftalen med systemleverandøren.