Foreningsliv Persondataforordning Sdr Felding 124 2018 Carina Roskilde

Foreningsliv & Persondataforordning Sdr. Felding 12/4 2018 Carina Roskilde, DPO Herning Kommune

Persondataforordning for dig og mig vv

vv

FORENINGEN ER DATAANSVARLIG • En personoplysning er enhver form for oplysning om en fysisk person, der kan bruges til at identificere den pågældende. Det gælder f. eks. navn, adresse og telefonnummer, og det omfatter f. eks. også oplysninger om en idrætsudøvers konkurrencedeltagelse, ranglistepoint, karantæner og skadessituation. vv • En personoplysning omfattes af reglerne i forordningen i alle tilfælde, hvor den behandles digitalt og i papirform, når de indgår i et register, f. eks. Et medlemsregister. • Foreningen skal overholde de krav, som ligger i forordningen om god og ordentlig databehandling. • Der skal udpeges en eller to der skal sikre, at reglerne overholdes og at der er styr på foreningens personoplysninger.

Grundlæggende regler for god databehandlingsskik • 1. Der skal altid være et klart og sagligt formål med at indsamle og behandle oplysningerne. Så som medlemmers navn, adresse, telefonnummer og fødselsdato og lign. – kontakt og kontingent. EKS: ikke sagligt formål, billeder, oplysninger om medlemmernes job, medlemskab af andre foreninger. • 2. I må ikke indsamle /behandle vv flere oplysninger end nødvendigt i forhold til det saglige formål. CPR-nummer på medlemmer er typisk unødvendigt, på andre end lønnede trænere og for indhentelse af børneattester. • 3. Registrerede oplysninger altid være korrekte og relevante. Det betyder f. eks. : at I skal rette eller slette urigtige oplysninger. • 4. Enhver form for behandling af Personoplysninger skal baseres på lovlige grunde (behandlingshjemmel).

Grundlæggende regler for god databehandlingsskik • 5. Løbende ajourføre jeres oplysninger og slette de oplysninger, der ikke længere tjener det oprindelige saglige formål. • 6. Sikre at personoplysninger opbevares forsvarligt, så de kun ses og behandles af dem somvvbør håndtere oplysningerne. Fx ikke printer eller gemmer en kopi af oplysningerne hvor andre kan få fat i oplysningerne. Der må ikke ske offentliggørelse af medlemslister på foreningens hjemmeside, men foreningens egne medlemmer, må godt kende medlemslisten (med nødvendige oplysninger. ) • 7. Personoplysninger må ikke videregives uden samtykke/ tilladelse. Fx til markedsføring, ranglister, stævner mv. forældresamtykke er obligatorisk for unge under 15 år.

Data sikkerhed vv adgang til oplysningerne for • Det vil sige, at der kun må være hvem det er nødvendigt. Typisk vil det være foreningens ledelse (bestyrelsesmedlemmer, ledere m. v. ) • Der skal være tilstrækkelig it-sikkerhed med bl. a. brug af et sikkert password og opdateret firewall. Ved cloud-baserede løsninger skal cloud-udbyderen kunne garantere for sikkerheden i databehandleraftalen. • Fysiske dokumenter (Papir mv. ) skal sikres i aflåst skab.

Brug af ekstern databehandler • Hvis foreningen benytter ekstern hjælp til at behandle sine personoplysninger eller ekstern leverandør af et it-system, er denne eksterne part databehandler. vv • I sådanne tilfælde skal der foreligge en databehandleraftale mellem foreningen og databehandleren (skabelon findes på DGIs hjemmeside)

DEN REGISTREREDES RETTIGHEDER • Den registrerede har efter forordningen en række rettigheder om f. eks. indsigt i oplysninger om vv sig selv, om korrektion af forkerte oplysninger og om indsigelse (f. eks. anmodning om sletning) vedrørende foreningens behandling. • Der skal findes en der kan kontaktes hvis I får henvendelser om disse forhold.

BRUD PÅ SIKKERHEDEN Hvis I som dataansvarlig, ved et uheld kommer til at lække oplysninger, bliver hacket eller påvvanden vis oplever et brud på datasikkerheden skal der, såfremt der er en risiko for de registrerede personer, ske anmeldelse af forholdet til Datatilsynet. Anmeldelse skal som udgangspunkt ske senest 72 timer efter, at I har opdaget sikkerhedsbruddet. I skal have en plan for, hvem i foreningen, der skal tage sig af at anmelde et sikkerhedsbrud, hvis det skulle forekomme.

Tænk dig om før du: • Registrer. • Printer. • Trækker data ud. • Gemmer på dit pc skrivebord. vv • Har personoplysninger i papir på opslagstavler, skrivebord, mapper, reoler mv. • Videregiver oplysninger i tale, på skrift eller mail. • Sender en mail • Ikke sletter

Foreningens TO DO liste I forbindelse med Persondataforordningen • Der skal laves en fortegnelse som er: Hvilke oplysninger behandles, hvem behandler dem, hvor arkiveres de m. v. Det skal bruges som dokumentation over for Datatilsynet. Samt udpege en el. to der har ansvaret. (Se Skabelon fortegnelsen) • Hvordan personoplysninger behandles skal være synligt for vv foreningens medlemmer, trænere, instruktører og frivillige (oplysningspligt) det kan gøres via en Privatlivspolitik (Se skabelon Privatlivspolitik ) • I skal have en tilpas datasikkerhed. (Adgangskontrol mv. ) • Overholde god og ordentlig databehandling (Slide 5+6) • Sikre der er databehandleraftaler med eksterne leverandører. • Anmelde brud på sikkerheden til Datatilsynet.

vv

Slides fra Conventus • Et værktøj til oprydning vv og vedligeholdelse.

Aktiver Oprydning i Conventus. Går til: 1 2 3 4 Administration Organisation Generelt Aktiver modulet

Accepter betingelser Går til: 1 Ja ved medlemstal 2 Aktiver I følger nu anbefalingerne Fra DGI og DIF

Eks: Et medlem er med til en aktivitet der slutter aug. 2018. 1. december får vedkommende en mail, hvori vedkommende kan give tilladelse til at foreningen må gemme personoplysninger i yderligere et år. Hvis der ikke svares på dette vil personen blive slettet 31. 12. 19. Hvis man er træner, leder, udvalgs eller bestyrelsesmedlem, bliver man ikke slettet.

Links og kontaktinformation Vejledning og skabeloner DGI: https: //www. dgi. dk/foreningsledelse/administration-iforeningen/bestyrelsens-ansvar-og-pligter/vejledning-tilidraesforeninger-om-persondataoplysninger Skabeloner og vejledning fra DGI og DIF kan anvendes, dog anbefales det at alle personoplysninger behandles fortroligt og som vv følsomme. Datatilsynet : https: //www. datatilsynet. dk Carina Roskilde DPO, Herning kommune carina. roskilde@Herning. dk TLF: 93594558