De fleste foreninger opdager først GDPR, når noget går skævt. Et medlem klager over et billede fra klubfesten. En forælder spørger, hvorfor hele holdlisten med efternavne og fødselsår ligger frit fremme på hjemmesiden. Eller den nye kasserer finder en ti år gammel medlemsliste i en delt mappe, som ingen længere ved hvem har adgang til. Og så sidder bestyrelsen der en tirsdag aften og skal tage stilling til noget, der lyder som en juraeksamen.

Den gode nyhed er, at reglerne er til at overskue for en almindelig forening. I behandler typisk de samme fire-fem slags oplysninger, og for hver af dem findes der et ret klart svar på, hvad I må, og hvad I skal. Det kræver ikke en advokat på lønningslisten. Det kræver, at én person i bestyrelsen bruger et par aftener på at forstå det grundlæggende og skrive det ned.

Medlemslisten: jeres mest harmløse data

Navn, adresse, mail, telefonnummer, fødselsdato og hold. Det er kernen i enhver medlemsliste, og det er det, loven kalder almindelige personoplysninger. Dem må I behandle uden at spørge nogen om lov, fordi I har brug for dem for at drive foreningen: opkræve kontingent, sætte hold og give besked, når træningen flytter. På GDPR-sprog er behandlingen nødvendig for at opfylde medlemskabet.

Det betyder ikke, at alt er tilladt. Tommelfingerreglen er, at data skal blive der, hvor der er brug for dem. Træneren skal have sin holdliste, og kassereren skal have betalingerne, men den samlede liste over alle 340 medlemmer behøver ikke ligge i en mappe, som hele bestyrelsen plus tre tidligere formænd stadig har adgang til. Og når nogen melder sig ud, skal deres oplysninger slettes efter en rimelig periode. Bilag med betalinger skal gemmes i fem år efter bogføringsloven, men resten kan som udgangspunkt ryge ud, når mellemværendet er gjort op.

Billeder: glem den gamle tommelfingerregel

Mange husker stadig reglen om, at situationsbilleder måtte offentliggøres frit, mens portrætter krævede samtykke. Den skarpe skelnen har Datatilsynet forladt som fast regel. I dag skal I lave en konkret vurdering: Hvad viser billedet, og ville personen med rimelighed have noget imod at se det offentliggjort?

I praksis kommer man langt med tre spørgsmål. Er billedet harmløst? Glade gymnaster til opvisning er én ting, en udmattet spiller i tårer efter et nederlag noget andet. Er der børn på billedet, og har forældrene sagt god for det? Og ville I selv være ligeglade, hvis det var jer, der stod der med rød saftevand ned ad trøjen? Mange foreninger vælger at spørge om lov én gang ved indmeldelsen og gøre det let at sige nej. Det er ikke altid et lovkrav, men det sparer diskussioner, og det er i sig selv meget værd.

Samtykke er ikke altid svaret

En sejlivet misforståelse siger, at GDPR betyder, at man skal indhente samtykke til alt. Det er nærmest omvendt. Samtykke er den mest skrøbelige hjemmel af dem alle, fordi det altid kan trækkes tilbage, og fordi I skal kunne bevise, at det blev givet frivilligt. Kan I i stedet pege på, at behandlingen er nødvendig for medlemskabet, eller at den ligger inden for det, medlemmerne med rimelighed forventer, står I langt stærkere.

Brug samtykke dér, hvor der reelt er et frit valg: billeder på sociale medier, nyhedsbreve til folk uden for foreningen eller det årlige sponsorkatalog med spillerportrætter. Men lad være med at bede om samtykke til selve medlemslisten. Den må I nemlig føre i forvejen, og et samtykke, som et medlem senere trækker tilbage, skaber kun forvirring om noget, I hele tiden har haft ret til.

Når data ryger op på skærmen i klubhuset

Flere og flere klubber hænger en infoskærm op i hallen eller klubhuset med træningstider, holdplaner og dagens kampe. Praktisk, men det er også offentliggørelse: Alle, der går forbi, kan læse med. Derfor gælder samme logik som på hjemmesiden. Fornavne på en træningsplan er sjældent et problem, mens restancelister og fraværsoversigter aldrig hører hjemme på en storskærm. Vil I have det sort på hvidt, har folkene bag infoskærm-løsningen KlubKlar skrevet en jordnær gennemgang af GDPR-reglerne for infoskærme i foreninger med netop den slags eksempler. Den type løsninger henter i øvrigt selv holdplaner og tider direkte fra medlemssystemet, og det er faktisk en pointe i sig selv: Jo færre steder de samme oplysninger vedligeholdes i hånden, jo mindre kan gå galt.

Skriv det ned på én side

Det sidste skridt er det, de fleste springer over: Skriv jeres praksis ned. Ikke tyve sider med paragrafhenvisninger, men én side, der svarer på fire ting. Hvilke oplysninger gemmer I, og hvorfor? Hvor ligger de, og hvem har adgang? Hvornår sletter I? Og hvem skriver man til, hvis man vil have noget rettet eller slettet?

Det dokument er i praksis en privatlivspolitik, og det er jeres bedste svar, den dag et medlem spørger kritisk. Man behøver ikke opfinde formatet selv; der findes gennemgange af, hvordan man skriver en privatlivspolitik til foreningen i et sprog, som både bestyrelsen og medlemmerne kan læse uden kaffe nummer tre. Læg den på hjemmesiden, og henvis til den i velkomstmailen til nye medlemmer. Så er I foran de fleste.

Databeskyttelse i en forening er i bund og grund almindelig ordentlighed sat i system. Gem det, I har brug for, dér hvor der er brug for det, og slet resten. Spørg om lov, når det reelt er et valg, og lad være, når det ikke er. Skriv jeres beslutninger ned, så svaret findes, før spørgsmålet kommer. Det er ikke jura på højt niveau. Det er dataforståelse på præcis det niveau, hvor den bliver brugt i hverdagen.