GDPR og infoskærme: hvad må foreningen vise på skærmen?

"Må vi overhovedet vise det på skærmen?" Spørgsmålet dukker op i de fleste bestyrelser, kort efter at infoskærmen er kommet op at hænge. Og det er godt, at det gør – for en infoskærm i forhallen er offentlig kommunikation, og GDPR gælder også dér.

Den gode nyhed er, at det i praksis handler om sund fornuft og et par gode rutiner – ikke om "alt det med småt". I denne guide gennemgår jeg de typiske situationer fra en forenings hverdag og de rutiner, vi selv bruger i Borup Fitness, så I kan bruge skærmen med god samvittighed.

1 Hvorfor er GDPR relevant for en infoskærm?

Mange tænker på GDPR som noget med databaser og cookies. Men en personoplysning er enhver oplysning, der kan knyttes til en bestemt person – og dem viser en typisk foreningsskærm faktisk en del af:

• Navne i holdkalenderen. "Spinning med Marianne kl. 17" er en personoplysning om Marianne.
• Billeder af frivillige og medlemmer. Et genkendeligt foto er en personoplysning – uanset om det er et portræt eller et stemningsbillede fra hallen.
• Fødselsdagshilsner og jubilæer. "Tillykke til Peter, der fylder 60 i dag" kobler navn og fødselsdato.

At noget er en personoplysning, betyder ikke, at det er forbudt at vise det. Det betyder bare, at foreningen skal have en god grund – et såkaldt behandlingsgrundlag – og behandle oplysningerne ordentligt. Det er som udgangspunkt ikke sværere, end det lyder.

2 De typiske situationer – én for én

Holdkalender med instruktørnavne

At vise, hvem der underviser på hvilke hold, er som udgangspunkt uproblematisk. Det er en naturlig del af rollen som instruktør, og foreningen vil typisk kunne støtte sig til sin legitime interesse i at informere medlemmerne. Best practice er alligevel at nævne det for nye instruktører, når de starter – og at respektere det, hvis en instruktør ønsker kun at stå med fornavn eller slet ikke at blive vist.

Billeder af ansatte og faste frivillige

En "mød teamet"-slide med billeder af trænere og frivillige er populær – og her bør I som udgangspunkt indhente samtykke, fordi personen er i fokus på billedet. Spørg, før billedet tages, og gør det klart, hvad det skal bruges til. De fleste siger gerne ja, når de bliver spurgt pænt – og et nej skal være lige så nemt at give.

Billeder fra arrangementer

Stemningsbilleder fra opvisningen eller sommerfesten ligger typisk i en gråzone: Jo mere et billede handler om situationen frem for enkeltpersoner, jo lettere er det at vise. Portrætlignende billeder, hvor én person er tydeligt i fokus, kræver som udgangspunkt samtykke. En god rutine er at annoncere ved arrangementet, at der tages billeder til foreningens skærm og kanaler – og vær særligt tilbageholdende med billeder af børn, hvor forældrenes accept altid bør være på plads.

Hilsner og fødselsdage

Fødselsdagshilsner og jubilæer skaber fællesskab, men de kobler navn og dato – så her er "spørg først" den rigtige tilgang. Det klares nemt med et felt ved indmeldelsen eller en hurtig besked. Og husk: Ikke alle synes, deres runde fødselsdag er en offentlig begivenhed.

3 Gode rutiner, der holder i praksis

GDPR-arbejdet i en forening står og falder med rutinerne – ikke med lange dokumenter. Fire vaner rækker langt:

• Få samtykke på skrift. En kort formular eller et felt i indmeldelsen er nok. Det vigtige er, at I bagefter kan se, hvem der har sagt ja til hvad – hukommelsen er en dårlig protokol.
• Gør det nemt at sige nej. Et samtykke er kun reelt, hvis nej er en lige så nem mulighed. Ingen skal føle sig presset til at være med på skærmen for at være med i fællesskabet.
• Fjern indhold, når nogen beder om det. Fortryder et medlem, skal billedet eller navnet af skærmen – uden diskussion og uden unødig ventetid. Sørg for, at flere i foreningen ved, hvordan man gør.
• Vis aldrig følsomme oplysninger. Helbred, skader, fravær, religiøse eller politiske forhold hører aldrig hjemme på en infoskærm. Heller ikke "i sjov" – skærmen i forhallen læses af alle, der går forbi.

Skriv rutinerne ind i foreningens privatlivspolitik, så både medlemmer og frivillige kan se, hvordan I håndterer billeder og navne.

4 Leverandørens rolle: databehandleraftale og EU-hosting

Når infoskærmen viser navne og billeder, behandler jeres leverandør personoplysninger på foreningens vegne. Foreningen er dataansvarlig, leverandøren er databehandler – og så skal der som udgangspunkt en databehandleraftale på plads. Aftalen fastlægger, hvad leverandøren må gøre med oplysningerne, hvordan de beskyttes, og hvad der sker med dem, hvis samarbejdet stopper.

Spørg også, hvor data opbevares. Hosting inden for EU gør livet markant lettere, fordi I slipper for de særlige regler om overførsel af data til tredjelande.

For gennemsigtighedens skyld: KlubKlar har en databehandleraftale, der følger med løsningen, og alle data hostes i EU. Det er den slags, I bør forvente som standard hos enhver leverandør – ikke som tilkøb.

5 Tjekliste til foreningen

Tag listen her med til næste bestyrelsesmøde – den dækker de vigtigste punkter:

• Har vi styr på, hvilke personoplysninger skærmen faktisk viser?
• Har vi spurgt instruktører og frivillige, før vi viser navne og billeder?
• Har vi skriftligt samtykke til portrætbilleder og fødselsdagshilsner?
• Ved flere i foreningen, hvordan man hurtigt fjerner indhold fra skærmen?
• Er det aftalt, at følsomme oplysninger aldrig vises – heller ikke i sjov?
• Har vi en databehandleraftale med skærm-leverandøren?
• Ved vi, om vores data hostes i EU?
• Nævner vores privatlivspolitik, hvordan vi bruger billeder og navne?

Ofte stillede spørgsmål

Må vi vise instruktørernes navne på infoskærmen?

Som udgangspunkt ja, når det er nødvendigt for driften – fx i en holdkalender, hvor medlemmerne skal kunne se, hvem der underviser. Den bedste praksis er dog altid at fortælle instruktørerne det først og respektere det, hvis nogen ikke ønsker sit navn vist.

Skal vi have samtykke for at vise billeder af medlemmer?

Typisk ja – især ved portrætlignende billeder, hvor personen tydeligt er i fokus. Få samtykket på skrift, gør det nemt at sige nej, og fjern billedet igen, hvis personen senere fortryder.

Skal vores infoskærm-leverandør have en databehandleraftale?

Som udgangspunkt ja, hvis leverandøren behandler personoplysninger på foreningens vegne – fx navne i en holdkalender eller billeder af medlemmer. Databehandleraftalen fastlægger, hvad leverandøren må gøre med oplysningerne, og hvordan de beskyttes.