Att lagra, använda och samla in registeruppgifter

De nya kraven på personuppgiftsregister innebär begränsningar för lagringen av register. Ett register ska, med undantag för specialsituationer, vara lagrat i EU-området och åtkomsten till registret ska begränsas noggrannare än tidigare. Dessutom ska lagringsmediet vara datasäkert. När du väljer lagringssätt ska du beakta registrets storlek – En av dataskyddsförordningens principer är rimlighet, och för ett småskaligt register krävs inga enorma ansträngningar.

Nedan olika sätt att lagra, använda och samla in uppgifter samt fördelarna och nackdelarna med dem.

Lagring och användning

• Delad fil på en kryptodiskpartition – en fil som skapats med ett kryptografiskt program, till exempel VeraCrypt, där innehållet är starkt skyddat. Filen öppnas med ett lösenord och syns då som en egen diskpartition på datorn. Filen kan lugnt delas i molntjänster som Google Drive eller OneDrive där föreningens ansvariga person kan administrera användarna.
• Fördelar: Hög datasäkerhet. Det går att lagra vad som helst på disken, så registret kan föras i vilket format som helst. Snabbt att förverkliga.
• Nackdelar: Den som är oinsatt i IT behöver lära sig hur systemet används.
• Delad exceltabell – Även exceltabeller kan delas i molntjänster om de skyddas med lösenord. Liksom med diskpartitioner ska användaradministreringen ske med hjälp av en lagringstjänst.
• Fördelar: Mycket enkel att ta i bruk och använda. Mycket lämplig för småskalig verksamhet.
• Nackdelar: Begränsat format att spara i. Datasäkerheten inte jättehög.
• Egen fysisk lagringsdisk, till exempel föreningens server – Linuxbaserad lösning som operativsystem. Bra val om föreningen redan har en server och kompetens i serverunderhåll. När registren sparas lönar det sig att med hjälp av RAID-teknik eller säkerhetskopior försäkra sig om att uppgifterna är intakta. Med certifikat från LetsEncrypt numera gratis anslutning till servern direkt från webbplatsen.
• Fördelar: Möjliggör mycket hög datasäkerhet och direkt kommunikation mellan applikationerna. Mångsidig hantering av användarrättigheter via operativsystemet. Möjliggör automatisering av registren.
• Nackdelar: Underhållet mest krävande av alla alternativ. Den som inte känner till linuxvärlden måste lära sig mycket nytt. Kräver att föreningen har en egen fysisk lokal och utrustning.

Elektronisk insamling

• G suite - Googles avgiftsbelagda företagsversion. Den avgiftsbelagda versionen av Googles tjänster forms och drive uppfyller med certifikatet Privacy Shield kraven i dataskyddsförordningen.
• Fördelar: Ett välfungerande och enkelt sätt att skapa anmälningsformulär
• Nackdelar: Avgiftsbelagd, 4€/mån.
• Microsoft Forms genom o365 som Aalto erbjuder. Obs:  Aalto har ännu inte gett något officiellt svar på om ändamålet överensstämmer med användningsvillkoren. Om det fungerar motsvarar tjänsten Google forms. Tas i bruk enligt anvisningarna: https://it.aalto.fi/fi/ohjeet/onedrive-business-kayttoonotto.
• Fördelar: Gratis och behändig.
• Nackdelar: Den som gör en enkät måste vara aktiv student vid Aalto. Ingen officiell bekräftelse om användningsvillkoren.
• Egna webbplatsformulär – enkelt till exempel i wordpress.
• Fördelar: Gratis, goda möjligheter att skräddarsy via plattformen.
• Nackdelar: Arbetskrävande jämfört med alternativen.

Allmänna förberedande anvisningar om dataskyddsförordningen

Kärnan i EU:s nya dataskyddsförordning är att stärka EU-medborgarnas rätt till sina egna personuppgifter. Förordningen har 99 artiklar och är som EU:s lagstiftning brukar vara ofta flummigt formulerad och svårtydd. Lagens krav beror dock på mängden personuppgifter som samlas in, ändamålet och hur känsliga uppgifterna är. Därför är det inget oöverstigligt hinder för en normal förening att iaktta lagen.

I artikel 5 anges principerna för korrekt behandling av personuppgifter. Den personuppgiftsansvariga, i det här fallet föreningen, ska på begäran av en myndighet kunna visa att principerna iakttagits när det gäller föreningens register.

Dessutom föreskriver lagen att den registrerade har rätt att begära att se och rätta de uppgifter som samlats in om hen. Den registrerade kan också begära att uppgifterna raderas.

Principer för behandlingen av personuppgifter

Personuppgifter ska behandlas enligt följande principer:

• Behandlingen ska vara laglig, korrekt och öppen. 
• Ändamålet ska vara uttryckligt angivet och lagligt.
• Till exempel får uppgifter som samlats in för ett medlemsregister inte senare användas i direktmarknadsföring.
• Mängden uppgifter som behandlas ska minimeras.
• Det är lätt att motivera varför e-postadresser samlas in för ett medlemsregister, men mycket svårare att motivera varför det är rimligt eller ändamålsenligt att samla in IP-uppgifter.
• Uppgifterna ska vara uppdaterade.
• Föreningarna inom AUS ska i sina bidragsansökningar ange andelen och antalet AUS-medlemmar av sina medlemmar, vilket ofta utgör ett problem när det gäller uppgifternas aktualitet. I sista hand är det den registrerade personens eget ansvar att se till att uppgifterna är uppdaterade, om föreningen inte kan konstatera det på något annat sätt, till exempel genom en avaktiverad e-postadress.
• Uppgifterna ska inte lagras när de inte längre uppfyller sitt ändamål.
• Medlemsregistret ska innehålla uppgifterna om alla medlemmar, så uppgifterna ska raderas genast i samband med att en medlem utesluts eller avgår.
• Uppgifter som samlats in för ett evenemang ska raderas inom en rimlig tid efter evenemanget. 2–4 veckor är en rimlig tid, och enstaka uppgifter kan lagras en längre tid om de behövs för en oavslutad åtgärd, till exempel om deltagaravgiften är obetald.
• Uppgifterna ska förvaras på ett säkert sätt.
• De ska förvaras så att endast behöriga, namngivna personer i föreningen har tillgång till dem. Uppgifterna bör alltid skyddas så att till exempel förvarande tredje parters systemadministratörer inte kan läsa dem. Uppgifterna kan skyddas med ett lösenord som är gemensamt för föreningen, om tillgången till uppgifterna också begränsats med personliga användarnamn.
• Också uppgifternas integritet ska säkerställas.
• Den personuppgiftsansvariga är ansvarig för att dessa principer iakttas och för att på begäran kunna visa för en myndighet att principerna iakttagits.

Att iaktta lagen i praktiken

I en relativt liten förening kan åtgärderna som krävs för att iaktta dataskyddsförordningen delas in i tre helheter:

1.     Förvaring och användning av personregister

Register i elektronisk form ska förvaras så att

a)      Enbart namngivna personer har tillgång till registret. Det här kan genomföras genom att ge alla personer som behandlar uppgifter egna, personliga användarnamn. Till exempel vid förvaring på Otax kan ett gemensamt användarnamn tillämpas om något personligt krävs för att kunna använda själva namnet (i fallet Otax personliga privatnycklar).

b)     Om informationen lagras där andra användare har mer omfattande rättigheter, till exempel i molntjänster eller Otax, ska uppgifterna hemlighållas för dessa personer. I det här fallet räcker det med ett eget gemensamt lösenord för föreningen som byts ut varje mandatperiod. Uppgifterna kan skyddas till exempel med ett lösenord för exceltabeller eller genom att komprimera uppgifterna i ett lösenordsskyddat zip/7z-paket.

c)      Uppgifternas integritet säkerställs. I en tjänst som upprätthålls av en extern part uppfyller denna part sannolikt detta krav men det lönar sig att kontrollera saken.

När föreningen använder ett eget lagringsmedium, till exempel föreningens egen server, ska man regelbundet göra automatiska säkerhetskopior.  Säkerhetskopiorna ska finnas på ett separat fysiskt lagringsmedium. Till exempel RAID 1-teknik och e-postaviseringar till en allmän adress om lagringsmediet går sönder (till exempel hallitus@yhdistys.fi , huvudsaken är att adressen inte är beroende av en person) räcker bra.

d)     Säkerställ att användarnamn och lösenord kan återställas. Det är ytterst viktigt att medlemsregistret inte förstörs om lösenorden försvinner. Om föreningen har ett kassaskåp kan lösenordet för root-rättigheterna förvaras där. Annars räcker det med den registeransvarigas hem, såvida inte informationen syns alltför tydligt. Det är absolut lagstridigt att förvara lösenordet bredvid servern eller fasttejpat på skärmen.

2.     Informera den registrerade

Vid registreringstidpunkten ska den registrerade informeras om vilka uppgifter som samlas in för registret, om deras användningsändamål, förvaringsprinciperna, rätten att lämna in klagomål och många andra saker. På den här sidan finns exempel på dataskyddsbeskrivningar som innehåller all nödvändig information. Observera att du ska säkerställa att din förening verkligen vidtar alla åtgärder som nämns i exempeldokumenten om du använder dem. Om en del saker är omöjliga för er att genomföra ska ni inte heller lova det. En länk till dataskyddsbeskrivningen i registreringsskedet uppfyller effektivt det här kravet.

Den registrerade kan kräva av den personuppgiftsansvariga att få uppgifterna om sig själv. Kravet ska uppfyllas inom en rimlig tid, högst en månad, och gratis. Man kan kräva att den registrerade bestyrker sin identitet bättre om de uppgifter som ska överlåtas är omfattande eller känsliga.

Om begäran är orimlig, till exempel om personen begär alla bilder på sig själv ur ett låst bildgalleri, kan man ta ut en rimlig avgift eller be den registrerade precisera sin begäran. Det lönar sig dock att lösa sådana situationer från fall till fall och vid behov be dataombudsmannen om hjälp med att lösa situationen om den registrerade är oförmögen till samarbete.

Observera att dataskyddsbeskrivningen är obligatorisk först när den personuppgiftsansvariga har fler än 250 anställda. Lagens krav på att informera en registrerad kan också uppfyllas på andra sätt om man absolut vill göra det.

3.     Visa att principerna följs

Även den personuppgiftsansvarigas bevisskyldighet kan uppfyllas genom dokumentation. Exempeldokumentet för en dataskyddspolicy som finns på den här sidan ger en bra grund för hur man kan iaktta principerna. När policyn utarbetas ska endast de saker som den personuppgiftsansvariga verkligen kommer att genomföra inkluderas i dokumentet.

Möjliga sanktioner

Sanktionerna enligt dataskyddsförordningen kan verka astronomiska: 20 miljoner euro eller 4% av organisationens globala omsättning per förseelse. På grund av sanktionernas omfattning har advokatbyråer och programmeringsföretag börjat tillhandahålla dyra konsulttjänster som hjälp för att skydda organisationen. Faktum är dock att sanktionerna är proportionella till den skada som förseelsen orsakar. På föreningsnivå kommer sanktionerna sannolikt att begränsas till en anmärkning från Finlands dataombudsman.