Jäsenrekisteri ja GDPR: muistilista

Yhdistys on rekisterinpitäjä

Tietosuoja-asetuksessa rekisterinpitäjä on se, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Yhdistyksen jäsenrekisterissä se on yhdistys itse. Käytännössä hallitus huolehtii siitä, että yhdistys noudattaa velvoitteitaan.

Jos jäsenrekisteri on ulkopuolisen palvelun järjestelmässä, palveluntarjoaja on henkilötietojen käsittelijä. Tietosuoja-asetus edellyttää, että rekisterinpitäjän ja käsittelijän välillä on sopimus käsittelystä. Tarkista, että sopimus on olemassa ja että tiedot säilytetään EU:ssa tai siirrolle on asianmukainen peruste.

Säilytysajat ja eronneet jäsenet

Kun jäsen eroaa, kaikkia tietoja ei tarvitse poistaa samana päivänä, mutta niiden säilyttämiselle pitää olla peruste. Kirjanpitoon liittyvät tiedot säilytetään kirjanpitolain mukaan: esimerkiksi tositteet säilytetään kuusi vuotta sen vuoden lopusta, jonka aikana tilikausi päättyi. Yhteystiedot ja muut jäsenyyteen liittyvät tiedot poistetaan, kun niitä ei enää tarvita.

Kirjaa säilytysajat tietosuojaselosteeseen ja sovi, kuka poistot tekee ja milloin. Yksinkertaisin tapa on käydä rekisteri läpi kerran vuodessa, esimerkiksi tilinpäätöksen yhteydessä.

Tietopyynnöt ja tietoturvaloukkaukset

Jäsen voi pyytää kopion tiedoistaan tai niiden korjaamista. Pyyntöön on vastattava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa. Määräaikaa voi tietyissä tilanteissa pidentää, mutta siitä on kerrottava pyytäjälle kuukauden kuluessa.

Jos jäsenlista päätyy vääriin käsiin, esimerkiksi sähköpostin liitteenä väärälle vastaanottajalle, kyse voi olla tietoturvaloukkauksesta. Loukkaus on ilmoitettava tietosuojavaltuutetun toimistolle 72 tunnin kuluessa siitä, kun se tuli tietoon, ellei siitä todennäköisesti aiheudu riskiä ihmisten oikeuksille. Kirjaa kaikki loukkaukset, myös ne, joista ei ilmoiteta.

Associatifyssa jäsentietojen näkyvyyttä rajataan käyttäjärooleilla, jäsenen tiedot löytyvät yhdestä paikasta tietopyyntöä varten ja rekisterin voi viedä CSV-tiedostona. Palvelu isännöidään EU:ssa.

Tietosuojaseloste ja viestinnän perusteet

Tietosuoja-asetus edellyttää, että jäsenille kerrotaan henkilötietojen käsittelystä. Käytännössä yhdistys laatii tietosuojaselosteen, jossa kerrotaan ainakin rekisterinpitäjän yhteystiedot, käsittelyn tarkoitukset ja perusteet, tietojen vastaanottajat, säilytysajat ja rekisteröidyn oikeudet.

Jos yhdistys lähettää jäsenille muutakin kuin jäsenyyteen liittyvää viestintää, esimerkiksi yhteistyökumppanien tarjouksia, sille tarvitaan oma peruste, usein jäsenen suostumus. Kirjaa, kuka on antanut suostumuksen ja milloin, ja tee sen peruminen helpoksi.

Mitä GDPR edellyttää jäsenrekisteriltä

Muistilista

• Laadi tietosuojaseloste ja pidä se saatavilla.
• Kirjaa käsittelyn peruste ja tietojen säilytysajat.
• Rajaa, kuka näkee ja käsittelee jäsentietoja.
• Mahdollista tietojen tarkastus, korjaus ja poisto.
• Suosi EU-isännöityä järjestelmää.

Kenelle tämä muistilista on

Yhdistyksille ja järjestöille, jotka ylläpitävät jäsenrekisteriä ja haluavat varmistaa, että tietosuoja on kunnossa.

Usein kysytyt kysymykset