De flesta styrelser tänker på hemsidan som ett kommunikationsverktyg. Juridiskt är den också något annat: en plats där föreningen samlar in och lagrar personuppgifter. Och ansvaret för de uppgifterna ligger inte hos webbyrån, inte hos webbhotellet och inte hos den i styrelsen som råkar sköta sajten. Det ligger hos föreningen som juridisk person. Föreningen är personuppgiftsansvarig, och styrelsen är den som företräder den.
Dataskyddsförordningen, som de flesta kallar GDPR, har gällt sedan den 25 maj 2018 och omfattar både ideell förening och ekonomisk förening. Det är ändå sällan någon säger ansvarsfrågan rakt ut, och det är därför den här artikeln finns. Nedan går vi igenom vad som faktiskt gäller, vad ni behöver ha på plats och vad ni gör den dagen något går fel. Betrakta det som en översikt att utgå från, inte som juridisk rådgivning.
Vad räknas som personuppgifter på en föreningshemsida?
Mer än de flesta tror. En personuppgift är all information som direkt eller indirekt kan knytas till en levande person, och på en typisk föreningssajt samlas det in på fler ställen än styrelsen brukar räkna med.
Det uppenbara är medlemsregistret och kontaktformuläret. Men dit hör också anmälningar till aktiviteter, prenumeranter på nyhetsbrevet, kommentarer på inlägg, bilder från årsmötet där enskilda går att känna igen, protokoll som namnger ledamöter, och de loggar som webbhotellet sparar med besökarnas IP-adresser. Även en enkel informationssajt hanterar alltså personuppgifter, oftast utan att någon aktivt bestämt det.
Vilken rättslig grund har ni?
All behandling av personuppgifter kräver en rättslig grund, och det är här många föreningar blir osäkra. För medlemsregistret är svaret oftast enklare än man tror: medlemskapet är ett avtal, och för att administrera medlemskapet behöver föreningen uppgifter som namn, adress, telefonnummer och e-post. Den grunden bär det mesta av den löpande hanteringen.
För utskick till personer som inte är medlemmar, exempelvis ett nyhetsbrev, är samtycke normalt rätt grund. För sådant som publicering av bilder eller kontaktuppgifter till ledare landar man ofta i en intresseavvägning, och då är poängen att ni faktiskt gör avvägningen och skriver ner den, inte att den alltid utfaller åt ena hållet.
Två saker förtjänar särskild uppmärksamhet. Personnummer får bara behandlas när det är klart motiverat, och för många föreningar räcker namn och födelseår gott. Känsliga personuppgifter har strängare regler än vanliga uppgifter, och hit hör bland annat hälsa, etniskt ursprung, religiös eller politisk uppfattning, fackligt medlemskap och biometriska uppgifter. En idrottsförening som antecknar skador hanterar hälsouppgifter, även om det inte känns så.
För föreningar med politiskt, filosofiskt, religiöst eller fackligt syfte finns ett undantag i dataskyddsförordningen som gör att de får behandla känsliga personuppgifter om sina egna medlemmar inom den ordinarie verksamheten. Undantaget har en tydlig gräns: uppgifterna får inte lämnas ut utanför föreningen utan att medlemmen samtyckt.
Personuppgiftsbiträdesavtalet – pappret de flesta föreningar saknar
Här är den vanligaste luckan vi ser. När föreningen anlitar någon som hanterar uppgifterna åt er, blir den parten ett personuppgiftsbiträde, och då krävs ett skriftligt avtal mellan er. Det gäller webbhotellet där sajten ligger, den som sköter teknisk support och har tillgång till databasen, tjänsten ni skickar nyhetsbrev med, och ett eventuellt bokningssystem.
Avtalet reglerar vad biträdet får göra med uppgifterna, hur de skyddas, vad som händer vid en incident och vad som sker med uppgifterna när samarbetet upphör. De flesta seriösa leverantörer har ett färdigt avtal som ni bara behöver be om, men det händer alltför ofta att ingen gjort det. Om er förening inte vet om avtalen finns är det en rimlig punkt att ta upp på nästa styrelsemöte, och en snabb fråga till varje leverantör.
Cookies och samtycke
Reglerna om cookies kommer inte från GDPR utan från lagen om elektronisk kommunikation, men de landar i samma knä. Huvudregeln är enkel: cookies som inte är nödvändiga för att sajten ska fungera får sättas först efter att besökaren har samtyckt. Besökaren ska kunna säga nej lika lätt som ja, och en banner som bara meddelar att ni använder cookies räcker inte.
Har ni Google Analytics, en inbäddad video eller en pixel från sociala medier berörs ni. Det praktiska sättet att lösa det är en samtyckeslösning som håller tillbaka skripten tills besökaren tagit ställning, och som skickar besökarens val vidare till Googles verktyg i det format de kräver för trafik inom EES.
En sak tål att sägas, eftersom det florerar mycket oro kring den: sedan EU-kommissionen 2023 antog beslutet om EU–U.S. Data Privacy Framework finns det en laglig grund för överföring av personuppgifter till amerikanska företag som anslutit sig till ramverket. Det betyder inte att ni kan strunta i samtycket, men det betyder att användning av vanliga amerikanska analysverktyg inte i sig är olagligt, vilket ofta påstås.
Bilder på medlemmar – och särskilt på barn
Ett fotografi där en person går att känna igen är en personuppgift. För en idrottsförening som vill lägga ut bilder från en match, eller en bostadsrättsförening som dokumenterar vårstädningen, betyder det att ni behöver ha tänkt igenom varför bilderna publiceras och på vilken grund.
För bilder på barn bör ni vara särskilt återhållsamma och utgå från att samtycke krävs från vårdnadshavare. Ett praktiskt upplägg som fungerar för många föreningar är att fråga en gång per verksamhetsår, dokumentera svaren, och ha en tydlig och enkel väg för den som vill få en bild borttagen i efterhand.
Registerförteckning och integritetspolicy
Två dokument gör det mesta av jobbet. Registerförteckningen är er egen interna sammanställning över vilka personuppgifter föreningen behandlar, varför, var de lagras och hur länge de sparas. IMY har en enkel vägledning för föreningar som är värd att läsa igenom en gång. Det finns ett begränsat undantag för mindre organisationer, men det gäller inte när behandlingen sker löpande, och ett medlemsregister är löpande. I praktiken behöver de flesta föreningar alltså ha en.
Integritetspolicyn är den utåtriktade motsvarigheten, den som ligger på hemsidan och berättar för medlemmar och besökare vad ni gör med uppgifterna och vilka rättigheter de har. Den ska gå att hitta, gärna från sidfoten, och den ska beskriva verkligheten. En policy som är hämtad från en mall och aldrig anpassad är sämre än ingen alls, eftersom den beskriver en hantering ni inte har.
Om något går fel: 72-timmarsregeln
Om personuppgifter kan ha kommit i orätta händer, exempelvis vid ett intrång på hemsidan, kan föreningen vara skyldig att anmäla det till Integritetsskyddsmyndigheten, IMY, inom 72 timmar från att ni fick kännedom om det. Tidsfristen är kort, och den börjar löpa från upptäckten, inte från att ni utrett klart.
Det praktiska svaret är att veta i förväg vem som gör vad. Någon behöver kunna ta reda på vad som faktiskt hänt, och det förutsätter att loggar och säkerhetskopior finns. Vi har gått igenom hela det förloppet steg för steg i guiden om vad ni gör när WordPress blivit hackad, och hur ni minskar risken från början i artikeln om att förebygga intrång i stället för att reparera dem.
Det andra lagkravet: tillgänglighet
GDPR är inte det enda regelverket som numera berör föreningens hemsida. Tillgänglighetsdirektivet har införts i svensk rätt och började gälla i juni 2025, och tillsynen är igång. Vilka föreningar som omfattas beror på verksamheten, och det finns undantag som gör att långt ifrån alla berörs direkt. Vi har gått igenom vem som omfattas, vilka krav som gäller och vad styrelsen behöver göra i en separat artikel om tillgänglighetsanpassning.
De två regelverken hänger ihop mer än man tror, eftersom båda handlar om samma sak: att föreningen har tänkt igenom hur hemsidan påverkar människor, och kan visa det.
Fyra saker att göra på nästa styrelsemöte
Börja med att fråga varje leverantör om personuppgiftsbiträdesavtal och spara svaren. Gå sedan igenom vilka personuppgifter sajten faktiskt samlar in, formulär för formulär, och skriv ner det. Kontrollera att cookiebannern verkligen håller tillbaka skripten tills besökaren svarat, och inte bara informerar. Och bestäm vem som ringer vem om ni upptäcker en incident, innan ni behöver veta det.
Protokollför gärna att ni gått igenom punkterna. Det tar fem minuter och gör att nästa styrelse slipper börja om, vilket i praktiken är den vanligaste orsaken till att arbetet aldrig blir gjort.
Så hjälper vi till
I vår löpande förvaltning ingår det tekniska som gör dokumentationen sann: uppdateringar, dagliga säkerhetskopior och övervakning av att sajten fungerar. Hantering av cookies och samtycke, liksom utökad säkerhetsövervakning, lägger vi till för de föreningar som behöver det. Vad det innebär i praktiken beskriver vi i genomgången av vad Managed WordPress innebär för en förening.
För bostadsrättsföreningar tillkommer frågan om vilka dokument som ska ligga öppet och vad som hör hemma bakom inloggning. Det går vi igenom i vår guide till hemsida för bostadsrättsförening.
Är ni osäkra på var er förening står, titta igenom hemsidan tillsammans med oss. Ställ en fråga, så går vi igenom vad som samlas in, vad som saknas och vad som är rimligt att åtgärda först. Ni får det skriftligt, så att ni kan ta med er underlaget till styrelsen.
