GDPR för föreningar — krav på personregister, samtycke och dokumentation

Av Petra Lindgren, dataskyddsombud · Uppsala · 22 april 2026

I höstas ringde ordföranden i en BRF med 68 lägenheter. Han hade skickat ut kallelsen till årsstämman som ett mejl — med hela medlemsregistret bifogat som Excelfil. Namn, lägenhetsnummer, mejladresser, telefonnummer. En av mottagarna hade skyddad identitet.

Det blev en anmälan till IMY. Inte för att ordföranden var illvillig, utan för att styrelsen aldrig hade tänkt på att en Excelfil med medlemsuppgifter är ett personregister i GDPR:s mening. Och att skicka det okrypterat till 68 mottagare utan rättslig grund är ett personuppgiftsincident som kräver anmälan inom 72 timmar.

Det här är inte ovanligt. Jag har under nio år som dataskyddsombud sett samma mönster i idrottsföreningar, fackklubbar och bostadsrättsföreningar: man samlar in uppgifter utan att informera, bevarar dem utan tidsgräns och delar dem utan lagstöd. Inte av ond vilja — utan av okunskap.

Vad GDPR kräver av en förenings medlemsregister

GDPR gäller all automatiserad behandling av personuppgifter och all manuell behandling där uppgifterna ingår i ett register — det som förordningen kallar ett strukturerat arkivsystem (art. 2.1). En Excelfil med kolumnerna namn, adress och mejl uppfyller den definitionen.

Det spelar ingen roll att föreningen är liten, ideell eller helt driven av frivilliga. GDPR har inget undantag för föreningar. Dataskyddslagen (2018:218) kompletterar förordningen i Sverige men inskränker den inte.

De centrala kraven kan sammanfattas i fem punkter:

Rättslig grund — avtal, berättigat intresse eller samtycke?

Det vanligaste misstaget jag ser är föreningar som ber om samtycke för allt. Det låter intuitivt rätt, men samtycke (art. 6(1)(a)) är den svagaste grunden för kärnverksamheten — för den kan när som helst dras tillbaka, och då står ni utan rätt att hantera medlemskapet.

Så här ser den rättsliga grunden ut för de vanligaste behandlingarna i en förening:

Informationsplikten i praktiken

Art. 13 GDPR kräver att ni informerar varje person vars uppgifter ni samlar in. Informationen ska ges vid insamlingstillfället — alltså när personen fyller i en medlemsansökan, inte tre månader senare.

I praktiken innebär det att föreningen behöver en integritetspolicy (eller dataskyddsbeskrivning) som innehåller minst följande:

1. Föreningens namn och kontaktuppgifter (personuppgiftsansvarig)
2. Vilka personuppgifter som samlas in
3. Ändamålet med behandlingen
4. Rättslig grund för varje ändamål
5. Vilka mottagare som kan ta del av uppgifterna
6. Lagringstid eller kriterier för hur den bestäms
7. Medlemmens rättigheter (tillgång, rättelse, radering, begränsning, dataportabilitet, invändning)
8. Rätt att klaga till IMY

Dokumentet behöver inte vara juridiskt avancerat. Två A4-sidor med tydligt språk räcker. Det viktiga är att det finns och att det delas med nya medlemmar när de registreras.

Den vanligaste bristen jag ser vid tillsyn är inte att policyn är dåligt skriven — utan att den inte finns alls.

Medlemmens rättigheter — och föreningens svarstider

En av de delar som föreningar oftast underskattar är de registrerades rättigheter i art. 15–22. Medlemmen har rätt att begära tillgång till sina uppgifter, få dem rättade, raderade eller begränsade — och föreningen måste ha en process för att hantera sådana förfrågningar.

I praktiken får de flesta föreningar högst en eller två sådana förfrågningar om året. Men ni måste kunna hantera dem korrekt — med dokumentation och inom tidsfristerna. Svarar ni inte alls har medlemmen rätt att klaga till IMY.

Personuppgiftsincident — 72-timmarsregeln

Om något går fel — ett mejl skickas till fel mottagare, ett USB-minne med medlemsregister tappas bort, eller någon obehörig får tillgång till er Excelfil — har ni en personuppgiftsincident. Enligt art. 33 GDPR ska den anmälas till IMY inom 72 timmar om incidenten innebär en risk för de registrerade.

Tröskeln är låg. BRF-ordföranden som mejlade ut hela registret med en skyddad identitet behövde anmäla. En idrottsförening vars Google Drive delades med fel länk behöver anmäla. Dokumentera alltid vad som hände, vilka som berördes och vilka åtgärder ni vidtog.

Vanliga frågor om GDPR för föreningar

Behöver en liten förening verkligen följa GDPR?

Ja. GDPR gäller alla som behandlar personuppgifter automatiserat eller i ett strukturerat register — oavsett föreningens storlek. En Excelfil med medlemsnamn och adresser räknas. Undantaget för privat bruk (art. 2.2(c)) gäller bara rent personliga kontaktlistor, inte föreningsregister.

Får vi använda personnummer i medlemsregistret?

Bara om det finns ett tydligt behov, exempelvis för identifiering vid ekonomiska transaktioner. Dataskyddslagen 3 kap. 10 § kräver att behandlingen är klart motiverad med hänsyn till ändamålet. En idrottsförening behöver sällan personnummer — födelsedatum räcker för åldersgrupper.

Vad händer om en medlem begär att bli raderad?

Föreningen ska radera personuppgifterna inom 30 dagar om det inte finns en rättslig skyldighet att behålla dem. Bokföringslagens 7-åriga arkiveringsplikt gäller för ekonomiska transaktioner (kvitton, fakturor), men dessa bevaras separat från medlemsregistret. Medlemskapet upphör och kontaktuppgifterna gallras.

Räcker det med muntligt samtycke?

Nej. Samtycke enligt art. 7 GDPR ska vara verifierbart — ni måste kunna visa att personen faktiskt samtyckt, när det skedde och vad det omfattade. Ett formulär med kryssruta eller ett e-postsvar fungerar. Muntligt samtycke utan dokumentation håller inte vid tillsyn.

Petra Lindgren · Dataskyddsombud · Uppsala

Artikeln är skriven i informationssyfte och utgör inte juridisk rådgivning. Kontakta en jurist eller IMY för vägledning i ert specifika fall.