I mange foreninger har alle i styret samme innlogging, og medlemslisten deles som regneark når noen trenger den. Det fungerer til den dagen en tidligere kasserer fortsatt har tilgang to år etter at vedkommende gikk av, eller et regneark med fødselsdatoer havner i feil e-posttråd. Tilgangsstyring handler om å gi hver person det innsynet vervet krever, og ikke mer.
Prinsippet: tilgang følger vervet
Personvernregelverket krever at opplysninger ikke skal være tilgjengelige for flere enn nødvendig. Datatilsynet beskriver det som en del av personvernprinsippene, blant annet dataminimering og konfidensialitet. For en forening blir det tre praktiske regler:
- Personlig innlogging. Ingen delte brukere. Da vet dere hvem som gjorde hva, og en person kan fjernes uten at alle må bytte passord.
- Roller, ikke enkeltpersoner. Tilgang gis til rollen «kasserer» eller «gruppeleder junior», og personen får rollen så lenge vervet varer.
- Avgrensning til eget ansvar. En gruppeleder ser egen gruppe, et lokallagsstyre eget lag.
Et rollesett for en vanlig forening
| Rolle | Ser | Kan endre | Ser ikke |
|---|---|---|---|
| Leder | Medlemstall, rapporter, medlemsliste | Lite; leder sjelden selv | Betalingsdetaljer per medlem, med mindre vedtatt |
| Kasserer | Krav, innbetalinger, betalingsstatus, betalere | Krav, krediteringer, fordeling av betalinger | Samtykker og helseopplysninger |
| Medlemsansvarlig | Hele registeret | Innmeldinger, kategorier, utmeldinger | Bankkonto og oppgjør |
| Gruppeleder eller trener | Medlemmer i egen gruppe, kontakt til foresatte | Gruppetilknytning, oppmøte | Andre grupper, betaling |
| Revisor eller kontrollkomité | Rapporter og historikk, lesetilgang | Ingenting | Kontaktdata utover det kontrollen krever |
Rollene er forslag. Poenget er at tabellen finnes, er vedtatt av styret og brukes når noen spør om tilgang. Har foreningen grupper eller lokallag, bygger avgrensningen på strukturen i lag, avdelinger og lokallag. Gruppeansvarlige i medlemssystem går dypere i gruppelederens rolle.
Opplysninger som krever ekstra vern
Noen opplysninger bør bare et fåtall se, selv blant dem som har tilgang til registeret:
- Helseopplysninger, for eksempel allergier eller tilrettelegging. Bare de som trenger dem i aktiviteten.
- Fritak og betalingsavtaler med begrunnelse. Kasserer og den som behandlet saken.
- Medlemskap som i seg selv er sensitivt, som i en fagforening eller en politisk eller religiøs forening. Hele registeret krever da strengere tilgang; se medlemssystem for fagforening.
- Skjermet adresse eller kontaktdata en foresatt har bedt om at ikke deles. Se foresatte og barn i medlemsregister.
Legg slike opplysninger i egne felt med egne tilganger, ikke i et notatfelt alle med tilgang til medlemskortet ser.
Eksport er også tilgang
En rolle som kan eksportere hele registeret til regneark, har i praksis gitt bort kontrollen. Etter eksporten finnes det ingen logg, ingen avgrensning og ingen måte å trekke tilgangen tilbake. Begrens eksport til roller som trenger den, og la de andre jobbe i systemet: sende e-post til gruppen, skrive ut en deltakerliste, se kontaktinfo. Eksport av medlemsdata har rutinene.
Logg over hvem som gjorde hva
Med personlige innlogginger kan systemet loggføre endringer: hvem endret satsen, hvem lukket kravet manuelt, hvem meldte ut medlemmet. Loggen er ikke til for å mistenke noen. Den gjør det mulig å forklare et tall, rette en feil og vise revisor hva som har skjedd. Revisjonsspor for medlemsdata beskriver hva som bør logges.
Når vervet avsluttes
Den vanligste svakheten i en forening er ikke at feil person får tilgang, men at tilgangen aldri avsluttes. Lag en fast rutine på årsmøtedagen:
- Ta ut listen over alle brukere og rollene deres.
- Sammenlign med de nyvalgte vervene.
- Fjern rollene til dem som gikk av, samme dag.
- Gi de nyvalgte sine roller, og la avtroppende vise dem rundt mens de fortsatt har lesetilgang i en avtalt overgangsperiode.
- Fjern overgangstilgangen på avtalt dato.
Gruppeledere og trenere slutter ofte midt i året. Gi én person, gjerne medlemsansvarlig, ansvar for å fjerne tilgang når noen slutter. Overlever medlemsregisteret ved styrebytte har resten av overleveringen.
Kontroll to ganger i året
- Brukere uten aktivt verv.
- Roller med eksportrett.
- Brukere som ikke har logget inn på lang tid.
- Delte innlogginger som fortsatt finnes.
Vil dere gi hver tillitsvalgt riktig innsyn og avslutte tilgang når vervet slutter, kan dere komme i gang med Vele.