En fond eller forening med et lille sekretariat har som regel mest brug for en IT-chef på deltid, der leder IT på vegne af sekretariatet og rapporterer til bestyrelsen. Behandler organisationen følsomme oplysninger om mange medlemmer, skal den også tage stilling til, om der skal udpeges en DPO. Aftalen skal indgås af organisationen som sådan og skrives, så den holder, når formanden eller kassereren skifter.
Et lille sekretariat med store opgaver
Mange fonde og foreninger har få ansatte i et sekretariat og en bestyrelse, der arbejder frivilligt og mødes nogle gange om året. Alligevel skal organisationen drive medlemssystem, hjemmeside, betalinger, nyhedsbreve, mødeplanlægning og måske ansøgningsbehandling. IT er spredt på mange leverandører og abonnementer, og nogle af dem er oprettet af frivillige med deres egne konti. Nogle organisationer har også lokalafdelinger med egne kasserere og egne lister, som hovedorganisationen kun delvis kender.
Sekretariatslederen har ofte ansvaret for IT ved siden af alt andet, og bestyrelsen har sjældent nogen med erfaring i IT-ledelse. Beslutningerne bliver derfor truffet af den, der har tid, og ofte uden overblik over, hvad organisationen i forvejen betaler for.
Medlemsdata fylder
En forening er bygget på sine medlemmer, og medlemslisten er dens vigtigste datasamling. Den indeholder navne, adresser, kontaktoplysninger og betalinger, og hos nogle foreninger også oplysninger, der kan afsløre helbred, religiøs overbevisning, politisk holdning eller fagforeningsmedlemskab. Fonde behandler ansøgninger, der kan indeholde personlige forhold.
Det stiller krav til, hvor data ligger, hvem der har adgang, og hvordan frivillige får og mister adgang. Det er ledelsesbeslutninger, fordi de handler om organisationens ansvar som dataansvarlig. Hvad det indebærer, er beskrevet i virksomheden er dataansvarlig, som gælder tilsvarende for en forening eller fond.
Overvejelsen om DPO
Databeskyttelsesforordningen kræver i art. 37 en databeskyttelsesrådgiver i tre situationer, og en af dem er, at organisationens centrale aktivitet er at behandle mange følsomme oplysninger af de særlige kategorier i art. 9. For en forening, hvis hele formål er knyttet til fx religion, politik, helbred eller fagligt medlemskab, kan medlemsregistret høre til den kategori. Om det udløser pligten, afhænger af omfang og aktiviteter og skal vurderes konkret. De tre situationer gennemgås i Hvornår skal virksomheden have en DPO?.
Er der ingen pligt, kan en organisation stadig vælge at udpege en DPO frivilligt, og så gælder de samme regler om uafhængighed. Overvejelserne står i frivillig DPO. DPO og IT-chef er to forskellige roller, og i en lille organisation skal det vurderes, om samme person kan dække begge uden en interessekonflikt.
Frivillige med adgang
Frivillige er en styrke for foreningen og en udfordring for IT-ledelsen. De kommer og går, de bruger deres egne computere og telefoner, og de har brug for adgang til medlemslister, kalendere og fælles mapper for at kunne løse deres opgaver. Ofte deles et enkelt login mellem flere, fordi det er nemmest.
Ledelsen bør beslutte nogle få regler. Hver frivillig får sin egen adgang, adgangen svarer til opgaven, og den lukkes, når opgaven er slut. Nogen i sekretariatet skal føre listen over adgange for hver frivillig, og den skal gennemgås, fx når bestyrelsen konstituerer sig efter generalforsamlingen. Den eksterne kan formulere reglerne og hjælpe sekretariatet med at holde dem, så bestyrelsen kun skal godkende dem.
Rolle og model
For de fleste fonde og foreninger passer en IT-chef på deltid eller as a service med en lille fast timeramme. Den eksterne holder overblikket over systemer og abonnementer, styrer leverandørerne, forbereder bestyrelsens beslutninger og hjælper sekretariatet i hverdagen. Forskellen på rollerne fremgår af Rollerne i ekstern IT-ledelse, og fordele og ulemper ved deltid står i deltid som model.
Den eksterne bør referere til sekretariatslederen i det daglige og give bestyrelsen en kort skriftlig status til hvert møde. Bestyrelsen skal kunne læse status uden teknisk baggrund. En lille timeramme kan suppleres med ekstra timer i de måneder, hvor generalforsamling, kontingentopkrævning eller ansøgningsfrister giver travlhed.
Når formanden skifter
Den største risiko i en frivillig organisation er, at viden og adgange forsvinder med personerne. En formand, der har indgået aftalen mundtligt, tager aftalen med sig, når vedkommende træder tilbage. En kasserer, der har oprettet betalingsløsningen med sin egen mail, kan være den eneste, der kan logge ind.
Aftalen med den eksterne skal derfor indgås skriftligt af organisationen, underskrives efter vedtægternes regler om tegning og ligge i organisationens arkiv. Administratoradgange skal ligge på organisationens egne adresser og være beskrevet. Den eksterne kan stå for at holde listen opdateret, så en ny bestyrelse kan overtage uden at starte forfra. Ved hvert formandsskifte bør den nye formand og den eksterne mødes kort, så aftalen, prioriteringerne og adgangslisten bliver præsenteret. Om adgange og dokumentation, se adgange og dokumentation.
Det skal I lade være med
- At lade frivillige oprette tjenester med deres private konti · adgangen forsvinder, når de stopper.
- At indgå aftalen mundtligt med formanden · den skal tilhøre organisationen og overleve formandsskiftet.
- At gå ud fra, at foreninger aldrig skal have en DPO · medlemsregistrets indhold kan ændre svaret.
- At give bestyrelsen tekniske rapporter · den skal kunne beslutte ud fra dem.
- At betale for abonnementer, ingen bruger · overblikket over udgifterne er en del af IT-ledelsen.
Det skal I kræve af den eksterne
- Erfaring med små organisationer og med at rapportere til en bestyrelse uden IT-baggrund.
- En samlet liste over systemer, abonnementer og administratoradgange, som organisationen ejer.
- Forståelse for reglerne om persondata og for, hvornår en DPO skal overvejes.
- En plan for overdragelse ved skift i bestyrelsen.
- Oplysning om eventuelle aftaler med leverandører af medlemssystemer og andre tjenester, I bruger.
Sådan kommer I i gang
- ☐ Lav en liste over systemer og abonnementer, og notér, hvis konto de hænger på.
- ☐ Flyt konti fra private adresser til organisationens egne.
- ☐ Vurdér, hvilke oplysninger medlemsregistret indeholder, og om spørgsmålet om DPO skal afklares.
- ☐ Beslut, hvem i sekretariatet den eksterne refererer til.
- ☐ Indgå aftalen skriftligt efter vedtægternes regler om tegning.
Brug Vælg rolle og model til at holde mulighederne op mod hinanden. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 1, om pligten til at udpege en databeskyttelsesrådgiver, og art. 9 om særlige kategorier af oplysninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Aftalen om ekstern IT-ledelse · Hvornår skal virksomheden have en DPO?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
