Digital sikkerhed er relevant for alle organisationer, der behandler persondata. Foreninger kan have oplysninger om tusindvis af medlemmer og er derfor også omfattet af risici.
Artiklen gennemgår de centrale forhold, som foreningen bør have styr på.
Cybertruslen rammer også foreninger
Styrelsen for Samfundssikkerhed beskriver i Cybertruslen mod Danmark 2025 trusselsbilledet som alvorligt og vurderer, at truslen på flere områder er på højeste niveau. Danske myndigheder, virksomheder og borgere udsættes dagligt for cyberangreb, og bredt udsendte angreb kan også ramme foreninger med sårbare systemer.
Hvad et angreb koster i praksis
Knap 11 procent af danske virksomheder blev ifølge IT-Branchens talunivers ramt af cyberkriminalitet i 2025. Den økonomiske konsekvens varierer betydeligt efter hændelsens karakter, organisationens beredskab og de berørte data. For en forening kan konsekvenserne række ud over det økonomiske, fordi medlemmernes oplysninger og tillid er på spil.
Et brud på persondatasikkerheden skal som udgangspunkt anmeldes til Datatilsynet inden for 72 timer efter, at foreningen er blevet bekendt med bruddet.
Tre konkrete sikkerhedskrav til jeres forening
Datatilsynet har formuleret en praktisk vejledning til foreninger om IT-sikkerhed. Den peger på tre områder, der oftest svigter.
Adgangsstyring: hvem ser hvad
Adgangen til foreningens persondata skal begrænses, så kun de med et arbejdsbetinget behov kan se dem. Det gælder ansatte, frivillige og tillidsrepræsentanter på alle niveauer. Datatilsynet er eksplicit: når en frivillig eller ansat forlader foreningen, skal adgangen lukkes straks.
I praksis betyder det, at jeres system skal understøtte rollebaseret adgangsstyring. En lokal afdelingsformand behøver ikke se det samlede centrale medlemsregister. En frivillig eventkoordinator behøver ikke adgang til kontingenthistorik. Bred adgang til alle data er hverken sikker eller nødvendig.
Slet det I ikke har brug for
GDPR's dataminimeringsprincip handler om mere end compliance. Jo færre personoplysninger foreningen opbevarer, jo mindre er skadeomfanget ved et brud. Datatilsynet er klar i sin vejledning til foreninger: gem ikke personoplysninger i længere tid end nødvendigt. Det gælder udmeldte medlemmer, gamle tilmeldingslister og historiske kontaktdata, der ikke længere tjener et konkret formål.
Stil sikkerhedskrav til jeres IT-leverandør
Datatilsynet anbefaler, at foreninger stiller konkrete krav til deres IT-leverandører. Det indebærer en skriftlig databehandleraftale, dokumentation for GDPR-compliance og klarhed over, hvem der håndterer et brud, og hvornår foreningen orienteres. Har jeres nuværende leverandør ikke en databehandleraftale klar til underskrift, er det et faresignal.
Læs mere om EG Membercare som GDPR-sikker løsning til foreninger.