Privacy Policy

Dokumentet har tre delar. Del 1 är för dig som är medlem, deltagare eller vårdnadshavare. Del 2 är för medlemsföreningarna. Del 3 är förbundets interna regler och dokumentation.

---

Del 1. För dig som lämnar uppgifter till oss

1. Vem ansvarar och vad policyn gäller

Astronomisk Ungdoms Studentförbund, org.nr 802546-0331, är personuppgiftsansvarig, alltså den som svarar för hur uppgifterna hanteras enligt den här policyn. Förbundsstyrelsen har det yttersta ansvaret. Kansliet sköter det löpande arbetet och svarar på alla frågor och begäranden, se avsnitt 15.

Policyn gäller alla vars uppgifter vi hanterar, bland annat medlemmar, deltagare, vårdnadshavare, förtroendevalda, stipendiesökande och den som hör av sig till oss. En personuppgift är varje uppgift som kan kopplas till en levande person: namn, personnummer, e-postadress, bild eller IP-adress.

Tre organisationer, ett register. Blir du medlem i en förening blir du samtidigt medlem i förbundet och i det distrikt föreningen hör till. Det följer av stadgarna. Alla tre arbetar i samma medlemspost i medlemssystemet eBas: föreningen ser sina medlemmar, distriktet ser medlemmarna i sina föreningar, förbundet ser sina. För den posten är vi tre gemensamt personuppgiftsansvariga, fördelat så här:

Vad	Vem svarar
Registerutdrag, rättelse, radering och dina övriga rättigheter	Förbundet, som gör ändringen i hela posten
Att dina uppgifter hålls aktuella	Din förening
Systemet eBas, dess säkerhet och vem som ser vad	Förbundet

 

Du kan vända dig till vem som helst av oss; föreningen och distriktet skickar din begäran vidare till kansliet. I föreningen och distriktet ser bara förtroendevalda med behörighet i eBas uppgifterna. Vad föreningen eller distriktet gör med uppgifterna i sin egen verksamhet, som egna utskick, listor och arrangemang, svarar de själva för. Hela fördelningen finns i del 3.

eBas delas också med Astronomisk Ungdom och Astronomisk Ungdoms Elevförbund. Varje förbund ansvarar för sig.

Leverantörer som behandlar uppgifter åt oss, som den som driver eBas, Google för e-post och lagring och förbundets bokföringskonsult, är personuppgiftsbiträden. De får bara göra det vi instruerar, och förbundet har skriftligt avtal med var och en.

Detta är förbundets första integritetspolicy.

2. Vilka uppgifter vi sparar och varför

I medlemsregistret finns följande, och skälet till varje uppgift:

• Namn, e-post och telefonnummer. En revisor kontrollerar, med utskick och stickprov per telefon, att medlemmarna är verkliga personer som själva valt att gå med. Den som inte går att nå får inte räknas med när vi söker bidrag, därför ber vi om både e-post och telefon.
• Adress. En medlem räknas med i bidragsansökan bara om personen bor eller är folkbokförd i Sverige.
• Födelsedatum och kön. Bidragsgivarna begär statistik på antal medlemmar, antal i åldern 6 till 25 år och fördelning på kön.
• Personnummer. Se avsnitt 8.
• Föreningstillhörighet och medlemsår, samt eventuell behörighet i eBas.
• Skola. Frivilligt.

Förbundet för dessutom ett separat uppdragsregister över alla som har eller har haft förtroendeuppdrag eller ideella uppdrag i förening, distrikt eller förbund. Det innehåller namn, uppdrag, organisation, år och kontaktuppgifter, och används för att tilldela utmärkelser. För förbundets egna ledare antecknas där också att registerkontroll gjorts, se avsnitt 10.

Utöver medlemsregistret sparas det du lämnar i olika sammanhang:

• Vid anmälan, ansökan och uppdrag: önskemål om resa och boende, ansökningstexter, kontaktuppgifter till vårdnadshavare, kontonummer om vi ska betala ut pengar till dig, och det du själv skriver i fritextrutor.
• I tävlingar: dina svar och ditt resultat.
• Vid utlandsresor och internationella tävlingar: passuppgifter och medborgarskap.
• Deltar din skola i ett skolprojekt, skolbesök eller en skoltävling: lärarens namn och kontaktuppgifter, och elevernas namn och klass även om de inte är medlemmar.
• Bjuds du in som gäst, eller företräder du en skola, ett företag, en myndighet eller en annan organisation: namn, organisation och kontaktuppgifter i den rollen.
• Från verksamheten: bilder, film och citat, och anteckningar från styrelse- och projektmöten om det som beslutats.
• Från din kontakt med oss: det du skrivit.

Allergier, hälsa och andra känsliga uppgifter hanteras bara enligt avsnitt 7.

3. Var uppgifterna kommer ifrån

Uppgifterna lämnar du själv när du registrerar dig i eBas eller anmäler dig till en aktivitet. Är du under 18 år kan vårdnadshavaren lämna dem. Adresser kan uppdateras mot Skatteverkets adressregister SPAR utifrån personnummer.

Ibland är det kansliet som registrerar dig, till exempel från en deltagarlista, efter ett mejl eller för att din lärare anmält dig. Då får du länken till den här policyn inom en månad, i välkomstmejlet från eBas eller via skolan.

4. Vad uppgifterna används till, varför vi får det, och hur länge

Uppgifter sparas så länge de behövs för sitt ändamål. En gång om året, på gallringsdagen i samband med verksamhetsberättelsen, raderas, anonymiseras eller arkiveras (avsnitt 6) det som inte längre behövs. Uppgifter får behållas längre när lag kräver det, för att utreda en incident, under en revision eller tillsyn, så länge ett ärende, ett försäkringsärende eller en tvist pågår, och så länge de kan behövas för att fastställa, göra gällande eller försvara ett rättsligt anspråk. Anonymiserade uppgifter, där ingen går att känna igen, är inte personuppgifter och kan sparas utan tidsgräns.

Berättigat intresse i tabellen betyder att förbundet behöver uppgiften för sin verksamhet och har vägt det behovet mot ditt intresse av att slippa. Du kan invända, se avsnitt 14. Avvägningen finns i del 3.

Ändamål	Rättslig grund	Lagringstid
Medlemsregister och medlemsadministration i eBas	Berättigat intresse av att driva förbundet och föra medlemsregister enligt stadgarna	Medlemsposten står kvar i eBas i sju år efter ditt sista medlemsår, som underlag för bidrag. Därefter förs namn, födelseår, kön, postnummer och postort, skola, förening och medlemsår till arkivet enligt avsnitt 6; gatuadress, e-post, telefon och personnummer raderas
Söka, redovisa och kontrollera bidrag, inklusive medlemsrevision	Berättigat intresse av finansieringen, samt rättslig förpliktelse enligt bidragsvillkoren och bokföringslagen	Sju år efter det år bidraget avser
Läger, resor, konferenser, utbildningar, lärarfortbildningar och tävlingar, inklusive utlandsresor och internationella finaler	Berättigat intresse av att genomföra verksamheten. Betalningar sparas i sju år enligt bokföringslagen	Anmälningsuppgifter, passuppgifter och medborgarskap raderas på gallringsdagen året efter aktiviteten. Deltagarlistan förs till arkivet. Hälsouppgifter raderas senast en månad efter aktiviteten, se avsnitt 7
Tävlingar: svar, resultat och pristagare	Berättigat intresse av att genomföra tävlingen och berätta om resultatet	Finalister och pristagare publiceras med namn på hemsidan och i verksamhetsberättelsen. Kvalresultat publiceras inte med namn. Deltagare i internationella finaler publiceras också av arrangören enligt dess regler. Resultatlistor förs till arkivet; svar raderas på gallringsdagen året efter
Skolprojekt, skolbesök och skoltävlingar, för lärare och elever som inte är medlemmar	Berättigat intresse av att genomföra projektet och nå skolan	Elevuppgifter raderas på gallringsdagen året efter projektet. Lärarens kontaktuppgifter så länge samarbetet består och därefter till gallringsdagen tre år efter den senaste kontakten, för inbjudan till kommande projekt
Inbjudningar och gästlistor till årsmöte eller stämma, kongress, högtidsdagar, jubileer och andra evenemang	Berättigat intresse av att bjuda in gäster, partner och hedersgäster	Gästlistan förs till arkivet efter evenemanget. Kontaktuppgifter till externa gäster behålls för inbjudan till kommande evenemang och raderas på gallringsdagen när gästen inte bjudits in på sju år
Ansökningar om stipendier, projektbidrag och uppdrag, samt nomineringar till utmärkelser	Berättigat intresse av att bedöma och besluta	Ansökningstexter och bilagor raderas på gallringsdagen året efter beslut. Vem som sökt eller nominerats, till vad, vilket år och utfallet bevaras så länge stipendiet, bidraget eller utmärkelsen delas ut, så att återkommande sökande bedöms lika
Medlemsinformation, inbjudningar, nyhetsbrev och enkäter	Berättigat intresse av att informera och följa upp. Du kan alltid avregistrera dig	Under medlemskapet och året därpå, eller tills du avregistrerar dig. Enkätsvar anonymiseras på gallringsdagen
Kontakt när du hör av dig	Berättigat intresse av att besvara ditt ärende och dokumentera verksamheten	Korrespondensen bevaras som en del av förbundets verksamhetsdokumentation och gallras inte ärendevis. Raderas på begäran, om inte bokföring, ett pågående ärende eller arkivet kräver att den sparas
Uppdragsregistret: vilka som har eller har haft förtroendeuppdrag eller ideella uppdrag i förening, distrikt och förbund	Berättigat intresse av att kunna tilldela utmärkelser för lång eller betydande insats	Tills vidare, så länge utmärkelser delas ut för insatser över flera år. Namn, uppdrag, organisation, år och kontaktuppgifter samt anteckning om registerkontroll. Kontaktuppgifterna används bara för att nå dig i frågor om utmärkelser och uppdrag
Ärenden om uteslutning enligt stadgarna	Berättigat intresse av att tillämpa stadgarna	Tills ärendet, och en eventuell omprövning på stämman, är avgjort. Att någon uteslutits bevaras så länge stadgarna kräver styrelsens godkännande för nytt medlemskap
Ärenden om kränkning, olycka eller annan händelse i verksamheten	Berättigat intresse av att utreda och hantera händelsen. För känsliga uppgifter: nödvändigt för rättsliga anspråk	Tills ärendet är avslutat och eventuella anspråk preskriberade. Bara handläggarna ser ärendet. Förs aldrig till arkivet
Publicering av bilder och film	Berättigat intresse av att berätta om verksamheten. Samtycke på aktiviteter för barn under 13 år, se avsnitt 9	Tills du invänder eller återkallar samtycket. Ingen egen genomgång görs
Arkivet	Berättigat intresse av att bevara förbundets historia. Dataskyddsförordningen tillåter längre bevarande för arkivändamål av allmänt intresse, forskning och statistik, och arkivet behandlas enbart för det	Så länge förbundet finns, därefter Riksarkivet. Känsliga uppgifter, betalningsuppgifter och kontonummer förs aldrig in
Alumnilistan	Berättigat intresse av kontakt med tidigare medlemmar som själva anmält sig	Tills du avanmäler dig

 

Behandlingar som rör förtroendevalda, anställda och rekrytering, medlemsföreningar, kontaktpersoner hos andra organisationer, mötesanteckningar, utbetalningar, registerkontroll och statistik finns i registret i del 3.

5. Hur länge vi sparar

Sju år. Bokföringslagen kräver att verifikat, som en lägeravgift eller ett utlägg, sparas i sju år. Bidragsgivare, som MUCF, som betalar ut statsbidraget till barn- och ungdomsorganisationer, kan dessutom flera år i efterhand låta en revisor kontrollera att medlemmarna ett visst år fanns. Därför står medlemsposten kvar i sju år efter ditt sista medlemsår. Sedan förs namn, födelseår, kön, postnummer och postort, skola, förening och medlemsår till arkivet; gatuadress, e-post, telefon och personnummer raderas.

Förnyelse. Alla medlemskap upphör vid årsskiftet. Året efter hör vi av oss och frågar om du vill förnya, via e-post, SMS eller telefon. Kontakten upphör om du ber om det.

Utskick. Nyhetsbrev och inbjudningar går till medlemmar, och året efter medlemskapet tillsammans med frågan om förnyelse. Därefter bara till den som anmält sig till alumnilistan. Till den som aldrig varit medlem skickar vi bara efter egen anmälan. Vill du slippa utskick avregistrerar vi dig direkt, utan frågor.

Alumnilistan. Vill du höra från oss efter medlemskapet anmäler du dig till alumnilistan, som används för jubileer och återträffar. Den innehåller namn, kontaktuppgifter och medlemsår och är skild från arkivet.

6. Arkivet

Uppgifter som inte längre behövs i den löpande verksamheten förs till förbundets arkiv. Där används de bara för historia, forskning och statistik (lagens ord: arkivändamål av allmänt intresse), och bevaras så länge förbundet finns. Dataskyddsförordningen tillåter det, se del 3.

Arkivet innehåller medlemsposter i minimerad form (namn, födelseår, kön, postnummer och postort, skola, förening och medlemsår), deltagarlistor i samma form med aktivitet, roll och år, gästlistor, protokoll, mötesanteckningar, röstlängder, stadgar, medlemsbrev och verksamhetsberättelser, föreningarnas redovisningar, samt handlingar från föreningar och distrikt som upplösts. Upplöses förbundet självt går arkivet till Riksarkivet, och äldre material kan överlämnas dit redan dessförinnan. Riksarkivet bevarar det som enskilt arkiv enligt det avtal som träffas vid överlämnandet.

Fyra regler gäller:

1. Arkivet används aldrig för utskick, inbjudningar eller värvning. Tidigare medlemmar nås via alumnilistan.
2. Bara förbundets anställda och förtroendevalda har åtkomst.
3. Känsliga uppgifter, betalningsuppgifter och kontonummer förs aldrig in.
4. Arkivet ses över på gallringsdagen varje vår.

Arkivet används främst för förbundets egen historieskrivning: ur protokoll, verksamhetsberättelser, medlemsbrev och deltagarlistor går det att se vilka evenemang som hållits och vem som arrangerat dem. Förbundet kan också senare medverka i studier om hur det gått för tidigare medlemmar; en sådan studie prövas för sig när den blir aktuell. Radering ur arkivet prövas i varje ärende, se avsnitt 14.

7. Allergier och andra behov

Inför läger, resor, konferenser och tävlingar behöver vi ibland veta om du har allergier, en funktionsnedsättning, behöver medicin eller har andra särskilda behov. Det behövs för att aktiviteten ska bli säker och tillgänglig. Det är hälsouppgifter, och specialkost kan dessutom avslöja religion. Därför:

• Vi frågar efter behov, inte diagnoser, och bara inför en viss aktivitet.
• Fältet är frivilligt. Fyller du i det samtycker du till att vi sparar svaret för den aktiviteten; det står vid fältet. Fyller vårdnadshavaren i anmälan är det vårdnadshavaren som samtycker.
• Berättar du själv något för en ledare under aktiviteten, för att få hjälp, kan ledaren skriva in det i deltagarlistan och ingenstans annars.
• Du kan delta utan att svara, men då kan vi inte anpassa aktiviteten.
• Bara de ledare som behöver uppgifterna ser dem, och det kök som lagar maten får veta kostbehoven. Aldrig i gruppchattar, aldrig till andra deltagare.
• De registreras aldrig i medlemsregistret eller arkivet.
• De raderas senast en månad efter aktiviteten. Pågår ett ärende, till exempel efter en olycka, sparas det som behövs tills ärendet är avslutat.

Vi frågar aldrig om etniskt ursprung, politiska åsikter eller sexuell läggning. Kommer känsliga uppgifter ändå fram, till exempel i en anmälan om kränkning eller i en fritextruta, ser bara de som sköter ärendet dem. De bevaras så länge ärendet kräver, se avsnitt 4.

8. Barn, vårdnadshavare och personnummer

• Är du under 18 år anger du kontaktuppgifter till en vårdnadshavare i anmälan till varje aktivitet. Till aktiviteter med kostnad eller övernattning är det normalt vårdnadshavaren som gör anmälan och anger sin egen e-postadress; bekräftelsen går dit. Undantag: skoltävlingar och skolprojekt som genomförs på skolan under skoltid, där läraren anmäler eleverna. Där tar vi inte in vårdnadshavares kontaktuppgifter; skolan svarar för eleverna under aktiviteten. Går du vidare till en final eller en resa gäller huvudregeln.
• Vi sparar kontaktuppgifter till vårdnadshavare för att kunna nå dem vid sjukdom eller olycka, till gallringsdagen året efter aktiviteten.
• Vårdnadshavare kan begära registerutdrag, rättelse och radering för sitt barn, se avsnitt 14. Barnets egen uppfattning vägs in utifrån ålder och mognad, enligt barnkonventionen.

Personnummer. Fälten i eBas kräver ett fullständigt personnummer. Vill du inte lämna de fyra sista siffrorna, eller saknar du svenskt personnummer, hör du av dig till kansliet, som registrerar dig med enbart födelsedatum. Personnummer används i medlemsregistret, vid besök på säkerhetsklassade platser, när lag kräver det (till exempel kontrolluppgift till Skatteverket när vi betalar ut arvode eller stipendium) och när en försäkring, ett resebolag eller en arrangör kräver det för att du ska kunna delta. Det publiceras aldrig. Till en säkerhetsavdelning lämnas det på det sätt mottagaren anvisar, aldrig i öppen e-post.

9. Bilder

Bilder och film från verksamheten publiceras på hemsidan, i sociala medier och i verksamhetsberättelser. Vi gör det för att visa vad vi gör och nå nya deltagare, och grunden är förbundets berättigade intresse. Vi frågar inte i förväg, vare sig för gruppbilder eller för bilder på dig ensam. På aktiviteter för barn under 13 år gäller punkt 4. Fyra begränsningar gäller utan undantag:

1. Du kan säga nej, och vi frågar inte varför. Ett meddelande till kansliet räcker, före eller efter publicering. Bilden tas bort från hemsidan och förbundets egna konton. Vill du inte bli fotograferad alls kryssar du i det i anmälan, eller säger till ledaren eller kansliet; det skrivs in i deltagarlistan.
2. Namn sätts på en bild bara om personen godkänt det vid tillfället. Samma sak för citat. Undantag: förtroendevalda, anställda, föreläsare och myndiga pristagare, vars namn hör till uppdraget. Pristagare under 18 år tillfrågas.
3. Bilder används aldrig för andras marknadsföring. De kan ingå i förbundets eget press- och partnermaterial, till exempel i en rapport till en bidragsgivare. De körs aldrig genom ansiktsigenkänning eller automatisk taggning.
4. På aktiviteter som riktar sig till barn under 13 år publiceras bilder bara med vårdnadshavarens samtycke. Vårdnadshavaren kryssar i rutan i anmälan för att samtycka; utan kryss publiceras inga bilder där barnet går att känna igen. Vilka aktiviteter det gäller bestämmer kansliet innan anmälan öppnar, se del 3. Samtycket kan återkallas med ett meddelande till kansliet. Deltar ett barn under 13 år i en aktivitet för äldre gäller i stället punkt 1: vårdnadshavaren säger nej, och vi frågar inte varför.

Vi går inte igenom gamla bilder och inlägg på eget initiativ, men tar bort det du pekar ut.

10. Registerkontroll för ledare

Ska du leda verksamhet för förbundet där barn deltar, som ledare, funktionär eller anställd, ber vi dig visa ett utdrag ur belastningsregistret. Det heter Arbete med barn i annan verksamhet än skola och barnomsorg. Du begär det själv hos Polisen, kostnadsfritt, och behåller originalet. Det får vara högst sex månader gammalt när du visar det, och kan visas för flera uppdrag. För förbundet visar du det en gång, inför ditt första uppdrag.

Lagen tillåter inte annan dokumentation än en anteckning om att utdraget visats upp. Utdraget kopieras, fotograferas eller lagras därför aldrig. Det som antecknas, i uppdragsregistret, är att det visats, vilket datum och vem som såg det. Vad det innehöll antecknas aldrig, inte heller att det var tomt. Får du inte uppdraget skriver vi ner beslutet, men inte varför.

Kravet gäller förbundets egna uppdrag. Medlemsföreningarna beslutar själva.

11. Vilka vi delar uppgifter med

Vi säljer aldrig personuppgifter och lämnar dem aldrig ut för marknadsföring. Uppgifter delas bara när ändamålen i avsnitt 4 kräver det:

• Din förening och ditt distrikt ser dig i eBas enligt avsnitt 1. Det är samma register, inte ett utlämnande.
• Bidragsgivare, till exempel MUCF, Skolverket och regioner, får statistik, inte uppgifter om enskilda medlemmar. Undantaget är föreningarnas kontaktpersoner, se nästa punkt.
• Föreningens kontaktperson. Namn, e-post och telefon kan lämnas till den som vill komma i kontakt med föreningen, till exempel någon som vill bli medlem, en annan förening i rörelsen eller en journalist, och till bidragsgivare som kräver en kontaktperson per förening i ansökan om statsbidrag, som MUCF.
• Revisorerna får se det granskningen kräver, till exempel vilka som är medlemmar. Bidragsgivaren ser det aldrig.
• Externa sakkunniga som bedömer en ansökan eller nominering. De får bara det bedömningen kräver och ombeds behandla det förtroligt.
• Myndigheter och domstol, när lagen ger dem rätt att kräva ut uppgifter.
• Riksarkivet, se avsnitt 6.
• Personuppgiftsbiträden, våra leverantörer enligt avsnitt 1.
• Samarbetsparter vid aktiviteter, som boende, resebolag, flygbolag, försäkringsbolag och arrangörer av internationella tävlingar. Bara det som behövs, och känsliga uppgifter bara om du samtyckt till det. Vid utlandsresor och finaler utomlands kan mottagaren finnas utanför EU, se avsnitt 12. De svarar själva för hur de hanterar uppgifterna. Arrangören av en internationell tävling publicerar lag, resultat och bilder enligt sina egna regler, och det kan förbundet inte ta bort; du får veta det innan du tackar ja till en plats i laget.
• Svenska Astronomiska Sällskapet får namn, adress och e-post om du väljer ett provnummer av Populär Astronomi, och ansvarar självt för uppgifterna därefter, eftersom en prenumeration är ett medlemskap i sällskapet.
• Säkerhetsavdelningar får personnummer om du anmält dig till besök på en säkerhetsklassad plats, som Esrange.
• Din skola, i skolprojekt, skolbesök och skoltävlingar: läraren får deltagarlistan och resultaten för sina egna elever, eftersom skolan står för deltagandet. Vad skolan gör med uppgifterna svarar skolan själv för.

Uppgifter om anställda och ideella lämnas inte till utomstående, till exempel bakgrundskontrollföretag, utan att personen först tillfrågats.

12. Hemsidan och sociala medier

Hemsidan lagrar inga cookies, varken nödvändiga eller andra. Därför finns ingen cookieruta.

På förbundets konton i sociala medier behandlar plattformen dina uppgifter enligt sina villkor. Vi läser kommentarer och meddelanden och svarar när det behövs; de ligger kvar på plattformen, och vi tar bort dem på begäran.

Vi väljer leverantörer inom EU/EES när det går. Hamnar uppgifter utanför EU, till exempel i sociala medier eller molntjänster, sker det bara med det skydd EU-reglerna kräver: antingen har EU godkänt landets skydd, eller så gäller EU:s standardavtal, som kansliet kan visa dig. Vid resor och tävlingar i länder utan sådant skydd lämnas passuppgifter ändå till arrangör och resebolag, eftersom resan annars inte går att genomföra. Vem som får dem står i anmälan.

13. Säkerhet och när något går fel

Bara den som behöver uppgifterna för sitt uppdrag får se dem, och behörigheten tas bort när uppdraget upphör, senast på gallringsdagen. Uppgifter lagras i förbundets och leverantörernas system, inte i privata konton. Ledare får ha deltagarlistan i telefonen under aktiviteten och raderar den efteråt. Exporter ur eBas sparas i förbundets lagring, inte i e-post, och raderas på gallringsdagen. Ledare och funktionärer följer ledarbladet i del 3.

En personuppgiftsincident är när uppgifter försvinner, ändras eller hamnar hos fel person. Ett felskickat mejl med en deltagarlista räknas. Den som upptäcker något anmäler det till kansliet samma dag. Kansliet bedömer och dokumenterar. Kan det innebära en risk för dig anmäls det till Integritetsskyddsmyndigheten inom 72 timmar, och är risken hög informeras du direkt.

14. Dina rättigheter

Skriv till kansliet, se avsnitt 15. Ingen särskild form krävs. Vi svarar senast inom en månad. Kan vi inte göra allt du begär får du veta varför, och ett förslag om det finns någon lösning.

Rättighet	Vad den innebär
Tillgång	Du får veta vad vi har om dig och får en kopia, ett registerutdrag
Rättelse	Felaktiga eller ofullständiga uppgifter rättas
Radering	Uppgifter raderas när de inte längre behövs, när du återkallar ett samtycke, eller när du invänt och förbundet inte kan visa tvingande skäl. Det som lag, ett pågående ärende, ett rättsligt anspråk eller arkivet kräver att vi behåller raderas inte, se nedan
Begränsning	I de fall lagen anger, till exempel medan vi kontrollerar en uppgift du anser är fel eller prövar din invändning, används uppgifterna bara för lagring, för rättsliga anspråk eller med ditt samtycke
Invändning	Du kan säga nej till hantering som bygger på berättigat intresse och ange varför det drabbar just dig. Se nedan
Dataportabilitet	Du får ut dina uppgifter i en fil att ta med dig. Gäller bara hantering som bygger på avtal eller samtycke, hos oss främst anställda
Återkalla samtycke	Alltid möjligt. Det som redan skett påverkas inte

 

Vad en radering omfattar. Vi raderar i eBas och i de listor som används löpande. Det som inte raderas är bokföring och bidragsunderlag (sju år), protokoll, verksamhetsberättelser och annat som redan publicerats eller tryckts, samt bildsamlingen, som inte går att söka i på person; pekar du ut en bild tas den bort. Inte heller raderas uppgiften om att någon uteslutits (avsnitt 4), uppdragsregistret och anteckningen om att registerkontroll gjorts. Radering ur arkivet prövas i varje ärende och kan nekas bara i den utsträckning den skulle omöjliggöra eller avsevärt försvåra arkivändamålet. Du får besked om vad som raderats och vad som står kvar.

Invändning. Ditt fall prövas. Hanteringen får fortsätta bara i två fall. Det ena är att förbundet kan visa tvingande berättigade skäl som väger tyngre än dina intressen, rättigheter och friheter. Det andra är att den behövs för att fastställa, göra gällande eller försvara rättsliga anspråk. Du får skälet skriftligt. Invänder du mot utskick upphör de direkt, utan prövning. Invändning mot arkivet prövas på samma sätt som annan hantering.

Handläggning. Vi kan behöva kontrollera att du är den du säger. Är ärendet omfattande kan tiden förlängas med två månader, och du får besked inom den första. Är en begäran uppenbart ogrundad eller upprepas gång på gång får förbundet ta ut en avgift eller säga nej.

15. Kontakt

Astronomisk Ungdoms Studentförbund, personuppgiftsansvarig, org.nr 802546-0331

• E-post: contact@spacestudents.se, märk meddelandet ”Personuppgifter”
• Telefon: 070-000 90 56
• Adress: c/o Astronomisk Ungdom, Drottninggatan 120, 113 60 Stockholm

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet. Klagomål lämnas enklast via e-tjänsten på www.imy.se.

---

Del 2. För medlemsföreningar

16. Föreningens ansvar

Föreningen är en självständig ideell förening och egen personuppgiftsansvarig. För den gemensamma medlemsposten i eBas gäller den här policyn också för föreningen: förening, distrikt och förbund är gemensamt ansvariga för den enligt del 3. För sin egen verksamhet, med egna utskick, listor, bilder och arrangemang, svarar föreningen ensam. Där kan del 1 användas som förebild, men föreningen är inte bunden av den.

Som villkor för anslutningen ska föreningen:

• informera nya medlemmar om att de samtidigt blir medlemmar i förbundet och distriktet. Registrerar sig medlemmen själv i eBas sker det där. Tar föreningen in medlemmar på annat sätt, till exempel via en lista eller ett eget formulär, ger föreningen länken till den här policyn vid anmälan
• hålla medlemsuppgifterna aktuella i eBas: rätta adresser och kontaktuppgifter när ni får veta att de ändrats, och ta bort dubbletter
• årligen redovisa medlemmar, stadgar, årsmöte och verksamhetsberättelse till förbundet och distriktet. En förening som inte redovisat på ett år kan förbundet avregistrera
• bara använda medlemsuppgifterna i föreningens egen verksamhet. Uppgifterna får inte lämnas ut till någon utanför föreningen, distriktet och förbundet utan att lagen kräver det eller medlemmen samtyckt
• ge behörighet i eBas bara till dem som behöver den, och ta bort den när uppdraget upphör
• aldrig registrera känsliga uppgifter i eBas, inte heller i anteckningsfält: hälsa, allergier, religion, politiska åsikter, sexuell läggning, etniskt ursprung, fackligt medlemskap
• hantera uteslutningsärenden med samma varsamhet som känsliga uppgifter, och bara låta handläggarna se dem
• skicka begäranden från medlemmar (den som vill se, ändra eller radera sina uppgifter, eller slippa utskick) och misstänkta incidenter (ett mejl med medlemslistan till fel person, en tappad lista, någon som sett det den inte borde) till kansliet samma dag. Kansliet svarar medlemmen och bedömer incidenten
• vid upplösning överlämna sitt arkiv till förbundet enligt stadgarna
• fråga kansliet innan föreningen bygger ett eget anmälnings- eller registreringsformulär, särskilt om det ska kopplas till eBas
• låta sina ledare följa ledarbladet i del 3.

Vad som ska samlas in. Obligatoriskt för att en medlem ska vara bidragsgrundande: namn, adress, e-post eller telefonnummer, födelsedatum och kön. Frivilligt: skola och de fyra sista siffrorna i personnumret. Inte mer. Ta helst in både e-post och telefon; skälet står i avsnitt 2. Vill en medlem inte lämna de fyra sista siffrorna, hänvisa till kansliet (avsnitt 8).

Arrangemang i eBas. Använder föreningen eBas arrangemangsmodul visas den gemensamma texten om personuppgifter för deltagarna, och föreningen följer den för det arrangemanget: svar på hälsofrågan raderas senast en månad efter aktiviteten, den som inte vill vara med på bild respekteras utan att tillfrågas om skäl, och övriga anmälningsuppgifter raderas året efter. Föreningen är ensam ansvarig för arrangemanget; förbundet tillhandahåller modulen och texten.

Det föreningen bör veta i övrigt. Namn, uppdrag och år för föreningens styrelse och funktionärer förs från den årliga redovisningen in i förbundets uppdragsregister, se avsnitt 2 och 4, tillsammans med deras kontaktuppgifter. Kontaktpersonens namn, e-post och telefon kan lämnas ut enligt avsnitt 11. Utdrag ur belastningsregistret (avsnitt 10) kräver förbundet för sina egna uppdrag; föreningen beslutar själv om den gör samma sak. Kansliet nås på contact@spacestudents.se, märk meddelandet ”Personuppgifter”, eller 070-000 90 56.

Studentföreningar. En studentförening som är registrerad hos studentkåren kan behöva visa kåren att medlemmarna studerar vid lärosätet. Det gör föreningen själv, utanför eBas, med de uppgifter kåren kräver och inte fler. Det är föreningens egen behandling; förbundet lämnar inga uppgifter till kåren.

---

Del 3. Internt regelverk och dokumentation

För förbundsstyrelsen och kansliet. Här finns rutinerna, registret över behandlingar enligt artikel 30, och de bedömningar policyn vilar på.

Ledarbladet: fyra regler för alla som leder verksamhet

Det här är allt en ledare behöver kunna. Bladet skickas med deltagarlistan inför varje aktivitet och vid varje nytt uppdrag. Kansliet och styrelsen följer det också.

Frågor och larm: kansliet, 070-000 90 56, contact@spacestudents.se.

1. Deltagarlistan. Allergier, behov, personnummer och pass i listan är bara för ledarna. Köket får kostbehoven, och boende, resebolag och försäkringsbolag det de behöver; ingen annan får något utan att du frågat kansliet. Berättar någon själv något du behöver veta: säg det till de ledare som behöver veta, skriv det i listan, ingenstans annars. Fråga aldrig efter diagnoser. När aktiviteten är slut: radera nedladdningar och skärmdumpar, riv utskrifter. Ledarmötenas anteckningar arkiveras: skriv vad ni bestämde, inte hur någon mår eller sköter sig.
2. Bilder. Säger någon nej, före eller efter: låt bli eller ta bort, fråga inte varför, skriv nej i listan. Namn på bild bara om personen sagt ja. På aktiviteter för barn under 13 år får bara barn med ja i listan synas på bilder som publiceras eller läggs i gruppchatten. Lägg bilderna i förbundets mapp; från barnaktiviteter först sorterade mot listan. Skicka inte bilder till någon utanför förbundet. Säg till deltagarna första dagen: fråga innan ni lägger upp bilder på varandra.
3. Något gick fel. Fel mottagare, någon såg det de inte skulle: ring eller mejla kansliet samma dag, även om du är osäker. Kansliet tar det därifrån.
4. Nytt. Eget anmälningsformulär, ny app eller chatt för gruppen, eller deltagaruppgifter till någon annan än kök, boende, resebolag och försäkringsbolag: fråga kansliet först.

Före ditt första uppdrag med barn visar du Polisens utdrag ”Arbete med barn i annan verksamhet än skola och barnomsorg” för kansliet. Beställ i tid.

Kansliets fyra rutiner

Mallar och checklistor ligger i kansliets mapp för personuppgifter.

5. Vid varje aktivitet. Före: anmälan i eBas arrangemangsmodul, eller ett formulär som kansliet godkänt, med hälsofråga (”Finns det något vi behöver ordna för att du ska kunna delta: mat, medicin, tillgänglighet, annat? Beskriv behovet, inte diagnosen”), med meningen ”Frivilligt. Fyller du i fältet samtycker du till att vi sparar svaret för den här aktiviteten” vid fältet, ingen separat kryssruta; vårdnadshavarfält i alla formulär, som fylls i när deltagaren är under 18 år (inte i lärarens anmälan av elever till prov som skrivs på skolan); en enda bildruta per formulär, alltid tom från början, som lyder ”Jag vill inte vara med på bild”, utom på aktiviteter som riktar sig till barn under 13 år, där den lyder ”Jag är vårdnadshavare och samtycker till att bilder där mitt barn går att känna igen publiceras”. En tom ruta betyder alltså ja till bilder i det första fallet och nej i det andra. En aktivitet räknas som riktad till barn under 13 år när inbjudan anger en nedre ålder under 13 år eller vänder sig till grundskolans årskurs 6 eller lägre, eller hålls för en förening på en grundskola med sådana årskurser; kansliet väljer bildrutans text när anmälan skapas, och formuläret visar sedan vilken variant som gällde. Under aktiviteten ligger anmälningarna i eBas. Ledarna får deltagarlistan som export ur eBas tillsammans med ledarbladet; i exporten fylls kolumnen bild i med ja eller nej, aldrig med kryss. Slå upp varje ledare i uppdragsregistret: finns anteckning om registerkontroll är det klart, annars visar ledaren utdraget före aktiviteten (rutin 8). När anmälan öppnar lägger kansliet en påminnelse i kalendern till dag 30 efter aktivitetens slut. Efter: den dagen sparar kansliet deltagarlistan ur eBas som kalkylark i årets aktivitetsmapp i förbundets lagring, utan kolumnerna för hälsa och behov samt fritext, raderar anmälningarna i eBas och tar bort ledarnas eventuella behörighet till arrangemanget, utom i ett pågående ärende. Kalkylarket ligger kvar i aktivitetsmappen till gallringsdagen. Bilder från aktiviteter för barn under 13 år lämnas till kansliet av en ledare som var med och som först tagit bort bilder där ett barn med nej i listan syns; kansliet gör ingen egen kontroll, och bilder som inte lämnats via en ledare publiceras inte.
6. Arkivet. Reglerna i avsnitt 6 gäller. Dit förs medlemsposter och deltagarlistor i minimerad form (namn, födelseår, kön, postnummer och postort, skola, förening och medlemsår; för deltagarlistor även aktivitet, roll och år), protokoll, gästlistor och handlingar av bestående värde. Anmälningssvar, ansökningar, kontaktuppgifter och räkenskaper förs inte dit; de raderas på gallringsdagen. Tar kansliet emot en upplöst förenings eller ett distrikts handlingar: skriv två rader i mottagningsanteckningen (vad, från vem, ryms i bedömningen i del 3) innan de läggs in; innehåller de känsliga uppgifter avgör kansliet först om de ska in.
7. Gallringsdagen, en gång om året i samband med verksamhetsberättelsen. Checklistan nedan.
8. När något kommer in.
   • Begäran märkt ”Personuppgifter”: notera mottagningsdatum, svara senast samma datum nästa månad. Radering görs i eBas, alumnilistan och årets deltagarlistor; svaret anger vad som står kvar (bokföring, protokoll, arkiv). Nej till utskick eller bild verkställs direkt, utan prövning; annan invändning prövas av kansliet med skriftligt skäl.
   • Incident, från ledare, förening, leverantör eller egen upptäckt: skriv ner i ett dokument i kansliets mapp vad som hänt, vilka som berörs och vad som gjorts (det är den dokumentation lagen kräver). Kan det innebära risk för de berörda anmäls det till IMY inom 72 timmar från upptäckten; vid hög risk informeras de berörda.
   • Ny leverantör: biträdesavtal tecknas och leverantören förs in i förteckningen innan den tas i bruk.
   • Ny ledare, funktionär eller anställd med barnkontakt: visar utdraget; anteckna i uppdragsregistret att det visats, datum och vem som såg det, aldrig innehåll, aldrig kopia. Tillsätts inte uppdraget antecknas bara det.
   • Manuell registrering eller import: välkomstmejlet med policylänken går ut från eBas; går det inte skickas länken inom en månad. I skolprojekt och skoltävlingar läggs policylänken i det material som går till läraren.

Gallringsdagen

En gång om året, samma dag som verksamhetsberättelsen behandlas. Kansliet får hålla gallringsdagen gemensamt för de tre förbunden i samband med den första av verksamhetsberättelserna; varje förbund antecknar då i sitt eget styrelseprotokoll att den genomförts. Allt nedan avser föregående kalenderår och tidigare.

1. Exporter ur eBas från föregående år raderas ur förbundets lagring. E-posten söks inte igenom.
2. Föregående års aktivitetsmapp öppnas. I varje deltagarlista raderas kolumnerna gatuadress, e-post, telefon, personnummer, pass, medborgarskap, vårdnadshavare samt rese- och boendeönskemål; hälsa och fritext togs bort dag 30, och finns de kvar raderas de nu. Kvar står namn, födelseår, kön, postnummer och postort, skola, förening, roll, aktivitet och år. Listan flyttas till arkivet. Övriga anmälningssvar raderas.
3. Medlemmar vars senaste medlemsår ligger mer än sju år tillbaka förs till arkivet med namn, födelseår, kön, postnummer och postort, skola, förening och medlemsår. Posten tas bort ur eBas; gatuadress, e-post, telefon och personnummer följer inte med.
4. Uppdragsregistret fylls på med föregående års förtroendevalda och ideella, från förbundets protokoll och från föreningarnas och distriktens årliga redovisningar.
5. Raderas: ansökningstexter och bilagor till avgjorda ansökningar och nomineringar (vem, vad, år och utfall står kvar), kontaktuppgifter till externa gäster som inte bjudits in på sju år, rekryteringshandlingar från tillsättningar äldre än två år, anställdas handlingar utanför lön, skatt och det som enligt registret i del 3 bevaras i tio år, när anställningen upphört, avslutade uteslutningsärenden där omprövning inte längre kan begäras eller är avgjord (uppgiften om att någon uteslutits står kvar), räkenskapsmaterial och bidragsunderlag äldre än sju år. Föreningarnas redovisningar äldre än sju år raderas; handlingar av bestående värde förs till arkivet.
6. Enkätsvar anonymiseras: kolumnerna namn och e-post tas bort ur svarsfilen.
7. Behörigheter stäms av mot aktuella uppdrag: eBas, lagring, sociala medier. Avgångna förtroendevalda tas bort ur kansliets kontaktlistor och sändlistor; anteckningen om registerkontroll står kvar i uppdragsregistret. Partnerkontakter rättas när kansliet får veta att någon slutat eller bytts; ingen särskild genomgång görs.
8. Arkivet: det som tillförts sedan förra gallringsdagen kontrolleras mot rutin 6. Mottagningsanteckningar för övertagna arkiv finns.
9. Biträdesförteckningen: nya leverantörer har avtal och angivet land och överföringsgrund. Har hemsidan fått nytt verktyg, ny inbäddning eller nytt tillägg under året? Om ja: öppna sidan, öppna webbläsarens utvecklarverktyg (fliken Lagring i Firefox, Application i Chrome) och kontrollera att inget ligger under Cookies eller Local storage. Om nej: ingen kontroll behövs.
10. Policyn läses igenom mot årets verksamhet: ny behandling, nytt system, ny mottagare? Ändras den är registret enligt artikel 30 uppdaterat. Ändras den i sak nämns det i nästa medlemsbrev och i mejlet till föreningarna. Genomförd gallringsdag antecknas i styrelseprotokollet.

Beslut och revidering

Policyn fastställs av förbundsstyrelsen och ses över på gallringsdagen, samt när verksamhet eller lagstiftning förändras på ett sätt som påverkar behandlingen. Senaste versionen publiceras på https://www.spacestudents.se/integritetspolicy/. Vid väsentliga ändringar informeras medlemmar och föreningar särskilt. Policyn är samtidigt förbundets interna regelverk för anställda, förtroendevalda och ideella.

Dataskyddsombud

Förbundet har inget dataskyddsombud och behöver inget. Artikel 37 kräver ett bara för myndigheter, för den vars kärnverksamhet är regelbunden och systematisk övervakning av registrerade i stor omfattning, och för den vars kärnverksamhet är behandling av känsliga uppgifter eller uppgifter om lagöverträdelser i stor omfattning. Inget av det stämmer på förbundet.

Gemensamt personuppgiftsansvar i eBas (artikel 26)

Förening, distrikt och förbund är gemensamt personuppgiftsansvariga för den gemensamma medlemsposten i eBas. De tre förbunden som delar eBas, Astronomisk Ungdom (802467-7182), Astronomisk Ungdoms Elevförbund (802546-0216) och Astronomisk Ungdoms Studentförbund (802546-0331, på engelska Space Students Sweden), är däremot var för sig ansvariga för sina egna medlemmar; att kansliets personal ser alla tre förbundens uppgifter följer av biträdesrollen i avsnittet om gemensam policy nedan. Fördelningen:

Vad	Vem svarar
Information vid registreringen, och denna policy	Förbundet
Att den egna föreningens medlemsuppgifter hålls aktuella	Föreningen
Registerutdrag, rättelse, radering, begränsning och invändning	Förbundet, som gör ändringen i hela posten
Avtal med leverantören av eBas, systemsäkerhet och behörighetsmodellen som avgör vem som ser vad	Förbundet
Behörigheter i den egna organisationen, och att de tas bort när uppdraget upphör	Föreningen respektive distriktet
Bedömning och anmälan av personuppgiftsincidenter i eBas	Förbundet, efter anmälan enligt ledarbladet punkt 3

 

Gränsen går vid eBas. Vad en förening eller ett distrikt gör med uppgifterna i sin egen verksamhet ansvarar den organisationen ensam för. Detsamma gäller förbundets egen behandling: bidragsansökningar, medlemskontroll och arkiv. Den registrerade kan vända sig till vem som helst av de tre. Det väsentliga i arrangemanget görs tillgängligt genom avsnitt 1 i den publicerade policyn. Fördelningen, och regeln om arrangemangsmodulen i avsnitt 16, meddelas distrikten när policyn antas. Ett distrikt som vill ha en annan fördelning tar upp det med förbundet; annars gäller den. Föreningarna binds genom anslutningen och avsnitt 16.

Leverantörer är personuppgiftsbiträden enligt artikel 28, med skriftligt avtal och upptagna i kansliets förteckning över biträden. Samarbetsparter vid aktiviteter, som boende och resebolag, är däremot egna personuppgiftsansvariga.

Register över behandlingar (artikel 30)

Policyn är förbundets register. Begär IMY in registret lämnas policyn.

Krav enligt artikel 30.1	Var det står
Ansvarigs namn och kontaktuppgifter	Avsnitt 1 och 15. Gemensamt ansvariga föreningar och distrikt framgår av förteckningen i eBas
Ändamål	Avsnitt 4 samt tabellen nedan
Kategorier av registrerade	Nedan
Kategorier av personuppgifter	Avsnitt 2 samt tabellen nedan
Kategorier av mottagare	Avsnitt 11
Överföringar till tredjeland	Avsnitt 11 och 12
Tidsfrister för radering	Avsnitt 4, tabellen nedan, och gallringsdagen
Säkerhetsåtgärder	Avsnitt 13, ledarbladet, kansliets rutiner och arkivets fyra regler i avsnitt 6

 

Kategorier av registrerade: medlemmar, tidigare medlemmar, deltagare, vårdnadshavare till medlemmar och deltagare under 18 år, förtroendevalda och ideella funktionärer i förening, distrikt och förbund, nuvarande och tidigare, företrädare för medlemsföreningar, sökande av stipendier och bidrag, arbetssökande och deras referenspersoner, anställda, prenumeranter på nyhetsbrev, besökare i förbundets sociala medier, inbjudna gäster, föreläsare och externa sakkunniga, lärare i skolprojekt och lärarfortbildningar samt elever i skolprojekt som inte är medlemmar, kontaktpersoner hos andra organisationer, samt personer som kontaktar förbundet.

Behandlingar som inte rör medlemmar och deltagare direkt:

Ändamål	Rättslig grund	Lagringstid
Förtroendevalda, ideella funktionärer och ombud: uppdrag, behörigheter, röstlängd och representation vid stämman, registreringar hos myndighet och bank	Berättigat intresse av att nå den som har uppdrag, fastställa rösträtt enligt stadgarna § 4.4 och dokumentera beslut. Rättslig förpliktelse för registreringar hos myndighet och bank	På gallringsdagen efter att uppdraget upphört förs uppgiften om uppdraget och kontaktuppgifterna till uppdragsregistret, avsnitt 4, och tas bort ur kansliets löpande listor. Protokoll, röstlängder och handlingar från stämman arkiveras
Utbetalning av utlägg, arvoden och stipendier samt bokföring	Rättslig förpliktelse: bokföringslagen och skattelagstiftningen	Sju år efter räkenskapsåret
Kontakt med medlemsföreningar: anslutning, årlig redovisning, stöd, och kontaktpersonen, som kan lämnas ut enligt avsnitt 11	Berättigat intresse av att nå föreningarnas företrädare och av att andra ska kunna nå föreningen. Rättslig förpliktelse enligt bidragsvillkoren när en bidragsgivare kräver en kontaktperson per förening. Anslutningen är ett avtal med föreningen, inte med företrädaren	Redovisade handlingar i sju år. Handlingar av bestående värde arkiveras
Registerkontroll inför uppdrag och anställning med barnkontakt	Berättigat intresse av barns trygghet, enligt lagen (2013:852) om registerkontroll av personer som ska arbeta med barn	Anteckningen står i uppdragsregistret. Innehållet antecknas aldrig
Anställda: anställning, lön och arbetsgivaransvar	Anställningsavtalet, samt rättslig förpliktelse för skatt, arbetsgivaravgifter och arbetsmiljö	Under anställningen. Anställningsavtal, uppgift om befattning och anställningstid samt utfärdade betyg och intyg bevaras i tio år efter att anställningen upphört, för att kunna utfärda nya intyg och bemöta anspråk; därefter förs namn, befattning och anställningstid till arkivet. Lön och skatt i sju år. Övrig personalakt raderas på gallringsdagen året efter att anställningen upphört
Statistik och uppföljning	Berättigat intresse, rättslig förpliktelse för obligatorisk statistik	Anonymiseras på gallringsdagen
Rekrytering av anställda: ansökningshandlingar, referenser, anteckningar från intervju	Berättigat intresse av att tillsätta tjänsten och att kunna bemöta anspråk enligt diskrimineringslagen	Raderas på gallringsdagen två år efter tillsättningen. Den anställdes handlingar förs till personalakten
Kontaktpersoner hos partner, sponsorer, bidragsgivare, leverantörer, skolor och myndigheter	Berättigat intresse av att sköta relationen	Så länge relationen består, och därefter tre år efter den senaste kontakten, så att samarbetet kan återupptas. Rättas när kansliet får veta att kontaktpersonen slutat eller bytts
Interna mötesanteckningar: avstämningsmöten, projektgrupper, kommittéer	Berättigat intresse av att dokumentera arbetet	Bevaras och arkiveras som verksamhetsdokumentation. Uppgifter om enskildas hälsa, privatliv eller prestation förs inte in
Dokumentation av personuppgiftsincidenter: vad som hänt, vilka uppgifter och personer som berörts, vad som gjorts	Rättslig förpliktelse enligt artikel 33.5	Skrivs när en incident inträffar. Bevaras och arkiveras

 

Bedömning enligt 8 § RA-FS 2024:8

Riksarkivets föreskrifter RA-FS 2024:8 gäller enskilda arkivbildare bara när de vidarebehandlar känsliga personuppgifter för arkivändamål av allmänt intresse, och därutöver den som övertar personuppgifter för sådana ändamål (3 §). Förbundets eget arkiv innehåller inga känsliga uppgifter och omfattas därför inte. Handlingar som förbundet tar emot när en medlemsförening eller ett distrikt upplöses omfattas. Enligt 8 § ska nödvändighetsbedömningen dokumenteras innan behandlingen påbörjas. Den görs här, en gång, för samtliga sådana överlämnanden.

Bedömningen: handlingarna dokumenterar en del av rörelsens verksamhet som annars försvinner med föreningen eller distriktet. Ingen annan bevarar dem, och överlämnandet till förbundet är därför normalt sett föreskrivet i föreningsstadgarna § 10.4 och distriktsstadgarna § 12.3. Ett arkiv rensat på personuppgifter visar inte längre vem som drev verksamheten, så ändamålet kan inte nås med mindre. Förbundet uppfyller 9 §: fast adress och bemanning genom rörelsens gemensamma kansli, sammanhängande verksamhet sedan 2023, och förbundsstyrelsens ansvar enligt stadgarna § 5.13 för att handlingar förvaras och arkiveras ordnat och betryggande.

Vid varje överlämnande noteras i mottagningsanteckningen vad som tagits emot och från vem, samt att materialet ryms inom denna bedömning. Innehåller det känsliga uppgifter gäller dessutom 10 och 12 §§, och kansliet tar ställning innan materialet arkiveras. Föreskrifterna gäller bara behandling som är automatiserad eller där uppgifterna ingår i ett register (4 §); pappershandlingar som förvaras i den ordning de kom faller utanför, en pärm sorterad på namn gör det inte.

Konsekvensbedömning enligt artikel 35

Förbundet har prövat frågan och funnit att behandlingen inte sannolikt leder till hög risk för de registrerade. Prövningen redovisas här och utgör den dokumentation artikel 5.2 förutsätter.

De tvingande fallen i artikel 35.3 föreligger inte. Förbundet gör ingen systematisk och omfattande bedömning av personliga egenskaper som ligger till grund för beslut med rättsliga eller liknande betydande följder, bedriver ingen kamerabevakning eller annan systematisk övervakning av allmän plats, och behandlar inte känsliga personuppgifter eller uppgifter om lagöverträdelser i stor omfattning.

Mot Integritetsskyddsmyndighetens förteckning krävs normalt att två av nio kriterier är uppfyllda. Förbundet träffar två: sårbara registrerade, eftersom medlemmarna till stor del eller helt är barn, och känsliga uppgifter, eftersom allergier och särskilda behov samlas in inför aktiviteter. Förteckningen pekar då mot en konsekvensbedömning. Förbundet har därför prövat risken och dokumenterar varför den ändå inte är hög. Uppgifterna om allergier och behov samlas in för en enskild aktivitet, ses av de ledare som behöver dem, förs aldrig in i medlemsregistret eller arkivet, och raderas senast en månad efter aktiviteten. Behandlingen är kortvarig, liten i omfattning, sker under skyddsåtgärderna i avsnitt 7 och ledarbladet, och innebär ingen övervakning, profilering eller beslut om den enskilde. Den övriga behandlingen av barnens uppgifter rör få och odramatiska uppgifter i ett medlemsregister. Sammantaget är hög risk inte sannolik.

Att arkivets källor kombineras för historieskrivningen, till exempel deltagarlistor mot protokoll för att fastställa vilka som arrangerat ett evenemang, är arkivändamål enligt avsnitt 6 och ingen ny behandling. Den träffar kriteriet om kombinerade uppgiftsserier bara i form, inte i risk, eftersom resultatet är en förteckning över arrangörer som redan står i verksamhetsberättelserna.

Prövningen ska göras om vid byte av medlemssystem eller annan ny teknisk lösning, om förbundet börjar profilera, ranka eller göra automatiserade urval bland medlemmar, vid kamerabevakning, och om känsliga uppgifter börjar bevaras längre än en månad eller föras in i något register.

Gemensam policy för rörelsens tre förbund

Astronomisk Ungdom, Astronomisk Ungdoms Elevförbund och Astronomisk Ungdoms Studentförbund delar kansli, medlemssystem, distrikt och stadgemall, och antar därför denna policy i likalydande form. Det som skiljer är förbundets namn, organisationsnummer, kontaktuppgifter, hemsida, bildandeår och vilken tidigare policy som ersätts. Allt annat är gemensamt, inklusive registret enligt artikel 30, rutinerna, gallringsdagen och bedömningarna. Kansliets personal är anställd av något av förbunden. Den som arbetar där behandlar de andra förbundens uppgifter för deras räkning och under deras instruktioner, och arbetsgivarförbundet är då personuppgiftsbiträde enligt artikel 28 åt de andra. Genom att anta denna policy i likalydande form åtar sig varje förbund, i den rollen, det som artikel 28.3 kräver: att behandla de andra förbundens uppgifter bara enligt deras instruktioner, det vill säga denna policy och deras styrelsebeslut; att personalen har tystnadsplikt enligt anställningsavtalet; att upprätthålla säkerhetsåtgärderna i avsnitt 13 och del 3; att inte anlita andra biträden än dem i biträdesförteckningen; att bistå vid begäranden, incidenter och tillsyn; att radera eller återlämna uppgifterna om samarbetet upphör; och att låta det ansvariga förbundet granska att detta följs. De tre likalydande policyerna, antagna av tre förbundsstyrelser, utgör tillsammans det skriftliga biträdesavtalet.

Fyra saker ska varje förbundsstyrelse bekräfta före antagandet: att förbundets hemsida inte lagrar cookies, annars skrivs avsnitt 12 om för det förbundet; att stadgehänvisningarna i policyn stämmer med förbundets egna stadgar (de sätts per förbund när policyn genereras ur mallen); att de verksamhetsberoende avsnitten (webbshop, understödsfonden, Populär Astronomi, studentkår) är med eller borttagna i enlighet med vad förbundet faktiskt gör; och att förbundet för ett uppdragsregister enligt avsnitt 4.

Om valet av rättslig grund och de bedömningar som bär policyn

Berättigat intresse bär nästan allt. Det är den enda grund som räcker bortom det enskilda medlemsåret. Medlemskapen upphör varje årsskifte, så en avtalsgrund skulle falla den 31 december och kan inte bära arkivet.

Stadgarna gör förväntningarna rimliga. Behandlingen följer av de stadgar medlemmen godkänt vid inträdet. Förbundsstadgarna säger att medlem i en ansluten förening också är medlem i förbundet (§ 2.5), att förbundet ska föra medlemsregister (§ 2.6) och att förbundet får hämta in de personuppgifter som verksamheten kräver från föreningen (§ 2.8). Distriktsstadgarna säger detsamma för distriktet (§ 2.5, 2.6 och 2.8), och föreningsstadgarna ålägger oftast föreningen att lämna uppgifterna (§ 2.4).

Den som blir medlem har därmed anledning att räkna med behandlingen. Rimliga förväntningar är en av de faktorer som intresseavvägningen enligt artikel 6.1 f bygger på (Europeiska dataskyddsstyrelsens riktlinjer 1/2024). Samma paragrafer begränsar också förbundet: de tillåter bara det som är nödvändigt, och det är den gräns avsnitt 2 och 4 drar. Att alla tre arbetar i samma medlemspost i eBas är hur skyldigheten fullgörs, inte separata utlämnanden, och kräver ingen egen grund per överföring.

Barnperspektivet, som samtidigt är förbundets intresseavvägning. Artikel 6.1 f anger att den registrerades intressen väger tyngre särskilt när det rör ett barn, vilket i praktiken gäller hela medlemsregistret. Förbundet har vägt in att uppgifterna är få och odramatiska, att de inte delas för marknadsföring, att känsliga uppgifter hålls utanför både register och arkiv, och att vårdnadshavare kan agera för barnets räkning. Avvägningen landar i att behandlingen kan ske under skyddsåtgärderna i avsnitt 6, 7 och 13 samt ledarbladet. Stycket räcker som dokumenterad avvägning, och separata utredningar per ändamål behövs inte.

Avtal används bara för anställda, där det vore missvisande att kalla lön för en intresseavvägning. Följden är att dataportabilitet gäller anställda men inte medlemmar. Rättslig förpliktelse går före där den finns: bokföring, skatt, arbetsgivaransvar och bidragsvillkor, bland annat förordningen (2011:65) om statsbidrag till barn- och ungdomsorganisationer.

Samtycke undviks, eftersom det kan återkallas och då lämnar behandlingen utan grund. Två fall återstår. För känsliga uppgifter har förbundet valt uttryckligt samtycke enligt artikel 9.2 a, eftersom inget av de övriga undantagen i artikel 9.2 passar för allergiuppgifter inför en aktivitet. Samtycket lämnas genom att det frivilliga hälsofältet fylls i, efter en förklarande mening vid fältet; att skriva i ett fält som är märkt så är en entydig bekräftande handling, och någon separat kryssruta behövs inte. Den som gör anmälan samtycker, oavsett om det är deltagaren eller vårdnadshavaren; utanför informationssamhällets tjänster finns ingen lagstadgad åldersgräns för samtycke, och förbundet sätter ingen egen. Berättar en deltagare själv något för en ledare under aktiviteten är det samma frivilliga lämnande, och uppgiften förs in i deltagarlistan på samma villkor. Frivilligheten enligt artikel 7.4 säkras genom att deltagande inte villkoras av svaret. Bilder i verksamhet för barn under 13 år är förbundets eget val, avgränsat till just den verksamheten för att kravet ska gå att upprätthålla; gränsen går på verksamhetens målgrupp, inte på den enskilda deltagarens ålder, eftersom åldersspannet sällan är känt i förväg. Bilder i övrigt vilar på berättigat intresse. Ett samtycke förbundet inte förmår samla in och dokumentera vid varje aktivitet vore inget samtycke, och behandlingen skulle då stå utan grund. Den villkorslösa rätten att säga nej utan prövning är den skyddsåtgärd som bär avvägningen. Bedömning per bild av vem som är huvudmotiv görs inte, av samma skäl. Använder ett barn under 13 år en digital tjänst som förbundet erbjuder direkt till barn med samtycke som grund, krävs vårdnadshavarens samtycke enligt dataskyddslagen; från 13 år kan barnet samtycka självt. Någon tjänst som vilar på samtycke finns inte i dag.

Personnummer får enligt 3 kap. 10 § dataskyddslagen behandlas utan samtycke när det är klart motiverat med hänsyn till ändamålet, vikten av en säker identifiering eller något annat beaktansvärt skäl. Förbundet har vägt in att registret ligger till grund för statsbidrag och därför måste vara fritt från dubbletter och påhittade identiteter, att en revisor i efterhand ska kunna styrka att medlemmarna existerar och är olika personer, och att adresser kan hållas aktuella automatiskt mot SPAR. Avvägningen är gjord för medlemsregistret, för besök på säkerhetsklassade platser och för de fall där en försäkring, en resa eller ett arrangemang inte kan genomföras utan personnummer. Där lag kräver personnummer, som vid kontrolluppgifter till Skatteverket, behövs ingen avvägning. Att de fyra sista siffrorna kan utelämnas gör behandlingen proportionerlig.

Uppgifter om lagöverträdelser har ett särskilt skydd i artikel 10 och får som huvudregel bara behandlas av myndigheter eller med uttryckligt stöd i lag. Registerkontrollen enligt lagen (2013:852) är utformad så att förbundet håller sig utanför den behandlingen: en anteckning om att en kontroll gjorts säger ingenting om vad registret innehåller. Anteckningen ”utan anmärkning” skulle däremot vara en uppgift om att registret är tomt, och antecknas därför aldrig. Av samma skäl dokumenteras ett beslut att inte tillsätta ett uppdrag utan skäl. I ärenden om uteslutning enligt stadgarna § 10.3, kränkning eller olycka kan uppgifter enligt artikel 9 eller 10 förekomma. För uppgifter enligt artikel 9 är grunden artikel 9.2 f, nödvändig behandling för rättsliga anspråk. För uppgifter om lagöverträdelser är stödet artikel 10 tillsammans med 3 kap. 8 och 9 §§ dataskyddslagen och Integritetsskyddsmyndighetens föreskrifter, som tillåter behandling i enstaka fall när den är nödvändig för rättsliga anspråk. Uppgifterna bevaras tills ärendet är avslutat och eventuella anspråk preskriberade, och vid uteslutning tills en omprövning enligt stadgarna § 10.4 inte längre kan begäras eller är avgjord. De förs aldrig in i medlemsregistret eller arkivet. Uppgiften om att någon uteslutits bevaras tills vidare, eftersom § 10.5 kräver styrelsens godkännande för nytt medlemskap och regeln annars inte kan tillämpas.

Arkivet vilar på berättigat intresse enligt artikel 6.1 f, med artikel 5.1 b och e och artikel 89 som stöd för att bevarandet får vara längre än för den löpande behandlingen. Det bevaras tills vidare därför att det behandlas enbart för arkivändamål av allmänt intresse, forskning och statistik, och den gränsen bärs av att arkivet aldrig används för utskick. Vidarebehandling för forskning och statistik anses enligt artikel 5.1 b förenlig med det ursprungliga ändamålet; en framtida uppföljningsstudie prövas för sig när den blir aktuell. Rätten till radering gäller inte arkivet i den mån radering allvarligt skulle försvåra ändamålet (artikel 17.3 d), vilket prövas i varje ärende, och invändning prövas enligt artikel 21.1. Medlemsposter och deltagarlistor förs till arkivet i minimerad form: namn, födelseår, kön, postnummer och postort, skola, förening och medlemsår, för deltagarlistor även aktivitet och roll. Gatuadress, e-post, telefon och personnummer raderas. Det är förbundets tillämpning av uppgiftsminimering enligt artikel 5.1 c för arkivet: namn och födelseår identifierar personen, postnummer och postort ger geografisk spridning ner till stadsdel, kön ger könsfördelningen över tid, och skola knyter personen till den skolförening eller det skolprojekt verksamheten bedrevs i. Inget av fälten gör det möjligt att kontakta personen, och det är den gräns som skiljer arkivet från alumnilistan och uppdragsregistret. Att förbundets arkiv enligt stadgarna ska överlämnas till Riksarkivet vid upplösning är ett självständigt stöd för att intresset är allmänt och inte bara förbundets eget. Publicerade och tryckta handlingar omfattas av samma undantag.

Uppdragsregistret är ett tredje register vid sidan av arkivet och alumnilistan, och skilt från arkivet av samma skäl som alumnilistan: det används operativt, för att avgöra förtjänstmedaljer, och kan därför inte vila på arkivets artikel 89-grund utan att bryta villkoret att arkivet behandlas enbart för arkivändamål. Grunden är berättigat intresse. Namn, uppdrag, organisation och år finns redan i protokoll och årsmöteshandlingar, och den som tar ett uppdrag i en ideell rörelse har anledning att räkna med att det antecknas. Bevarandet tills vidare följer av ändamålet: medaljer tilldelas för insatser över många år, och kontaktuppgifterna behålls för att förbundet ska kunna nå den som tilldelas en utmärkelse eller bjuds in som tidigare förtroendevald; de används inte för andra utskick. Uppgifter om uppdrag i föreningar och distrikt kommer från deras årliga redovisning enligt stadgarna § 2.2, inte från den registrerade; informationen enligt artikel 14 lämnas genom denna policy, som varje medlem får vid registreringen. För uppdrag som innehades innan policyn antogs lämnas ingen individuell information: uppgifterna är hämtade ur protokoll och årsmöteshandlingar som redan var tillgängliga för medlemmarna, de berörda är många, kontaktuppgifter saknas till de flesta, och behandlingen är begränsad till namn, uppdrag, organisation, år och de kontaktuppgifter som finns. Förbundet stöder sig på artikel 14.5 b, oproportionerlig ansträngning, och gör informationen allmänt tillgänglig genom denna policy. En invändning prövas enligt artikel 21.1.

Direktriktad kommunikation. Invändning mot utskick verkställs utan prövning enligt artikel 21.2 och 21.3. Utskick till medlemmar och tidigare medlemmar vilar på berättigat intresse. Till den som aldrig varit medlem skickas bara efter egen anmälan, eftersom marknadsföringslagen kräver ett föregående godkännande för elektronisk direktreklam till privatpersoner. Att sortera registret på en faktisk uppgift, till exempel födelseår för en lägerinbjudan, är urval och inte profilering enligt artikel 22; förbundet analyserar eller förutsäger inte egenskaper, beteende eller intressen, och inga beslut om enskilda fattas automatiskt.

Korrespondens gallras inte ärendevis. E-post är förbundets löpande verksamhetsdokumentation, och ett litet kansli kan inte hålla reda på när varje ärende är avslutat. Grunden är berättigat intresse, och skyddet är att den registrerade kan begära radering, att e-posten omfattas av behörighetsreglerna, och att känsliga uppgifter i inkommen e-post hanteras enligt avsnitt 7.

Cookies. Hemsidan lagrar inga cookies och använder inga statistikverktyg som gör det, vilket är ett medvetet val för att slippa samtyckeskravet i lagen (2022:482) om elektronisk kommunikation, som gäller all lagring i och åtkomst till uppgifter i besökarens terminalutrustning. Införs ett verktyg som sätter cookies måste avsnitt 12 skrivas om och en cookieruta införas.