GDPR på företagsevent: vad ni får spara om deltagarna

Ett företagsevent samlar in mer känsliga uppgifter än de flesta tror. Namn och mejladress är oproblematiskt. Men i samma formulär står ofta allergier, specialkost av religiösa skäl, tillgänglighetsbehov och vem som är någons partner. Det är uppgifter som kräver mer omsorg än en rad i ett kalkylark.

Allergier är inte vilken uppgift som helst

Uppgifter om hälsa tillhör en särskild kategori i dataskyddsförordningen och får bara behandlas på vissa grunder. I praktiken innebär det att ni behöver deltagarens uttryckliga samtycke för att samla in dem, att syftet ska vara tydligt, och att uppgifterna inte får spridas vidare till fler än de som faktiskt behöver dem.

Köket behöver veta att bord 12 har en gäst som inte tål nötter. Köket behöver inte veta vem personen är eller vilken avdelning hen jobbar på.

Skriv syftet redan i inbjudan

Det ska framgå varför ni frågar, vem som får se svaret och hur länge det sparas. Två meningar räcker: uppgifterna används för att beställa rätt mat och planera kvällen, de delas med restaurangen och hotellet, och de raderas nittio dagar efter eventet. Den som skriver det slipper diskussionen efteråt.

Samla bara in det ni ska använda

Den vanligaste överträdelsen är inte illvilja utan slentrian. Personnummer efterfrågas för att någon alltid gjort det. Frågan om medföljande blir en fritextruta där folk skriver mer än ni behöver. Gå igenom formuläret fält för fält och stryk allt ni inte har ett konkret användningsområde för nästa vecka.

Vem får se listan?

Deltagarlistan cirkulerar ofta som en fil i mejl, och då tappar ni kontrollen direkt. Filen ligger kvar i inkorgar hos personer som slutat, och versionerna hinner gå isär. Bättre är att de som behöver uppgifterna får se dem i ett system med inloggning, och att underlagen till kök och hotell innehåller antal och behov snarare än fullständiga persondata.

Leverantörerna räknas som mottagare

Restaurangen, hotellet och eventfirman blir mottagare av personuppgifter. Ha ett personuppgiftsbiträdesavtal där det behövs, och skicka aldrig mer än nödvändigt. En kostlista med antal per kosttyp är ofta tillräcklig, i stället för en namnlista.

Bestäm gallringen innan eventet, inte efter

Sätt en tidsgräns på förhand och håll den. Trettio till nittio dagar efter eventet räcker för avstämning av fakturor och utvärdering. Behöver ni behålla något längre, behåll statistiken och inte personuppgifterna. Antal deltagare per ort är användbart nästa år, vem som åt glutenfritt är det inte.

Formuläret rad för rad

Namn och mejl: behövs, oproblematiskt. Telefon: bara om ni faktiskt ska ringa. Avdelning eller butik: motiverat om ni delar in i bord eller bussar. Specialkost: känslig uppgift, samla in som val i en lista i stället för fritext, och lägg till en ruta för allergier med förklaring om varför ni frågar. Medföljandes namn: behövs för namnbricka och bordsplacering, men inte medföljandes personnummer eller kostvanor i mer detalj än nödvändigt. Personnummer: nästan aldrig motiverat på ett event.

Vad som ska stå i inbjudan

Vem som är ansvarig för uppgifterna, alltså ert företag. Varför ni samlar in dem. Vilka som får se dem, till exempel restaurang och hotell. Hur länge de sparas. Och hur någon gör för att få sina uppgifter rättade eller raderade. Fem meningar, och de kan stå som en kort rad under formuläret.

Vanliga frågor

Får vi publicera bilder från festen internt? Bilder på identifierbara personer kräver en grund, och samtycke är den vanligaste. Fråga i anmälan och notera svaret, så slipper ni gissa efteråt.

Får chefen se hela deltagarlistan med kost? Behovsprincipen gäller även internt. Den som planerar borden behöver kosten, den som bara ska veta hur många som kommer behöver ett antal.

Vad gör vi med listan efter eventet? Behåll statistiken, radera personuppgifterna enligt den tid ni angav. Skriv upp datumet direkt efter eventet, annars glöms det bort.

Så gör vi det

I vår eventplattform ligger uppgifterna bakom inloggning i stället för i filer, kostunderlaget kan tas ut utan namn, och gallringen är inställd på förhand. Mer om hur listan fungerar står på sidan om den digitala gästlistan, och vi har tidigare skrivit om hur man väljer system för deltagarhantering.

Osäkra på hur ert upplägg ser ut?

Berätta hur ni samlar in i dag, så säger vi rakt ut vad som bör ändras innan nästa inbjudan går ut.