Föreningen på Facebook — vad GDPR faktiskt kräver av er
Nästan varje liten förening i Sverige har en Facebook-grupp. Frågan som styrelsen förr eller senare ställer är om det är okej — juridiskt och praktiskt. Svaret är mer nyanserat än både ja och nej: gruppen är inte olaglig, men det finns saker föreningen är skyldig att kunna göra som inte går att göra där.
Varför så många föreningar hamnade på Facebook
Det finns en enkel förklaring, och den är inte att någon slarvade. När er förening behövde ett sätt att nå medlemmarna var Facebook gratis, alla var redan där, och det fanns inget rimligt alternativ byggt för en kör på trettio personer. Ett medlemssystem kostade pengar och var byggt för förbund med tusentals medlemmar. Valet var i praktiken en Facebook-grupp eller en e-postlista som ingen läste.
Så gruppen blev föreningens kalender, anslagstavla, medlemslista och arkiv på en gång. Den fungerade. För många fungerar den fortfarande.
Det som har förändrats är inte att Facebook har blivit sämre, utan att kraven på föreningen har blivit tydligare. Dataskyddsförordningen gäller er lika mycket som den gäller ett företag, och Integritetsskyddsmyndigheten är uttrycklig på den punkten: behandlar ni personuppgifter i föreningen, till exempel uppgifter om medlemmarna i ett medlemsregister, måste ni följa GDPR. Det finns inget undantag för att verksamheten är ideell eller för att föreningen är liten.
Den här guiden går igenom vad det faktiskt innebär för en Facebook-grupp: vem som ansvarar för uppgifterna, vad som går och inte går att göra där, och vad ni bör göra oavsett om ni byter verktyg eller väljer att stanna kvar.
Vem ansvarar för personuppgifterna i gruppen?
Den första frågan en styrelse behöver kunna svara på är enkel att ställa och obekväm att besvara: om en medlem imorgon begär ut allt ni har sparat om hen, vem är det som ska svara?
Det är inte Facebook. Det är föreningen.
1. Föreningen är personuppgiftsansvarig
När ni samlar namn, telefonnummer, e-postadresser eller uppgifter om vilka som deltar i verksamheten är föreningen personuppgiftsansvarig för den behandlingen. Ansvaret följer av vad ni gör med uppgifterna, inte av var ni råkar spara dem. Att uppgifterna ligger i en tjänst någon annan driver flyttar inte ansvaret dit.
IMY sammanfattar grundkraven kort. Ni ska bara samla in uppgifter för bestämda och berättigade ändamål, bara samla in uppgifter som är adekvata, relevanta och inte för omfattande, och bara spara uppgifter om medlemmar så länge de behövs. Ni ska skydda uppgifterna med rimliga säkerhetsåtgärder — IMY nämner inloggning, behörighetsspärrar, brandväggar, kryptering och säkerhetskopiering.
Ni ska också föra register över era behandlingar. Artikel 30 har ett undantag för mindre organisationer, men det träffar sällan en förening: undantaget gäller behandling som bara sker tillfälligt, och medlemshantering är regelbunden.
Till detta kommer en skyldighet som brukar överraska: upptäcker ni en personuppgiftsincident ska den anmälas till IMY inom 72 timmar. Det är en klocka som börjar ticka oavsett vilket verktyg ni använder.
2. Vad EU-domstolen faktiskt har slagit fast
Här är det värt att vara noggrann, eftersom domen ofta återges slarvigt.
I mål C-210/16, Wirtschaftsakademie Schleswig-Holstein, avgjorde EU-domstolen den 5 juni 2018 att den som driver en Facebook-sida — en fan page — är gemensamt personuppgiftsansvarig tillsammans med Facebook för besökarnas uppgifter. Skälet var att sidans administratör genom sin inställning av parametrar deltar i bestämmandet av ändamålen med och medlen för behandlingen. Gemensamt ansvar regleras i artikel 26 i dataskyddsförordningen. Ansvaret behöver inte vara jämnt fördelat, men båda parter svarar mot tillsynsmyndigheten och mot den registrerade.
Domen gäller sidor, inte grupper. Den prövade aldrig frågan om Facebook-grupper, och det vore fel att påstå något annat.
Men resonemanget är svårt att avfärda som irrelevant. En grupp har en administratör som bestämmer vem som släpps in, vad som får publiceras och vilka inställningar som gäller — och Facebook behandlar samtidigt uppgifter om deltagarna för sina egna ändamål. Det är samma struktur som domstolen såg i sidfallet. Vår bedömning, och vi är tydliga med att det är en analogi och inte ett avgörande, är att en styrelse gör klokt i att utgå från att den inte är ensam om ansvaret för vad som händer med medlemmarnas uppgifter i gruppen.
3. Var uppgifterna tar vägen
Meta är ett amerikanskt bolag, och överföringar av personuppgifter till USA kräver rättslig grund. Den finns idag: Europeiska kommissionens adekvansbeslut för EU–US Data Privacy Framework, antaget den 10 juli 2023, är i kraft. Att använda amerikanska tjänster är alltså inte olagligt, och den som påstår det har fel.
Vad som däremot är rimligt att väga in är att ramverket står under press från flera håll samtidigt. Tribunalen ogillade den 3 september 2025 en talan mot beslutet, men överklagandet är inte avgjort — det ligger hos EU-domstolen som mål C-703/25 P sedan den 31 oktober 2025. Den 29 juni 2026 slog USA:s högsta domstol i Trump v. Slaughter fast att lagstadgade begränsningar av presidentens rätt att avsätta ledamöter i Federal Trade Commission är grundlagsstridiga. Det är relevant här därför att adekvansbedömningen delvis vilar på att det finns oberoende tillsynsmyndigheter i mottagarlandet, och FTC är en av dem. Europeiska dataskyddsstyrelsens ordförande Anu Talus skrev den 31 juli 2026 till kommissionär Michael McGrath och bad kommissionen bedöma vad domen betyder för ramverket.
Slutsatsen är inte att ni gör något otillåtet. Den är att grunden för överföringarna är föremål för prövning, och att en förening som lägger hela sin medlemskommunikation hos en amerikansk plattform tar en risk som är svår att styra över själv.
Sju saker ni inte kan göra i en Facebook-grupp
De starkaste argumenten mot att driva föreningen i en Facebook-grupp är inte juridiska utan praktiska. Det handlar om saker föreningen är skyldig att kunna göra, eller rimligen borde kunna göra, och som gruppen helt enkelt inte är byggd för.
- Radera på begäran: En medlem har i många fall rätt att få sina uppgifter raderade. Ni kan ta bort någon ur gruppen, men ni kan inte radera medlemmens uppgifter ur Metas system. Skyldigheten är föreningens; möjligheten är det inte.
- Lämna ut ett registerutdrag: En medlem har rätt att få veta vad ni behandlar om hen. Ni kan inte ta fram en samlad bild av vad som finns om en person i en grupp med flera års inlägg, kommentarer och reaktioner.
- Teckna ett personuppgiftsbiträdesavtal: Ni kan inte förhandla fram ett avtal med Meta på föreningens villkor. Ni accepterar plattformens villkor som de är, eller så använder ni den inte.
- Nå alla medlemmar: Den som inte har ett Facebook-konto, eller har lämnat plattformen, är utestängd från föreningens officiella kanal. Det är ett tillgänglighets- och likabehandlingsproblem innan det är ett integritetsproblem.
- Behålla arkivet: Gruppen tillhör i praktiken den som skapade den. Om personen lämnar styrelsen efter en konflikt, eller bara slutar logga in, kan föreningen förlora tillgången till sin egen historik.
- Visa att en kallelse har nått fram: Flödet är algoritmiskt. Styrelsen kan inte visa att en kallelse faktiskt har visats för medlemmarna, vilket blir en verklig fråga när kallelsen gäller ett årsmöte och besluten där ska kunna stå sig.
- Använda medlemslistan som medlemsregister: En lista över gruppens deltagare är inte ett medlemsregister. Den saknar medlemstyper, avgifter, roller, vårdnadshavare och allt annat som gör registret användbart för styrelsen.
Notera att inget av detta handlar om att Facebook skulle vara illa byggt. Gruppen är byggd för att människor ska prata med varandra, och det gör den bra. Den är inte byggd för att en styrelse ska kunna fullgöra ett förvaltningsansvar, och det är en annan sak.
Medlemsregistret är inte problemet
Det cirkulerar en uppfattning i föreningssverige om att ett medlemsregister i sig är problematiskt enligt GDPR, och att en sluten Facebook-grupp löser det. Den uppfattningen är omvänd, och den är värd att räta ut ordentligt, eftersom den leder styrelser till att göra precis fel sak.
4. Vad regeln faktiskt säger
Ett medlemsregister är inte förbjudet. Det är förutsatt. En förening som tar ut medlemsavgifter, kallar till årsmöte och för medlemsförteckning måste ha koll på vilka medlemmarna är — det går inte att bedriva föreningsverksamhet utan att behandla uppgifter om medlemmarna.
Det som är begränsat är något annat: att publicera registret på internet. IMY skriver att det för att vara tillåtet att publicera ett medlemsregister på internet måste finnas ett stöd i dataskyddsförordningen, och konstaterar att myndighetens erfarenhet är att många medlemmar inte vill att deras adresser och telefonnummer ska publiceras på internet. Det är en regel om publicering, inte om att föra register.
Så telefonnumret får finnas i registret. Det ska bara inte ligga öppet på webben, och det ska inte vara åtkomligt för fler i föreningen än de som behöver det.
5. Två register som blandas ihop
En del av förvirringen kommer av att GDPR använder ordet register om två helt olika saker.
Det ena är medlemsregistret — er lista över vilka som är medlemmar, med kontaktuppgifter, medlemstyp och avgiftsstatus.
Det andra är registerförteckningen enligt artikel 30, som IMY beskriver som att ni ska föra register över era behandlingar. Det är en intern dokumentation över vilka personuppgiftsbehandlingar föreningen gör, varför, och hur länge uppgifterna sparas. Den innehåller inga medlemsuppgifter alls.
Ni behöver båda, och de löser olika problem. Påståendet att ett medlemsregister strider mot GDPR bygger nästan alltid på att de här två har blandats ihop.
En sak till, som ofta missförstås: samtycke är inte den självklara grunden för medlemsregistret. Att någon har blivit medlem och accepterat villkoren är inte detsamma som ett samtycke i dataskyddsförordningens mening — IMY är uttrycklig med att acceptera avtalsvillkor inte är samma sak som att lämna sitt samtycke till behandling av personuppgifter. För ett vanligt medlemsregister är avtal eller berättigat intresse oftast den mer hållbara grunden. Behandlar ni känsliga uppgifter i större omfattning — IMY nämner religiösa, politiska, funktionsnedsättnings- och HBTQ-föreningar — kan ni dessutom vara skyldiga att utse ett dataskyddsombud.
Om ni stannar kvar på Facebook: fem saker att göra nu
Många föreningar kommer att fortsätta använda sin grupp, och det är ett legitimt val. Gruppen är där medlemmarna redan är, och att flytta en gemenskap är svårare än att flytta data. Väljer ni det, gör då åtminstone det här — det tar en kväll och tar bort de flesta av riskerna.
6. Flytta medlemsregistret ut ur gruppen
Låt gruppen vara ett samtalsrum, inte föreningens register. Håll den faktiska medlemsförteckningen någon annanstans, där ni styr åtkomsten och kan radera och exportera. Även ett lösenordsskyddat kalkylark på en delad enhet med begränsad behörighet är bättre än en deltagarlista ni inte råder över.
7. Skicka kallelser i en kanal ni kontrollerar
Kallelse till årsmöte, stadgeändringar och allt annat som har formella rättsverkningar ska gå ut på ett sätt ni kan visa i efterhand — e-post till registrerade adresser, eller ett system som loggar utskicket. Använd gärna gruppen som påminnelse. Använd den inte som bevis.
8. Utse fler än en administratör
Se till att minst två personer i styrelsen har full administratörsbehörighet, och att det står i ett protokoll vem som har den. Det här är den vanligaste och mest praktiska katastrofen: föreningen förlorar sin grupp för att en person slutade svara i telefon.
9. Städa i vad ni faktiskt lägger upp
Undvik personnummer, adresser, hälsouppgifter och uppgifter om barn i gruppen. Lägg inte upp fullständiga deltagarlistor eller kontaktlistor som inlägg. Fotografier på medlemmar, särskilt på barn, ska ni ha ett medvetet förhållningssätt till — inte bara en vana.
10. Skriv ner vad ni gör
Gör registerförteckningen enligt artikel 30, även om den bara blir en sida. Skriv ner vilka uppgifter ni behandlar, varför, var de finns och hur länge de sparas. Bestäm vem i styrelsen som svarar om en medlem hör av sig. Det tar en timme, och det är den enskilt största skillnaden mellan en förening som har koll och en som inte har det.
När Facebook inte räcker till
För en del föreningar räcker listan ovan. För andra blir det uppenbart efter en tid att problemet inte är integritet i första hand, utan att administrationen inte går att sköta i ett flöde: kallelser som försvinner, en medlemslista ingen litar på, avgifter som spåras i ett kalkylark vid sidan av, och en historik som ligger hos fel person.
Det är då ett föreningssystem eller en föreningsapp blir aktuell — inte för att Facebook är förbjudet, utan för att ett verktyg byggt för föreningens vardag gör de saker gruppen aldrig var tänkt att göra. Medlemsregister med roller och avgifter, händelser med anmälan, ett kronologiskt flöde utan algoritm, och en tydlig ansvarsfördelning för personuppgifterna.
Membly är byggt för det, och vi är bundna av allt den här guiden påstår: vår personuppgiftspolicy och vårt personuppgiftsbiträdesavtal beskriver vad vi behandlar, var det lagras och vad ni kan kräva av oss. Läs dem gärna kritiskt — det är precis den granskningen ni bör göra av vilken leverantör som helst, oss inräknade.
Och om ni landar i att gruppen räcker: gör de fem sakerna i förra avsnittet ändå. De gäller oavsett vilket verktyg ni väljer.