Personvern i styreportal

Personvern i styreportal handler om hvordan styret håndterer personopplysninger i møtearbeidet. Det kan være ansatte, beboere, medlemmer, kunder, leverandører eller styremedlemmer.

Målet er ikke å gjøre styrearbeidet tungt. Målet er å dele riktig informasjon med riktige personer, på riktig sted.

Hvor personopplysninger dukker opp

Personopplysninger kan ligge i:

• personalsaker
• lønnsgrunnlag
• medlems- eller beboersaker
• konfliktsaker
• reiseregninger og utlegg
• kontrakter
• protokoller
• bilag og økonomidokumentasjon

Derfor bør styret være bevisst på både dokumentdeling og protokolltekst.

Praktiske prinsipper

Les tilgang når styremedlem slutter .

Ikke skriv mer enn nødvendig i protokollen

Protokollen skal dokumentere beslutninger, men den trenger ikke alltid detaljerte personopplysninger. For sensitive saker bør styret vurdere hva som må stå i protokollen og hva som heller bør ligge som begrenset saksdokument.

Se god styreprotokoll .

Hene som kontrollpunkt

Hene hjelper styret med rollebasert tilgang, sikker dokumentdeling, signering og arkiv. Når styrearbeid kobles til økonomisk dokumentasjon, bør informasjonen behandles med samme kontroll.

God personvernpraksis er egentlig god styrepraksis: mindre spredning, tydeligere ansvar og bedre historikk.

Vurder innhold før arkivering

Ikke alle personopplysninger trenger å stå i protokollen. Styret bør vurdere om detaljer heller skal ligge i et begrenset saksdokument, mens protokollen bare viser beslutningen og nødvendig bakgrunn.

Dette gjør protokollen mer robust som historisk dokument. Den kan deles eller hentes frem senere uten at unødvendige detaljer spres.

Personvern ved styrebytte

Ved styrebytte bør tilgang til personsensitive saker kontrolleres ekstra nøye. Nye styremedlemmer trenger historikk for å gjøre jobben, men det betyr ikke alltid at alle skal se alle detaljer fra eldre saker.

Dette krever gode roller og ryddige saksmapper. Når sensitiv informasjon er avgrenset fra start, blir senere overlevering langt enklere.

Styret bør også vurdere om eldre sensitive saker fortsatt trenger samme tilgjengelighet. Historikken skal bevares, men innsyn bør fortsatt være begrunnet.

Avklar ansvar før portalen tas i bruk

Organisasjonen vil normalt være behandlingsansvarlig for personopplysningene den legger i portalen. Leverandøren vil ofte behandle opplysningene på organisasjonens vegne og må da reguleres gjennom en databehandleravtale. Den konkrete rollefordelingen må vurderes, ikke bare kopieres fra en standardtekst.

Be om dokumentasjon på:

• formål, behandlingsgrunnlag og hvilke opplysninger som skal lagres
• databehandleravtale og underleverandører
• lagringssted og eventuelle overføringer utenfor EØS
• tilgangsstyring, autentisering, kryptering og logging
• sikkerhetskopi, gjenoppretting og håndtering av avvik
• sletting, eksport og tilbakelevering ved oppsigelse

Lag en enkel personvernkontroll per sakstype

Vurder personvernkonsekvenser før innføring når behandlingen kan medføre høy risiko. Et system med gode funksjoner fritar ikke organisasjonen fra å dokumentere egne vurderinger.

Faglig grunnlag og avgrensning

Artikkelen er gjennomgått 26. august 2026 mot Datatilsynets veiledning om databehandleravtaler og internkontroll for informasjonssikkerhet . Guiden er ikke en konkret personvernkonsekvensvurdering eller juridisk rådgivning.