Godt personvern handler om å ta vare på tilliten mennesker viser oss. I menighetene våre håndterer vi opplysninger om medlemmer, givere, ansatte og frivillige. Alle skal kunne være trygge på at informasjonen brukes til tydelige formål og beskyttes mot uvedkommende.

Personopplysningsloven og personvernforordningen, bedre kjent som GDPR, gjelder også for menigheter. Opplysninger som viser religiøs tilhørighet, som medlemskap i en menighet, har et særlig vern. Det samme gjelder blant annet helseopplysninger som kan komme fram i bønneemner eller sjelesorg.

I praksis bør menigheten særlig ha kontroll på følgende:

• Ansvar og oversikt. Avklar hvem som er behandlingsansvarlig, og hvem som følger opp personvernet fra uke til uke. Den ansvarlige følger med på hvilke opplysninger som behandles, hvorfor, hvor de lagres og hvem de deles med. 
• Informasjon og rettigheter. Ha en lett tilgjengelig personvernerklæring (se gjerne eksemplene vedlagt) som forklarer bruken av opplysninger og hvem man kan kontakte. Dere må kunne håndtere forespørsler om innsyn, retting og sletting. Retten til sletting er ikke absolutt: Registrerte trossamfunn skal for eksempel beholde nødvendige inn- og utmeldingsopplysninger også etter utmelding.
• Tilgang og sikkerhet. Gi ansatte og frivillige tilgang bare til det de trenger for oppgavene sine. Bruk personlige brukerkontoer, tofaktorautentisering og rutiner for å fjerne tilganger når noen slutter. Taushetserklæringer og opplæring er viktige tiltak. Medlemslister og fortrolige opplysninger bør ikke spres i åpne e-posttråder eller uegnede chattekanaler.
• Lagring og sletting. Samle bare inn det dere trenger, og fastsett rutiner for når opplysninger skal slettes. Gamle påmeldingslister, bønneemner og private notater skal ikke bli liggende uten et begrunnet behov. Ta samtidig hensyn til lovpålagte krav om oppbevaring.
• Digitale leverandører. Når en leverandør behandler personopplysninger på menighetens vegne, må dere ha en databehandleravtale. Dette kan gjelde medlemsregister, påmeldingssystemer og andre skytjenester. Mange databehandler tilbyr en mal på en slik avtale.

Bilder, film og strømming krever egne vurderinger. Innhent som hovedregel samtykke før publisering av bilder der enkeltpersoner er hovedmotivet. Vær særlig varsom med barn, og avklar samtykke med foresatte når barnet ikke selv kan samtykke. Bilder fra barnevelsignelse,dåp, forbønn og gudstjenester kan røpe religiøs tilhørighet og må vurderes deretter. Et skilt om fotografering er ikke i seg selv et samtykke.

Menigheten må også ha en rutine for sikkerhetsbrudd, for eksempel hvis en medlemsliste sendes til feil mottaker. Bruddet skal dokumenteres og risikoen vurderes. Meldepliktige brudd skal meldes til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer etter at dere ble kjent med dem. Ved høy risiko skal også de berørte som hovedregel varsles uten ugrunnet opphold.