När behövs stark identifiering?
Kravet är att föreningen kan identifiera de röstberättigade och föra en korrekt röstlängd. I mindre föreningar där alla känner varandra kan det räcka att se medlemmarna i videomötet. Ju större stämman är, och ju mer som står på spel i besluten, desto viktigare blir det att kunna belägga vem som faktiskt röstade.
Frågan blir skarpast när stämman hålls på distans och ni inte kan se varandra i rummet. Vad som i övrigt krävs för att en digital årsstämma ska vara giltig tar vi i en egen guide, och det som gäller särskilt för en digital stämma i en bostadsrättsförening i en annan.
Hur BankID-röstning fungerar
Med BankID identifierar sig varje röstberättigad med sitt eget BankID innan hen röstar. Det ger en stark koppling mellan personen och rösten, och gör det svårt för någon att rösta i en annans namn. I Votarino är BankID-identifiering tillgänglig för betalande organisationer och kan styras per möte.
Vad BankID bevisar – och vad det inte bevisar
Det här är värt att vara tydlig med internt i styrelsen, eftersom det avgör vilket problem ni faktiskt löser. BankID svarar på frågan vem loggade in? Det svarar inte på frågan hade den personen rösträtt?
- Det BankID tar bort: tvivlet på att någon röstat i en annans namn, att två personer delat på en inbjudningslänk, eller att en vidarebefordrad e-post hamnat hos fel person.
- Det BankID inte tar bort: ansvaret för att medlemsförteckningen är aktuell. Rösträtten följer medlemskapet. Står en tidigare medlem kvar i registret blir hens röst inte ogiltig av att den är BankID-verifierad – den blir bara säkert härledd till rätt person, i ett register som var fel.
Stark identifiering är alltså ett komplement till ett välskött medlemsregister, inte en ersättning för det. Föreningar som tar in BankID inför en stämma med känsliga beslut gör klokt i att gå igenom förteckningen i samma veva.
Vad händer med personnumret?
Stark identifiering och integritet är inte motsatser. I Votarinoanvänds personnumret bara tillfälligt under själva BankID-verifieringen och sparas aldrig i klartext.
- För att känna igen samma person mellan möten sparas endast en enkelriktad kryptografisk kod, unik per förening, som inte går att räkna tillbaka till personnumret.
- Samma person får alltså samma kod i just er förening, men koden säger inget om vem det är utanför den.
- Behandlingen är utformad för att uppfylla GDPR och principen om uppgiftsminimering.
Medlemmar som inte har BankID
Det här är den vanligaste praktiska invändningen, och den är befogad: i en förening med äldre medlemmar finns nästan alltid några som inte har BankID, eller som inte vill använda det för föreningens räkning. Om stark identifiering betyder att de stängs ute är det inte en säkerhetshöjning – det är ett deltagandeproblem som bytt skepnad.
Därför är valet i Votarino inte binärt för hela föreningen. En enskild medlem kan markeras som BankID-undantagen och loggar då in med sin personliga e-postlänk, även på ett möte som i övrigt kräver BankID. Medlemslistan visar hur många som loggar in på vilket sätt, så styrelsen ser fördelningen innan inbjudningarna går ut.
Valet görs per möte – och låses när inbjudan går ut
BankID slås på per möte, inte en gång för föreningen. En förening kan alltså kräva BankID på årsstämman där ansvarsfrihet och styrelseval avgörs, och nöja sig med e-postlänk på ett informationsmöte i november.
Valet låses när den första inbjudan till mötet har skickats. Skälet är konsekvens: varje inbjudan bär med sig vilken inloggningsmetod den gäller, och en deltagare ska inte kunna byta metod mitt i ett möte. Praktiskt betyder det att beslutet om BankID hör hemma i förberedelserna, före utskicket – inte som en justering dagen före stämman.
Behöver alla föreningar BankID?
Nej. Många föreningar klarar sig utmärkt med personliga möteslänkar via e-post, särskilt mindre stämmor. BankID är ett verktyg för när identifieringen behöver vara starkare – inte ett krav för att hålla en digital stämma. Är ni osäkra på vilken nivå ni behöver, jämför alternativen eller börja i det lilla och väx.
En rimlig tumregel: ju fler medlemmar som inte känner igen varandra till utseendet, och ju mer som står på spel i besluten, desto mer är stark identifiering värd. En samfällighet med tolv fastigheter och en brf med tvåhundra lägenheter har inte samma problem.
Vanliga frågor
Krävs BankID för att hålla en digital stämma?
Nej. Lagen ställer inget krav på BankID. Kravet är att föreningen kan identifiera de röstberättigade och föra en korrekt röstlängd. I en mindre förening där deltagarna känner igen varandra kan en personlig e-postlänk räcka för det. BankID är ett sätt att göra identifieringen starkare när föreningen är större, när deltagarna inte ser varandra, eller när besluten är sådana att någon kan tänkas ifrågasätta dem i efterhand.
Vad händer med personnumret vid BankID-röstning?
I Votarino används personnumret bara tillfälligt under själva BankID-verifieringen och sparas aldrig i klartext. Det som sparas är en enkelriktad kryptografisk kod som är unik per förening och inte går att räkna tillbaka till personnumret. Samma person får samma kod i just den föreningen, men koden säger ingenting om vem det är utanför den.
Hur gör vi med medlemmar som inte har BankID?
De kan undantas individuellt. I Votarino kan en enskild medlem markeras som BankID-undantagen och loggar då in med en personlig e-postlänk, även när mötet i övrigt kräver BankID. Föreningen behöver alltså inte välja mellan stark identifiering för alla och e-postlänk för alla – och ingen stängs ute för att hen saknar BankID.
Kan vi kräva BankID på ett möte men inte på nästa?
Ja. Valet görs per möte, inte en gång för hela föreningen. Det låses däremot när den första inbjudan till mötet har skickats, så att alla deltagare i samma möte identifierar sig på samma sätt. Ska inloggningssättet ändras behöver det alltså bestämmas innan inbjudningarna går ut.
Bevisar BankID att rösten är giltig?
BankID bevisar vem som loggade in, inte att personen hade rösträtt. Rösträtten följer medlemskapet och avgörs av medlemsförteckningen och röstlängden. BankID tar bort frågan om någon röstat i en annans namn; det tar inte bort föreningens ansvar för att medlemsförteckningen är aktuell.