Hva et treningssenter må ha på plass etter GDPR

Hvem er ansvarlig for hva

Senteret er behandlingsansvarlig for medlemsopplysningene, fordi det er dere som bestemmer formålet med behandlingen og hvilke midler som brukes. Leverandøren av medlemssystemet er databehandler, og behandler opplysningene på deres instruks.

Rollene følger av de faktiske forholdene, ikke av hva avtalen kaller partene. Bestemmer leverandøren selv formål og midler, for eksempel ved å bruke medlemsdata til egen produktutvikling eller markedsføring, blir leverandøren behandlingsansvarlig for akkurat den behandlingen.

Databehandleravtalen skal være skriftlig, og elektronisk form er godtatt.

Databehandleravtalen: fem rammer og åtte plikter

Artikkel 28 krever først at avtalen beskriver fem ting: gjenstanden for behandlingen, varigheten, behandlingens art og formål, typen personopplysninger og kategoriene av registrerte, og deres rettigheter og plikter som behandlingsansvarlig.

Deretter må avtalen pålegge databehandleren åtte plikter:

• Behandle opplysningene bare på dokumenterte instrukser fra dere, også når det gjelder overføring til land utenfor EØS.
• Sikre at alle med tilgang har taushetsplikt.
• Treffe nødvendige sikkerhetstiltak etter artikkel 32.
• Følge reglene for å bruke underdatabehandlere.
• Bistå dere med å svare på henvendelser fra medlemmer som vil bruke rettighetene sine.
• Bistå med sikkerhet, avviksvarsling og personvernkonsekvensvurderinger.
• Slette eller levere tilbake alle opplysninger når avtalen avsluttes, etter deres valg.
• Gi dere all informasjon som trengs for å vise at pliktene er oppfylt, og gjøre revisjon mulig.

Databehandleren skal også si fra med en gang hvis den mener en instruks fra dere er i strid med regelverket. Bruker leverandøren underleverandører, kreves skriftlig tillatelse på forhånd, og dere skal få mulighet til å motsette dere endringer.

Hva Datatilsynet sa i saken mot SATS

Datatilsynet fattet 15. juli 2026 vedtak om pålegg og irettesettelse mot SATS. Saken gjaldt bilde til identitetskontroll ved adgang, og avgjørelsen er den mest direkte norske kilden som finnes på dette området.

Tilsynet legger til grunn at hovedformålet med en treningsavtale er å gi medlemmet fysisk adgang til senteret, og skriver at dette «vanligvis gjelder for alle treningssenterkjeder». Medlemsadministrasjon og betaling er dekket av avtalen som behandlingsgrunnlag.

Men identitetsverifikasjon utover selve medlemskortet er ikke en del av avtalens kjerne. Et medlem vil ikke med rimelighet forvente at det kreves bilde når adgang kan gis ved å skanne medlemskortet. SATS ble irettesatt for å ha oppgitt avtale som behandlingsgrunnlag, når det riktige var berettiget interesse.

Tilsynet var samtidig enig i at det å beskytte medlemmene og hindre uvedkommende er en berettiget interesse som kan veie tyngre enn ulempen. Poenget var altså ikke at kontrollen var ulovlig, men at senteret må bruke riktig grunnlag og si fra om det.

Gå derfor gjennom personvernerklæringen deres og sjekk at hver behandling har riktig grunnlag. Bygger noe på berettiget interesse, må dere gjøre en interesseavveining, kunne dokumentere den, og presentere retten til å protestere tydelig og atskilt fra annen informasjon.

Når treningsdata blir helseopplysninger

Helseopplysninger er i utgangspunktet forbudt å behandle, med mindre et unntak gjelder. Definisjonen er opplysninger om fysisk eller psykisk helse «som gir informasjon om vedkommendes helsetilstand», og fortalen presiserer at også opplysninger om fremtidig helsetilstand og sykdomsrisiko omfattes.

Artikkel 29-gruppen satte i 2015 opp tre kriterier, laget for nettopp trenings- og velværeapper: data er helseopplysninger når de åpenbart er medisinske, når rådata alene eller sammen med andre data kan si noe om faktisk helsetilstand eller helserisiko, eller når det trekkes slutninger om helse. Slutninger teller selv om de er feil.

Enkeltmålinger er normalt ikke helseopplysninger. En registrering av vekt, blodtrykk eller puls, uten annen informasjon, sier ikke nok. Men den samme målingen over tid, særlig kombinert med alder og kjønn, kan si noe om helserisiko, og da er både slutningene og rådataene helseopplysninger.

Etter vår vurdering, basert på kriteriene over, betyr det i praksis:

• Navn, kontaktinfo, medlemstype og betalingshistorikk er alminnelige personopplysninger.
• En enkelt passering i døren sier i seg selv ikke noe om helse.
• Oppmøtelogg over tid, brukt til å vurdere aktivitetsnivå, nærmer seg helseopplysninger.
• Kroppsmål, vekt og BMI registrert over tid er helseopplysninger.
• Skader, sykdom, medisinbruk og egenerklæring før PT-oppstart er helseopplysninger.
• En treningsanbefaling appen lager ut fra brukerens data, er en slutning om helse.

Skal dere behandle helseopplysninger, er uttrykkelig samtykke i praksis det eneste tilgjengelige unntaket for et kommersielt senter. Unntaket for helsetjenester forutsetter helsepersonell med lovbestemt taushetsplikt, og passer ikke på vanlig senterdrift.

Adgangslogger, formål og lagringstid

Det finnes ingen fast frist i regelverket. Kravet er at opplysningene ikke lagres lenger enn nødvendig for formålet, og Datatilsynet anbefaler at dere setter konkrete slettefrister eller gjennomgår loggene jevnlig.

Hvordan loggen fungerer i praksis, står på siden om adgangskontroll. Den eneste tallfestede praksisen vi finner, gjelder ansatte: i veilederen om kontroll og overvåking i arbeidslivet står det at 90 dager normalt er maksimal lagringstid for passeringsopplysninger. Det er ikke uttalt for medlemmers logger, så det tallet kan ikke uten videre overføres. Dere må begrunne lagringstiden selv.

Veilederen er likevel nyttig: formålet med adgangskontrollen skal være skriftlig nedfelt, og dere må ta stilling til hvilke dører som logges og på hvilke tider. For ansatte gjelder i tillegg at adgangskontroll og tidsregistrering ikke skal blandes, og at kontrolltiltak skal drøftes med tillitsvalgte før de innføres.

Nyhetsbrev, SMS og markedsføring

Markedsføringsloven § 15 forbyr elektronisk markedsføring til privatpersoner uten forhåndssamtykke. SMS er uttrykkelig omfattet. Muntlig telefonsalg er unntatt, men der gjelder Reservasjonsregisteret i stedet.

Det finnes ett unntak, og det har fire vilkår som alle må være oppfylt samtidig: det må være et eksisterende kundeforhold, dere må ha fått adressen i forbindelse med salg, markedsføringen må gjelde tilsvarende egne ytelser, og medlemmet må enkelt og gratis kunne reservere seg både ved innsamling og i hver senere henvendelse.

Datatilsynet mener at et gyldig samtykke etter markedsføringsloven samtidig er et gyldig behandlingsgrunnlag etter personvernforordningen, og at dere ikke trenger et eget GDPR-grunnlag i tillegg når unntaket for eksisterende kundeforhold er oppfylt.

Terskelen for hva som regnes som markedsføring er lav. Mange nyhetsbrev faller innenfor. Og det er Forbrukertilsynet, ikke Datatilsynet, som håndhever disse reglene.

Hva «data lagres i EU/EØS» betyr

Innenfor EØS trenger dere ikke eget overføringsgrunnlag. Utenfor EØS kreves det, og uten grunnlag er overføringen ulovlig.

Det avgjørende er ikke bare hvor serverne står. Datatilsynet forklarer at fjerntilgang fra et datterselskap utenfor EØS regnes som en overføring. Har leverandørens support- eller driftspersonell i et tredjeland tilgang til databasen, er det altså en overføring, selv om serverne står i Irland.

Noen land har adekvansbeslutning, og da kan opplysninger overføres fritt. Datatilsynets liste per 29. januar 2026 omfatter blant andre Storbritannia, Sveits, Japan, Canada og USA, men USA bare når mottakeren står på listen over virksomheter sertifisert under EU-U.S. Data Privacy Framework. Sjekk den konkrete leverandøren, ikke bare landet.

Uten adekvansbeslutning brukes som regel EUs standard personvernbestemmelser (SCC). Etter Schrems II holder det ikke å signere dem: dere må også vurdere om beskyttelsen i praksis tilsvarer nivået i EØS, og eventuelt iverksette tilleggstiltak.

Sletting, og det bokføringsloven krever at dere beholder

Sletting skal skje uoppfordret når formålet er oppnådd, og Datatilsynet oppgir at det normalt skal gjøres innen én måned.

Bokføringsloven trekker i motsatt retning for noe av materialet. Bilag og dokumentasjon av bokførte opplysninger skal oppbevares i fem år etter regnskapsårets slutt. Avtaler som gjelder virksomheten, med unntak av avtaler av mindre betydning, skal oppbevares i tre år og seks måneder.

Resten har ingen lovpålagt oppbevaringsplikt. Treningsdata, passeringslogger, kroppsmål, PT-notater og markedsføringssamtykker skal slettes når formålet er oppnådd, typisk ved utmelding. Dette er vår sammenstilling av reglene, og det kan finnes unntak, for eksempel ved en pågående tvist.

Databehandleren skal slette eller levere tilbake alt når avtalen avsluttes, med forbehold for det loven krever at dere beholder. Be om at dette står konkret i avtalen, og at dere får vite hvordan sletting dokumenteres.

Trenger dere personvernombud?

Kravet utløses når kjernevirksomheten består av regelmessig og systematisk monitorering i stor skala, eller av behandling i stor skala av særlige kategorier som helseopplysninger.

Et enkeltstående treningssenter oppfyller normalt ikke dette, fordi kjernevirksomheten er å tilby treningsfasiliteter. Dette er vår vurdering: Datatilsynet uttaler seg ikke om treningssentre, og verken «kjernevirksomhet» eller «stor skala» er definert i forordningen.

En kjede som systematisk samler helseopplysninger om mange tusen medlemmer, kan derimot komme inn under kravet. Et konsern kan uansett utpeke ett felles ombud, og Datatilsynet oppfordrer alle virksomheter til å ha et, også de som ikke må.

Sjekkliste

Gå gjennom disse punktene, og skriv ned svarene:

• Har dere databehandleravtale med alle leverandører som behandler medlemsdata, inkludert de fem rammene og de åtte pliktene?
• Har hver behandling riktig behandlingsgrunnlag, og stemmer personvernerklæringen med det?
• Er interesseavveiningen dokumentert der dere bygger på berettiget interesse?
• Samler dere helseopplysninger, og har dere i så fall uttrykkelig samtykke?
• Er formålet med adgangskontrollen skrevet ned, og har loggene en slettefrist dere kan begrunne?
• Har dere samtykke til nyhetsbrev, eller oppfyller dere alle fire vilkårene i unntaket?
• Vet dere hvem som har tilgang til databasen, og fra hvilke land?
• Sletter dere alt som ikke må beholdes etter bokføringsloven, når medlemmet melder seg ut?