Dataskydd för gym i Schweiz (nFADP 2026)

Vad betyder den schweiziska dataskyddslagen (nFADP) för gym?

Schweiz reviderade federala dataskyddslag (nFADP, på tyska revDSG eller nDSG) gäller sedan den 1 september 2023. Den räknar hälsodata och biometriska data som identifierar en person som känsliga personuppgifter (FADP, SR 235.1, art. 5). För ett gym eller en personlig tränare betyder det att formulär om skador och hälsa, kroppsmått som används för hälsomål och inpassering med fingeravtryck eller ansiktsigenkänning kräver extra omsorg. Uppsåtliga brott mot centrala skyldigheter kan ge böter på upp till CHF 250 000 för den ansvariga personen.

Resten av inlägget går igenom de artiklar som spelar roll i en träningsverksamhet, en checklista du kan beta av på en eftermiddag och vad du ska fråga din mjukvaruleverantör. Läget i oktober 2026.

Det här är allmän information, inte juridisk rådgivning. För ditt eget upplägg, prata med en jurist som kan dataskydd eller med den federala data- och informationsskyddsombudsmannen (FDPIC, på tyska EDÖB).

Vilka gymdata räknas som känsliga enligt nFADP?

Enligt art. 5 bokst. c FADP omfattar känsliga personuppgifter bland annat uppgifter om hälsa och biometriska data som entydigt identifierar en fysisk person.

Lagen ger inga exempel från träningsvärlden. Så som vi läser den är det här de uppgifter från gym och coachning som troligast hamnar i den känsliga kategorin:

Raderna i mitten är en bedömningsfråga. Ett enkelt sätt är att behandla alla uppgifter från hälsoformulär och uppföljning som om de vore känsliga. Det kostar lite och tar bort gissandet.

De regler i nFADP som betyder mest för gym och tränare

Sju bestämmelser täcker det mesta som en träningsverksamhet gör med medlemsdata i vardagen.

Källa: FADP på Fedlex (lydelse per 1 september 2023).

En skillnad mot EU:s GDPR brukar förvåna. Den schweiziska lagen kräver inte en rättslig grund för varje behandling. Behandling som kränker någons personliga integritet behöver ett skäl, till exempel samtycke, ett övervägande privat eller allmänt intresse eller stöd i lag (art. 31 FADP). För känsliga hälsodata i ett formulär är uttryckligt samtycke den rena vägen.

Konsekvensbedömning och register över behandlingar

En konsekvensbedömning avseende dataskydd (DPIA) krävs när behandlingen sannolikt leder till hög risk, särskilt vid omfattande behandling av känsliga uppgifter (art. 22 FADP). En liten studio med några dussin hälsoformulär är i ett annat läge än en kedja som profilerar tusentals medlemmars hälsodata. Ändå är frågan värd att ställa en gång och skriva ner svaret på.

Registret över behandlingar (art. 12 FADP) har ett undantag: företag med färre än 250 anställda och fysiska personer behöver inte föra ett, om de inte behandlar känsliga personuppgifter i stor omfattning eller gör profilering med hög risk (art. 24 i förordningen till dataskyddslagen, DSV, lydelse per 15 september 2024). Säkerhetsincidenter ska dokumenteras och dokumentationen sparas i minst 2 år från anmälan (art. 15 st. 4 DSV).

Böter: vem betalar

Böterna i nFADP riktas mot privatpersoner, i regel inte mot företaget. Det gäller upp till CHF 250 000 för uppsåtliga brott mot informationsplikten, skyldigheten att lämna ut uppgifter och aktsamhetsplikten, till exempel att föra över uppgifter till utlandet utan att villkoren är uppfyllda eller att anlita ett personuppgiftsbiträde utan de skyddsåtgärder som krävs (art. 60-61 FADP). Bara om böterna är högst CHF 50 000 och det skulle kräva orimligt arbete att hitta den ansvariga personen kan företaget få betala i stället (art. 64 FADP). På ett litet gym är den ansvariga personen ofta ägaren.

Att skicka medlemsdata till utlandet, även till USA

De flesta gymsystem, e-posttjänster och betalverktyg lagrar data någonstans, och art. 16 FADP avgör om det är tillåtet.

Överföring är tillåten till länder som förbundsrådet listar som länder med tillräckligt skydd, eller med lämpliga skyddsåtgärder som avtalsklausuler. För USA gäller Swiss-U.S. Data Privacy Framework sedan den 15 september 2024: data får gå till certifierade amerikanska företag utan extra skyddsåtgärder (förbundsrådet, 14 augusti 2024). Om en viss leverantör är certifierad kontrollerar du för varje leverantör. Det är inget du kan utgå från.

Din integritetspolicy bör ange vilka länder medlemsdata skickas till. Kontrollera det på din egen webbplats. En integritetssida kopierad från en mall säger ofta ingenting om e-posttjänsten i USA eller bokningsappen som ligger någon annanstans.

Vanliga misstag på gym och PT-studior

Många av riskerna sitter i vardagliga vanor snarare än i hackerattacker.

• PAR-Q-formulär på papper i en öppen pärm i receptionen, läsbara för alla bakom disken.
• Hälsoanteckningar i en gruppchatt mellan tränare, om en medlems knä eller mediciner, på en privat telefon.
• En gemensam inloggning till gymsystemet, så att du inte kan se vem som tittat på vad.
• Hälsoformulär som frågar om allt, även diagnoser som inte påverkar träningen.
• Samtycke gömt i de allmänna villkoren, vilket gör det svårt att hävda att samtycket till hälsodata var uttryckligt.
• Ingen plan för en begäran om tillgång, så 30 dagar går medan någon letar i exporter och kalkylark.
• Tidigare tränare har kvar åtkomsten till medlemsprofiler efter att de slutat.

Checklista för nFADP på ett schweiziskt gym eller för en PT

Gå igenom stegen en gång och se sedan över dem varje år eller när du byter system.

1. Kartlägg dina data. Skriv upp vad du samlar in (kontakt, avtal, betalningar, incheckningar, hälsoformulär, mått, bilder, biometrisk inpassering), var det lagras och vem som har åtkomst.
2. Ta bort det du inte behöver. Ställ bara de hälsofrågor som ändrar hur du tränar någon.
3. Be om uttryckligt samtycke för hälsodata med en separat, tydlig text i formuläret, inte en rad i villkoren.
4. Publicera en integritetspolicy (art. 19): vem du är, vad du samlar in, varför, vem som tar emot uppgifterna och i vilka länder.
5. Skriv biträdesavtal med varje leverantör som hanterar medlemsdata (system, e-post, betalningar) och kontrollera var de lagrar data.
6. Begränsa åtkomsten i teamet. Personliga inloggningar, rollbaserad åtkomst där systemet tillåter det, borttagning på sista arbetsdagen.
7. Ha en rutin för incidenter: vem som beslutar, hur ni bedömer risken, hur ni anmäler till FDPIC och var ni dokumenterar i 2 år.
8. Förbered ett svar på begäran om tillgång så att du kan svara inom 30 dagar.
9. Kontrollera DPIA och register över behandlingar om du hanterar hälsodata i stor omfattning eller använder biometrisk inpassering.
10. Bestäm lagringstider för tidigare medlemmars hälsodata och radera dem när syftet är uppnått.

Steg 3, 4 och 7 är där en timme med en jurist lönar sig, eftersom formuleringarna spelar roll.

Där Trainera kommer in

Trainera är systemet där mycket av den här datan ligger, men gymmet eller tränaren är fortfarande personuppgiftsansvarig och bestämmer vad som samlas in.

• Du är personuppgiftsansvarig. Gymmet (eller den fristående tränaren) bestämmer vilka medlemsdata som samlas in och varför, och ansvarar för integritetspolicy, samtycke och begäran om tillgång.
• Frågeformulär (hälsoformulär) ingår i alla tränarplaner, även Free. Du väljer frågorna, så du kan hålla hälsofrågorna till det du behöver och lägga till din egen samtyckestext.
• Incheckningar registreras med sin källa (QR, manuellt, spärr, registrering, offline). Medlemsappen visar ett digitalt medlemskort med QR-kod.
• Tränings- och kostplaner, progress och chatt ligger på ett ställe i stället för utspridda i kalkylark och privata telefoner, vilket gör det lättare att svara på en begäran om tillgång.
• Det vi inte påstår: det här inlägget säger ingenting om var Trainera har sina servrar, om certifieringar eller om efterlevnad av lagen. Som med alla leverantörer: läs villkoren och integritetsinformationen själv eller med din jurist innan du flyttar medlemsdata.

Priser från trainera.fit/pricing för Schweiz, oktober 2026. Prissidan visar månadspriser. Hur incheckningsdata samlas in läser du om i system för incheckning och passerkontroll på gym och QR-incheckning. Även leadformulär innehåller personuppgifter: leadhantering för gym tar upp den delen av flödet. För resten av bilden i Schweiz, läs gymsystem i Schweiz och regler för medlemsavtal på gym i Schweiz.

Sammanställning av nFADP på en sida för teamet

Skriv ut den och sätt upp den där tränare och receptionspersonal ser den.

• Hälsodata och biometriska data är känsliga: uttryckligt samtycke, så få frågor som möjligt, begränsad åtkomst.
• Medlemmar kan fråga vad vi har sparat: svara inom 30 dagar.
• Incident med sannolikt hög risk: säg till ägaren direkt, anmälan till FDPIC så snart som möjligt, dokumentera och spara underlaget i 2 år.
• Inga hälsouppgifter om medlemmar i privata chattar eller på privata telefoner.
• Data till utlandet bara med tillräckligt skydd eller skyddsåtgärder, och angivet i integritetspolicyn.

Vill du ha medlemsdata, hälsoformulär och incheckningar på ett ställe i stället för i pärmar och chattar? Se hur Trainera fungerar för gym.