# Kuntosalin tietosuoja Sveitsissä (nFADP 2026) > Sveitsin uudistettu tietosuojalaki on luokitellut terveystiedot ja biometriset tiedot arkaluonteisiksi 1. syyskuuta 2023 lähtien. Mitä tämä tarkoittaa kuntosalin tai valmennusstudion alkukartoituslomakkeille, käyntikirjauksille ja jäsentiedoille? Artikkelissa käydään läpi keskeiset lainkohdat ja 10 kohdan tarkistuslista. *Author: Trainera Team | Published: 2026-10-11 | Reading time: 8 min* ## Mitä Sveitsin tietosuojalaki (nFADP) tarkoittaa kuntosalin tietosuojan kannalta? Kuntosalin tietosuoja Sveitsissä perustuu uudistettuun liittovaltion tietosuojalakiin (nFADP, saksaksi revDSG tai nDSG), jota on sovellettu **1\. syyskuuta 2023** lähtien. Laki luokittelee terveystiedot ja henkilön yksilöivät biometriset tiedot **arkaluonteisiksi henkilötiedoiksi** ([FADP, SR 235.1, 5 artikla](https://www.fedlex.admin.ch/eli/cc/2022/491/de)). Kuntosalille tai henkilökohtaiselle valmentajalle tämä tarkoittaa, että vamma- ja terveyskyselyt, terveystavoitteisiin liittyvät kehon mittaustiedot sekä sormenjälki- tai kasvojentunnistukseen perustuva sisäänpääsy vaativat erityistä huolellisuutta. Keskeisten velvollisuuksien tahallisesta rikkomisesta voi seurata vastuussa olevalle henkilölle enintään **250 000 CHF:n** sakko. Tässä artikkelissa käydään läpi liikunta-alan yrityksille tärkeät lainkohdat, yhdessä iltapäivässä läpikäytävä tarkistuslista sekä kysymykset, jotka kannattaa esittää ohjelmistotoimittajalle. Tiedot vastaavat lokakuun 2026 tilannetta. Tämä on yleistä tietoa, ei oikeudellista neuvontaa. Selvitä oman toimintasi vaatimukset tietosuojaan perehtyneen juristin tai Sveitsin liittovaltion tietosuoja- ja julkisuusvaltuutetun (FDPIC, saksaksi EDÖB) kanssa. ## Mitkä kuntosalin tiedot ovat nFADP:n mukaan arkaluonteisia? FADP:n 5 artiklan c kohdan mukaan arkaluonteisiin henkilötietoihin kuuluvat muun muassa terveystiedot ja biometriset tiedot, joiden avulla luonnollinen henkilö voidaan yksilöidä. Laissa ei luetella liikunta-alaan liittyviä esimerkkejä. Tulkintamme mukaan seuraavat kuntosalien ja valmennuksen tiedot kuuluvat todennäköisimmin arkaluonteisten tietojen luokkaan: | Kerättävät tiedot | Todennäköinen luokitus | Peruste | | ------------------------------------------------------------------------- | ---------------------------------------------------------------------- | ---------------------------------------------- | | Nimi, sähköposti, puhelinnumero, osoite | Henkilötiedot | Jäsenen tunnistaminen | | Jäsenyyden tyyppi, maksut, käyntiajat | Henkilötiedot | Sopimus- ja käyntitiedot | | Alkukartoituslomakkeen tiedot vammoista, sairauksista ja lääkityksestä | Arkaluonteiset tiedot (terveys) | 5 artiklan c kohta: terveystiedot | | Terveystavoitteeseen liittyvä paino, rasvaprosentti ja kehon mitat | Todennäköisesti arkaluonteiset tiedot (terveyteen liittyvä asiayhteys) | Riippuu asiayhteydestä ja käyttötarkoituksesta | | Henkilökohtaisen valmentajan muistiinpanot raskaudesta tai kuntoutuksesta | Arkaluonteiset tiedot (terveys) | Terveydentilaa koskevat tiedot | | Sormenjälki- tai kasvojentunnistus sisäänkäynnillä | Arkaluonteiset tiedot (biometria) | Henkilön yksilöivät biometriset tiedot | | Edistymiskuvat | Henkilötiedot; tarkista asiayhteys | Voivat paljastaa terveystietoja | Taulukon keskivaiheen tietojen luokittelu vaatii harkintaa. Yksinkertainen toimintatapa on käsitellä kaikkia alkukartoitus- ja edistymistietoja arkaluonteisina: se vaatii vain vähän lisätyötä ja poistaa arvailun tarpeen. ## Kuntosaleille ja valmentajille tärkeimmät nFADP:n säännökset Seitsemän säännöstä kattaa suurimman osan siitä, miten liikunta-alan yritys käsittelee jäsentietoja arjessa. | Sääntö | Artikla | Merkitys kuntosalilla | | ------------------------------------------------------------------- | -------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Nimenomainen suostumus arkaluonteisten tietojen käsittelyyn | FADP:n 6 artiklan 6 ja 7 kohta | Kun suostumus tarvitaan, sen on oltava vapaaehtoinen ja perustuttava asianmukaisiin tietoihin. Arkaluonteisten tietojen kohdalla sen on oltava nimenomainen. | | Tiedonantovelvollisuus | FADP:n 19 artikla | Kerro jäsenille tietoja kerättäessä, mitä keräät ja miksi: tietosuojaseloste | | Arkaluonteisia tietoja ei saa luovuttaa ilman oikeuttamisperustetta | FADP:n 30 artiklan 2 kohdan c alakohta | Terveystietojen luovuttaminen kolmansille osapuolille loukkaa henkilön persoonallisuusoikeuksia, ellei siihen ole oikeuttamisperustetta | | Oikeus saada pääsy tietoihin | FADP:n 25 artikla | Jäsen voi kysyä, mitä tietoja hänestä säilytetään; vastaus on yleensä annettava 30 päivän kuluessa | | Tietoturvaloukkaukset | FADP:n 24 artikla | Ilmoita todennäköisesti suuren riskin aiheuttavista loukkauksista FDPIC:lle mahdollisimman pian | | Henkilötietojen käsittelijät | FADP:n 9 artikla | Ohjelmistotoimittaja saa käsitellä tietoja vain tavalla, jolla saisit itsekin käsitellä niitä | | Tietojen luovuttaminen ulkomaille | FADP:n 16 artikla | Vain maihin, joissa tietosuojan taso on riittävä (liittoneuvoston luettelo), tai asianmukaisia suojatoimia käyttäen | Lähde: [FADP Fedlex-palvelussa](https://www.fedlex.admin.ch/eli/cc/2022/491/de) (1\. syyskuuta 2023 voimassa ollut teksti). Yksi ero EU:n yleiseen tietosuoja-asetukseen eli GDPR:ään yllättää monet. Sveitsin laki ei edellytä oikeusperustetta jokaiselle käsittelytoimelle. Henkilön persoonallisuusoikeuksia loukkaava käsittely vaatii oikeuttamisperusteen, kuten suostumuksen, painavamman yksityisen tai julkisen edun taikka lain säännöksen (FADP:n 31 artikla). Kyselylomakkeella kerättävien arkaluonteisten terveystietojen kohdalla nimenomainen suostumus on selkeä ratkaisu. ### Vaikutustenarviointi ja seloste käsittelytoimista Tietosuojaa koskeva vaikutustenarviointi (DPIA) vaaditaan, kun käsittely todennäköisesti aiheuttaa suuren riskin, erityisesti silloin, kun arkaluonteisia tietoja käsitellään laajamittaisesti (FADP:n 22 artikla). Pieni studio, jolla on muutamia kymmeniä alkukartoituslomakkeita, on eri tilanteessa kuin tuhansien jäsenten terveystietoja profiloiva ketju. Arvioinnin tarve kannattaa silti selvittää kerran ja kirjata johtopäätös muistiin. Käsittelytoimia koskevaan selosteeseen (FADP:n 12 artikla) liittyy poikkeus: alle 250 työntekijän yritysten ja luonnollisten henkilöiden ei tarvitse pitää selostetta, **elleivät** ne käsittele arkaluonteisia henkilötietoja laajamittaisesti tai harjoita suuren riskin profilointia ([tietosuoja-asetuksen eli DPO:n](https://www.fedlex.admin.ch/eli/cc/2022/568/de) 24 artikla, 15\. syyskuuta 2024 voimassa ollut teksti). Tietoturvaloukkaukset on dokumentoitava, ja dokumentaatio on säilytettävä vähintään 2 vuotta ilmoituksesta (DPO:n 15 artiklan 4 kohta). ### Sakot: kuka maksaa? nFADP:n sakot kohdistuvat **luonnollisiin henkilöihin**, eivät pääsääntöisesti yritykseen. Tiedonantovelvollisuuden, tietoihin pääsyn turvaamista koskevan velvollisuuden ja huolellisuusvelvoitteiden tahallisesta rikkomisesta voi seurata enintään 250 000 CHF:n sakko. Esimerkkejä ovat tietojen luovuttaminen ulkomaille ilman edellytysten täyttymistä tai henkilötietojen käsittelijän käyttäminen ilman vaadittuja suojatoimia (FADP:n 60 ja 61 artikla). Yritys voidaan määrätä maksamaan sakko henkilön sijasta vain, jos kyseessä on enintään 50 000 CHF:n sakko ja vastuullisen henkilön selvittäminen vaatisi suhteettomasti työtä (FADP:n 64 artikla). Pienellä kuntosalilla vastuullinen henkilö on usein omistaja. ## Jäsentietojen siirtäminen ulkomaille, myös Yhdysvaltoihin Useimmat kuntosaliohjelmistot sekä sähköposti- ja maksutyökalut tallentavat tiedot jonnekin. FADP:n 16 artikla määrittää, onko se sallittua. Tietojen luovuttaminen ulkomaille on sallittua maihin, joissa liittoneuvoston luettelon mukaan on riittävä tietosuojan taso, tai asianmukaisia suojatoimia, kuten sopimuslausekkeita, käyttäen. Yhdysvaltojen osalta Sveitsin ja Yhdysvaltojen välistä Data Privacy Framework -järjestelyä on sovellettu **15\. syyskuuta 2024** lähtien: tietoja voidaan siirtää sertifioiduille yhdysvaltalaisille yrityksille ilman lisäsuojatoimia ([liittoneuvosto, 14\. elokuuta 2024](https://www.admin.ch/gov/de/start/dokumentation/medienmitteilungen/bundesrat.msg-id-102054.html)). Kunkin palveluntarjoajan sertifiointi on tarkistettava erikseen, eikä sitä pidä olettaa. Tietosuojaselosteessa tulisi nimetä maat, joihin jäsentietoja siirretään. Tarkista tämä omalta sivustoltasi: mallipohjasta kopioitu tietosuojasivu ei usein kerro mitään Yhdysvalloissa toimivasta sähköpostityökalusta tai muualla ylläpidetystä ajanvaraussovelluksesta. ## Yleiset virheet kuntosaleilla ja valmennusstudioissa Monet riskit liittyvät arkisiin toimintatapoihin, eivät tietomurtoihin. * **Paperiset PAR-Q-terveyskyselyt avoimessa kansiossa** vastaanotossa, jossa kuka tahansa tiskin takana oleva voi lukea niitä. * **Terveystiedot valmentajien ryhmäkeskustelussa** henkilökohtaisella puhelimella, esimerkiksi jäsenen polvesta tai lääkityksestä. * **Yksi yhteinen käyttäjätunnus** kuntosaliohjelmistoon, jolloin ei voida selvittää, kuka on nähnyt mitäkin. * **Alkukartoituslomakkeet, joissa kysytään kaikkea**, myös diagnooseja, joilla ei ole merkitystä harjoittelun kannalta. * **Yleisiin ehtoihin piilotettu suostumus**, jolloin on vaikea perustella, että terveystietoja koskeva suostumus olisi ollut nimenomainen. * **Ei toimintamallia tietopyyntöihin**, joten 30 päivää kuluu jonkun etsiessä tietoja vientitiedostoista ja taulukoista. * **Entisten valmentajien käyttöoikeudet säilyvät** jäsenprofiileihin työsuhteen tai yhteistyön päätyttyä. ## nFADP-tarkistuslista sveitsiläiselle kuntosalille tai henkilökohtaiselle valmentajalle Käy nämä vaiheet läpi kerran ja tarkista ne sen jälkeen vuosittain tai ohjelmistoa vaihtaessasi. 1. **Kartoita tietosi.** Listaa kerättävät tiedot (yhteystiedot, sopimukset, maksut, käyntikirjaukset, terveystietojen alkukartoitukset, mittaukset, kuvat, biometrinen kulunvalvonta), niiden tallennuspaikat ja henkilöt, joilla on niihin pääsy. 2. **Karsi tarpeettomat tiedot.** Kysy vain sellaisia terveyskysymyksiä, joiden vastaukset vaikuttavat henkilön valmennukseen. 3. **Pyydä nimenomainen suostumus terveystietojen käsittelyyn** erillisellä, selkeällä suostumustekstillä alkukartoituslomakkeessa, älä pelkällä ehtojen rivillä. 4. **Julkaise tietosuojaseloste** (19 artikla): kuka olet, mitä keräät, miksi, kenelle tietoja luovutetaan ja missä maissa. 5. **Sovi henkilötietojen käsittelyn ehdoista jokaisen palveluntarjoajan kanssa**, joka käsittelee jäsentietoja (ohjelmisto, sähköposti, maksut), ja tarkista, missä ne säilyttävät tiedot. 6. **Rajaa tiimin käyttöoikeudet.** Henkilökohtaiset käyttäjätunnukset, roolipohjaiset käyttöoikeudet ohjelmiston mahdollisuuksien mukaan ja oikeuksien poistaminen viimeisenä työpäivänä. 7. **Laadi toimintamalli tietoturvaloukkauksiin:** kuka päättää toimista, miten riski arvioidaan, miten FDPIC:lle ilmoitetaan ja missä dokumentaatio säilytetään 2 vuoden ajan. 8. **Valmistele tietopyyntöön vastaaminen**, jotta voit vastata 30 päivän kuluessa. 9. **Selvitä vaikutustenarvioinnin ja käsittelytoimien selosteen tarve**, jos käsittelet terveystietoja laajamittaisesti tai käytät biometristä kulunvalvontaa. 10. **Määritä säilytysajat** entisten jäsenten terveystiedoille ja poista tiedot, kun niiden käyttötarkoitus päättyy. Kohdissa 3, 4 ja 7 tunti juristin kanssa on hyödyllinen sijoitus, sillä sanamuodoilla on merkitystä. ## Traineran rooli Trainera on ohjelmisto, jossa suuri osa näistä tiedoista sijaitsee. Kuntosali tai valmentaja säilyy kuitenkin rekisterinpitäjänä ja päättää, mitä tietoja kerätään. * **Sinä olet rekisterinpitäjä.** Kuntosali tai itsenäinen valmentaja päättää, mitä jäsentietoja kerätään ja miksi, ja vastaa tietosuojaselosteesta, suostumuksista ja tietopyynnöistä. * **Kyselylomakkeet** eli alkukartoituslomakkeet sisältyvät kaikkiin valmentajan tilauksiin, myös Free-tilaukseen. Valitset kysymykset itse, joten voit rajata terveyskysymykset tarpeellisiin ja lisätä oman suostumustekstisi. * **Käyntikirjauksiin** tallennetaan niiden lähde (QR-koodi, manuaalinen kirjaus, kulkuportti, ilmoittautuminen, offline). Jäsensovelluksessa näkyy digitaalinen jäsenkortti QR-koodeineen. * **Treeni- ja ravintosuunnitelmat, edistymistiedot ja keskustelut** ovat samassa paikassa hajallaan olevien taulukoiden ja henkilökohtaisten puhelinten sijaan, mikä helpottaa tietopyyntöihin vastaamista. * **Mitä emme väitä:** tässä artikkelissa ei esitetä väitteitä Traineran palvelinten sijainnista, sertifioinneista tai lainsäädännön noudattamisesta. Kuten muidenkin palveluntarjoajien kohdalla, tutustu ehtoihin ja tietosuojatietoihin itse tai juristisi kanssa ennen jäsentietojen siirtämistä. | Tilaus (Sveitsi) | Kuukausihinta | Käyttötarkoitus | | ------------------------------- | ----------------- | ----------------------------------------------------------------------------------------- | | Valmentajan Starter | CHF 19.90 | Enintään 10 asiakasta | | Valmentajan Pro | CHF 49.90 | Enintään 30 asiakasta | | Valmentajan Business | CHF 99 | Enintään 75 asiakasta | | Kuntosalin Core | CHF 129 | Kuntosalin hallintanäkymä, jäsenpaketit, QR-käyntikirjaus, 3 valmentajaa mukana | | Kuntosalin White Label / Studio | CHF 239 / CHF 279 | Oman brändin sovellukset; Studio sisältää lisäksi Community Plus -lisäosan ja automaatiot | Hinnat ovat trainera.fit/pricing-sivulta Sveitsille lokakuussa 2026; hinnastosivu näyttää kuukausihinnat. Käyntitietojen keräämisestä kerrotaan artikkeleissa [kuntosalin käyntikirjaus- ja kulunvalvontaohjelmisto](/blogs/kuntosalin-kulunvalvonta-ja-kayntien-kirjaus) ja [QR-käyntikirjaus](/blogs/kuntosalin-qr-sisaankirjautuminen). Myös liidilomakkeet sisältävät henkilötietoja: [kuntosalin liidienhallinta](/blogs/kuntosalin-liidien-hallinta-crm) käsittelee myyntiputken hallintaa. Lisää Sveitsin tilanteesta voit lukea artikkeleista [kuntosaliohjelmisto Sveitsissä](/blogs/kuntosaliohjelmisto-sveitsissa) ja [Sveitsin kuntosalijäsenyyksien sopimussäännöt](/blogs/kuntosalisopimus-sveitsissa). ## Yhden sivun nFADP-yhteenveto tiimille Tulosta tämä ja kiinnitä se paikkaan, jossa valmentajat ja vastaanoton työntekijät näkevät sen. * Terveystiedot ja biometriset tiedot ovat arkaluonteisia: nimenomainen suostumus, vain tarpeelliset kysymykset ja rajatut käyttöoikeudet. * Jäsen voi kysyä, mitä tietoja hänestä säilytetään: vastaa 30 päivän kuluessa. * Todennäköisesti suuren riskin aiheuttava tietoturvaloukkaus: ilmoita heti omistajalle; ilmoitus FDPIC:lle mahdollisimman pian; dokumentoi tapahtuma ja säilytä dokumentaatio 2 vuotta. * Ei jäsenten terveystietoja yksityisiin keskusteluihin tai henkilökohtaisiin puhelimiin. * Tietoja ulkomaille vain riittävän tietosuojan tai suojatoimien turvin; kohdemaat on nimettävä tietosuojaselosteessa. _Haluatko jäsentiedot, alkukartoituslomakkeet ja käyntikirjaukset samaan paikkaan kansioiden ja keskustelujen sijaan? [Katso, miten Trainera toimii kuntosaleilla](/fi/kuntosalin-hallintaohjelmisto)._ ## FAQ ### Ovatko terveystiedot arkaluonteisia Sveitsin tietosuojalain mukaan? Kyllä. Uudistetun FADP:n 5 artiklan c kohdassa terveystiedot ja henkilön yksilöivät biometriset tiedot luokitellaan arkaluonteisiksi henkilötiedoiksi. Laki on ollut voimassa 1. syyskuuta 2023 lähtien. Kun niiden käsittely edellyttää suostumusta, sen on oltava nimenomainen. ### Tarvitseeko kuntosali Sveitsissä selosteen henkilötietojen käsittelytoimista? Alle 250 työntekijän yritykset on vapautettu velvollisuudesta, elleivät ne käsittele arkaluonteisia henkilötietoja laajamittaisesti tai harjoita suuren riskin profilointia (DPO:n 24 artikla). Paljon terveystietoja käsittelevän kuntosalin kannattaa selvittää asia. ### Kuinka nopeasti kuntosalin on vastattava jäsentietoja koskevaan tietopyyntöön? FADP:n 25 artiklan mukaan yleensä 30 päivän kuluessa. Selvitä etukäteen, missä jäsentietoja säilytetään, jotta saat vietyä tiedot ajoissa. ### Millaisia sakkoja nFADP:n perusteella voi saada? Vastuussa olevalle luonnolliselle henkilölle voidaan määrätä enintään 250 000 CHF:n sakko tiedonantovelvollisuuden, tietoihin pääsyn turvaamista koskevan velvollisuuden ja huolellisuusvelvoitteiden tahallisesta rikkomisesta (FADP:n 60 ja 61 artikla). Yritys voidaan määrätä maksajaksi vain poikkeustapauksissa, kun sakko on enintään 50 000 CHF (64 artikla). ### Onko sormenjälkeen perustuva sisäänpääsy kuntosalille sallittu Sveitsissä? Laki ei kiellä sitä, mutta henkilön yksilöivät biometriset tiedot ovat arkaluonteisia. Selvitä juristin kanssa suostumukseen, tiedottamiseen ja tietoturvaan liittyvät vaatimukset sekä vaikutustenarvioinnin tarve ennen käyttöönottoa. --- Source: https://trainera.fit/blogs/kuntosalin-tietosuoja-sveitsissa-nfadp