Personvern for treningssentre i Sveits (nFADP 2026)

Hva betyr den sveitsiske personvernloven (nFADP) for treningssentre?

Sveits' reviderte føderale personvernlov (nFADP, på tysk revDSG eller nDSG) har gjeldt siden 1. september 2023, og den regner helsedata og biometriske data som identifiserer en person, som sensitive personopplysninger (FADP, SR 235.1, art. 5). For et treningssenter eller en personlig trener betyr det at skjemaer om skader og helse, kroppsmål som brukes til helsemål, og inngang med fingeravtrykk eller ansiktsgjenkjenning krever ekstra varsomhet. Forsettlige brudd på sentrale plikter kan gi bøter på opptil CHF 250 000 for den ansvarlige personen.

Resten av innlegget går gjennom artiklene som betyr noe i en treningsvirksomhet, en sjekkliste du kan jobbe deg gjennom på en ettermiddag, og hva du bør spørre programvareleverandøren om. Status per oktober 2026.

Dette er generell informasjon, ikke juridisk rådgivning. Snakk med en advokat som kan personvern, eller med det føderale personvern- og informasjonsombudet (FDPIC, på tysk EDÖB), om ditt eget oppsett.

Hvilke data i et treningssenter er sensitive etter nFADP?

Etter art. 5 bokstav c FADP omfatter sensitive personopplysninger blant annet opplysninger om helse og biometriske data som entydig identifiserer en fysisk person.

Loven gir ingen eksempler fra treningsbransjen. Slik vi leser den, er dette dataene fra treningssentre og coaching som mest sannsynlig havner i den sensitive kategorien:

Radene i midten er et skjønnsspørsmål. En enkel løsning er å behandle alle data fra helseskjemaer og oppfølging som om de var sensitive. Det koster lite og fjerner gjettingen.

Reglene i nFADP som betyr mest for treningssentre og trenere

Sju bestemmelser dekker det meste en treningsvirksomhet gjør med medlemsdata i hverdagen.

Kilde: FADP på Fedlex (tekst per 1. september 2023).

Én forskjell fra EUs GDPR overrasker mange. Den sveitsiske loven krever ikke et rettslig grunnlag for hver eneste behandling. Behandling som krenker noens personvern, trenger en begrunnelse, for eksempel samtykke, en tungtveiende privat eller offentlig interesse eller hjemmel i lov (art. 31 FADP). For sensitive helsedata i et spørreskjema er uttrykkelig samtykke den ryddige veien.

Konsekvensvurdering og protokoll over behandlinger

En vurdering av personvernkonsekvenser (DPIA) kreves når behandlingen trolig gir høy risiko, særlig ved omfattende behandling av sensitive data (art. 22 FADP). Et lite studio med noen dusin helseskjemaer står i en annen situasjon enn en kjede som profilerer helsedata for tusenvis av medlemmer. Likevel er spørsmålet verdt å stille én gang og skrive ned svaret på.

Protokollen over behandlinger (art. 12 FADP) har et unntak: virksomheter med færre enn 250 ansatte og fysiske personer trenger ikke føre en, med mindre de behandler sensitive personopplysninger i stort omfang eller driver profilering med høy risiko (art. 24 i personvernforskriften, DSV, per 15. september 2024). Brudd på datasikkerheten skal dokumenteres, og dokumentasjonen skal oppbevares i minst 2 år fra meldingen (art. 15 ledd 4 DSV).

Bøter: hvem betaler

Bøtene i nFADP retter seg mot privatpersoner, som hovedregel ikke mot virksomheten. Det gjelder opptil CHF 250 000 for forsettlige brudd på informasjonsplikten, plikten til å gi innsyn og aktsomhetsplikten, for eksempel å overføre data til utlandet uten at vilkårene er oppfylt, eller å bruke en databehandler uten de nødvendige garantiene (art. 60-61 FADP). Bare hvis boten er på høyst CHF 50 000 og det ville kreve uforholdsmessig mye arbeid å finne den ansvarlige personen, kan virksomheten bli pålagt å betale i stedet (art. 64 FADP). I et lite treningssenter er den ansvarlige personen ofte eieren.

Når medlemsdata sendes til utlandet, også til USA

De fleste systemer for treningssentre, e-postverktøy og betalingsløsninger lagrer data et sted, og art. 16 FADP avgjør om det er lov.

Overføring er tillatt til land som forbundsrådet har listet som land med tilstrekkelig beskyttelse, eller med egnede garantier som avtaleklausuler. For USA har Swiss-U.S. Data Privacy Framework gjeldt siden 15. september 2024: data kan gå til sertifiserte amerikanske selskaper uten ekstra garantier (forbundsrådet, 14. august 2024). Om en bestemt leverandør er sertifisert, må du sjekke for hver leverandør. Det er ikke noe du kan ta for gitt.

Personvernerklæringen din bør nevne landene medlemsdata sendes til. Sjekk dette på ditt eget nettsted. En personvernside kopiert fra en mal sier ofte ingenting om e-postverktøyet i USA eller bookingappen som ligger et helt annet sted.

Vanlige feil i treningssentre og PT-studioer

Mange av risikoene ligger i vaner i hverdagen, ikke i hackerangrep.

• PAR-Q-skjemaer på papir i en åpen perm i resepsjonen, som alle bak disken kan lese.
• Helsenotater i en gruppechat mellom trenere, om et medlems kne eller medisiner, på en privat telefon.
• Én felles innlogging til systemet, så du ikke kan se hvem som har sett hva.
• Helseskjemaer som spør om alt, også diagnoser som ikke har noe å si for treningen.
• Samtykke gjemt i de generelle vilkårene, som gjør det vanskelig å hevde at samtykket til helsedata var uttrykkelig.
• Ingen plan for innsynsbegjæringer, så 30 dager går mens noen leter i eksporter og regneark.
• Tidligere trenere har fortsatt tilgang til medlemsprofiler etter at de har sluttet.

Sjekkliste for nFADP for et sveitsisk treningssenter eller en PT

Gå gjennom trinnene én gang, og se over dem hvert år eller når du bytter system.

1. Kartlegg dataene dine. Skriv opp hva du samler inn (kontakt, avtale, betalinger, innsjekk, helseskjema, mål, bilder, biometrisk inngang), hvor det lagres og hvem som har tilgang.
2. Kutt det du ikke trenger. Still bare de helsespørsmålene som endrer hvordan du trener en person.
3. Be om uttrykkelig samtykke for helsedata med en egen, tydelig tekst i skjemaet, ikke en linje i vilkårene.
4. Publiser en personvernerklæring (art. 19): hvem du er, hva du samler inn, hvorfor, hvem som mottar det og i hvilke land.
5. Inngå databehandleravtaler med alle leverandører som håndterer medlemsdata (system, e-post, betalinger), og sjekk hvor de lagrer data.
6. Begrens tilgangen i teamet. Personlige innlogginger, rollebasert tilgang der systemet tillater det, og fjerning på siste arbeidsdag.
7. Ha en rutine for avvik klar: hvem som bestemmer, hvordan dere vurderer risikoen, hvordan dere melder til FDPIC og hvor dere dokumenterer det i 2 år.
8. Forbered et svar på innsynsbegjæringer så du kan svare innen 30 dager.
9. Sjekk DPIA og protokoll over behandlinger hvis du håndterer helsedata i stort omfang eller bruker biometrisk inngang.
10. Fastsett lagringstider for tidligere medlemmers helsedata, og slett dem når formålet er oppnådd.

Trinn 3, 4 og 7 er der en time hos en advokat lønner seg, fordi ordlyden betyr noe.

Hvor Trainera kommer inn

Trainera er systemet der mye av disse dataene ligger, men treningssenteret eller treneren er fortsatt behandlingsansvarlig og bestemmer hva som samles inn.

• Du er behandlingsansvarlig. Treningssenteret (eller den selvstendige treneren) bestemmer hvilke medlemsdata som samles inn og hvorfor, og har ansvaret for personvernerklæring, samtykke og innsynsbegjæringer.
• Spørreskjemaer (helseskjemaer) er med i alle trenerplaner, også Free. Du velger spørsmålene, så du kan holde helsespørsmålene til det du trenger og legge til din egen samtykketekst.
• Innsjekk registreres med kilde (QR, manuelt, adgangsport, registrering, offline). Medlemsappen viser et digitalt medlemskort med QR-kode.
• Trenings- og kostholdsplaner, fremgang og chat ligger på ett sted i stedet for spredt i regneark og private telefoner, noe som gjør det enklere å svare på en innsynsbegjæring.
• Det vi ikke påstår: dette innlegget sier ingenting om hvor Trainera lagrer data, om sertifiseringer eller om etterlevelse av loven. Som med alle leverandører: les vilkårene og personverninformasjonen selv eller sammen med advokaten din før du flytter medlemsdata.

Priser fra trainera.fit/pricing for Sveits, oktober 2026. Prissiden viser månedspriser. Hvordan innsjekkdata samles inn, kan du lese om i system for innsjekk og adgangskontroll på treningssenter og QR-innsjekk. Også leadskjemaer inneholder personopplysninger: leadhåndtering for treningssentre tar for seg den delen av salget. For resten av bildet i Sveits, les programvare for treningssentre i Sveits og regler for medlemskontrakter i Sveits.

Ditt nFADP-sammendrag på én side for teamet

Skriv det ut og heng det opp der trenere og resepsjonen ser det.

• Helsedata og biometriske data er sensitive: uttrykkelig samtykke, så få spørsmål som mulig, begrenset tilgang.
• Medlemmer kan spørre hva vi har lagret: svar innen 30 dager.
• Brudd med trolig høy risiko: si fra til eieren med en gang, meld til FDPIC så raskt som mulig, dokumenter det og oppbevar dokumentasjonen i 2 år.
• Ingen helseopplysninger om medlemmer i private chatter eller på private telefoner.
• Data til utlandet bare med tilstrekkelig beskyttelse eller garantier, og nevnt i personvernerklæringen.

Vil du ha medlemsdata, helseskjemaer og innsjekk på ett sted i stedet for i permer og chatter? Se hvordan Trainera fungerer for treningssentre.