# Personvern for treningssentre i Sveits (nFADP 2026)

> Siden 1. september 2023 regner den reviderte sveitsiske personvernloven helsedata og biometriske data som sensitive. Hva det betyr for helseskjemaer, innsjekk og medlemsdata i et treningssenter eller PT-studio, artiklene som gjelder, og en sjekkliste i 10 trinn.

*Author: Trainera Team  |  Published: 2026-10-21  |  Reading time: 8 min*

## Hva betyr den sveitsiske personvernloven (nFADP) for treningssentre?

Sveits' reviderte føderale personvernlov (nFADP, på tysk revDSG eller nDSG) har gjeldt siden **1\. september 2023**, og den regner helsedata og biometriske data som identifiserer en person, som **sensitive personopplysninger** ([FADP, SR 235.1, art. 5](https://www.fedlex.admin.ch/eli/cc/2022/491/de)). For et treningssenter eller en personlig trener betyr det at skjemaer om skader og helse, kroppsmål som brukes til helsemål, og inngang med fingeravtrykk eller ansiktsgjenkjenning krever ekstra varsomhet. Forsettlige brudd på sentrale plikter kan gi bøter på opptil **CHF 250 000** for den ansvarlige personen.

Resten av innlegget går gjennom artiklene som betyr noe i en treningsvirksomhet, en sjekkliste du kan jobbe deg gjennom på en ettermiddag, og hva du bør spørre programvareleverandøren om. Status per oktober 2026.

Dette er generell informasjon, ikke juridisk rådgivning. Snakk med en advokat som kan personvern, eller med det føderale personvern- og informasjonsombudet (FDPIC, på tysk EDÖB), om ditt eget oppsett.

## Hvilke data i et treningssenter er sensitive etter nFADP?

Etter art. 5 bokstav c FADP omfatter sensitive personopplysninger blant annet opplysninger om helse og biometriske data som entydig identifiserer en fysisk person.

Loven gir ingen eksempler fra treningsbransjen. Slik vi leser den, er dette dataene fra treningssentre og coaching som mest sannsynlig havner i den sensitive kategorien:

| Data du samler inn                                   | Sannsynlig kategori                    | Hvorfor                                              |
| ---------------------------------------------------- | -------------------------------------- | ---------------------------------------------------- |
| Navn, e-post, telefon, adresse                       | Personopplysninger                     | Identifiserer medlemmet                              |
| Medlemskapstype, betalinger, innsjekkstider          | Personopplysninger                     | Avtale og oppmøte                                    |
| Skader, sykdommer, medisiner i et helseskjema        | Sensitive (helse)                      | Art. 5 bokstav c: opplysninger om helse              |
| Vekt, fettprosent, mål knyttet til et helsemål       | Trolig sensitive (helsesammenheng)     | Avhenger av sammenheng og formål                     |
| Notater om graviditet eller rehabilitering fra en PT | Sensitive (helse)                      | Helseopplysninger                                    |
| Fingeravtrykk eller ansiktsgjenkjenning i døra       | Sensitive (biometri)                   | Biometriske data som entydig identifiserer en person |
| Fremgangsbilder                                      | Personopplysninger, sjekk sammenhengen | Kan avsløre helseopplysninger                        |

Radene i midten er et skjønnsspørsmål. En enkel løsning er å behandle alle data fra helseskjemaer og oppfølging som om de var sensitive. Det koster lite og fjerner gjettingen.

## Reglene i nFADP som betyr mest for treningssentre og trenere

Sju bestemmelser dekker det meste en treningsvirksomhet gjør med medlemsdata i hverdagen.

| Regel                                            | Artikkel                      | Hva det betyr i et treningssenter                                                                                               |
| ------------------------------------------------ | ----------------------------- | ------------------------------------------------------------------------------------------------------------------------------- |
| Uttrykkelig samtykke for sensitive data          | Art. 6 ledd 6-7 FADP          | Der det trengs samtykke, skal det være frivillig og gitt etter god informasjon, og for sensitive data skal det være uttrykkelig |
| Informasjonsplikt                                | Art. 19 FADP                  | Fortell medlemmene hva du samler inn og hvorfor når du samler det inn: en personvernerklæring                                   |
| Ingen utlevering av sensitive data uten grunnlag | Art. 30 ledd 2 bokstav c FADP | Å gi helsedata videre til tredjeparter er en krenkelse av personvernet med mindre det er begrunnet                              |
| Rett til innsyn                                  | Art. 25 FADP                  | Et medlem kan spørre hva du har lagret, og svaret skal som regel komme innen 30 dager                                           |
| Brudd på datasikkerheten                         | Art. 24 FADP                  | Brudd som trolig gir høy risiko, meldes til FDPIC så raskt som mulig                                                            |
| Databehandlere                                   | Art. 9 FADP                   | En programvareleverandør kan bare behandle data slik du selv ville hatt lov til                                                 |
| Overføring til utlandet                          | Art. 16 FADP                  | Bare til land med tilstrekkelig beskyttelse (forbundsrådets liste) eller med egnede garantier                                   |

Kilde: [FADP på Fedlex](https://www.fedlex.admin.ch/eli/cc/2022/491/de) (tekst per 1\. september 2023).

Én forskjell fra EUs GDPR overrasker mange. Den sveitsiske loven krever ikke et rettslig grunnlag for hver eneste behandling. Behandling som krenker noens personvern, trenger en begrunnelse, for eksempel samtykke, en tungtveiende privat eller offentlig interesse eller hjemmel i lov (art. 31 FADP). For sensitive helsedata i et spørreskjema er uttrykkelig samtykke den ryddige veien.

### Konsekvensvurdering og protokoll over behandlinger

En vurdering av personvernkonsekvenser (DPIA) kreves når behandlingen trolig gir høy risiko, særlig ved omfattende behandling av sensitive data (art. 22 FADP). Et lite studio med noen dusin helseskjemaer står i en annen situasjon enn en kjede som profilerer helsedata for tusenvis av medlemmer. Likevel er spørsmålet verdt å stille én gang og skrive ned svaret på.

Protokollen over behandlinger (art. 12 FADP) har et unntak: virksomheter med færre enn 250 ansatte og fysiske personer trenger ikke føre en, **med mindre** de behandler sensitive personopplysninger i stort omfang eller driver profilering med høy risiko (art. 24 i [personvernforskriften, DSV](https://www.fedlex.admin.ch/eli/cc/2022/568/de), per 15\. september 2024). Brudd på datasikkerheten skal dokumenteres, og dokumentasjonen skal oppbevares i minst 2 år fra meldingen (art. 15 ledd 4 DSV).

### Bøter: hvem betaler

Bøtene i nFADP retter seg mot **privatpersoner**, som hovedregel ikke mot virksomheten. Det gjelder opptil CHF 250 000 for forsettlige brudd på informasjonsplikten, plikten til å gi innsyn og aktsomhetsplikten, for eksempel å overføre data til utlandet uten at vilkårene er oppfylt, eller å bruke en databehandler uten de nødvendige garantiene (art. 60-61 FADP). Bare hvis boten er på høyst CHF 50 000 og det ville kreve uforholdsmessig mye arbeid å finne den ansvarlige personen, kan virksomheten bli pålagt å betale i stedet (art. 64 FADP). I et lite treningssenter er den ansvarlige personen ofte eieren.

## Når medlemsdata sendes til utlandet, også til USA

De fleste systemer for treningssentre, e-postverktøy og betalingsløsninger lagrer data et sted, og art. 16 FADP avgjør om det er lov.

Overføring er tillatt til land som forbundsrådet har listet som land med tilstrekkelig beskyttelse, eller med egnede garantier som avtaleklausuler. For USA har Swiss-U.S. Data Privacy Framework gjeldt siden **15\. september 2024**: data kan gå til sertifiserte amerikanske selskaper uten ekstra garantier ([forbundsrådet, 14\. august 2024](https://www.admin.ch/gov/de/start/dokumentation/medienmitteilungen/bundesrat.msg-id-102054.html)). Om en bestemt leverandør er sertifisert, må du sjekke for hver leverandør. Det er ikke noe du kan ta for gitt.

Personvernerklæringen din bør nevne landene medlemsdata sendes til. Sjekk dette på ditt eget nettsted. En personvernside kopiert fra en mal sier ofte ingenting om e-postverktøyet i USA eller bookingappen som ligger et helt annet sted.

## Vanlige feil i treningssentre og PT-studioer

Mange av risikoene ligger i vaner i hverdagen, ikke i hackerangrep.

* **PAR-Q-skjemaer på papir i en åpen perm** i resepsjonen, som alle bak disken kan lese.
* **Helsenotater i en gruppechat** mellom trenere, om et medlems kne eller medisiner, på en privat telefon.
* **Én felles innlogging** til systemet, så du ikke kan se hvem som har sett hva.
* **Helseskjemaer som spør om alt**, også diagnoser som ikke har noe å si for treningen.
* **Samtykke gjemt i de generelle vilkårene**, som gjør det vanskelig å hevde at samtykket til helsedata var uttrykkelig.
* **Ingen plan for innsynsbegjæringer**, så 30 dager går mens noen leter i eksporter og regneark.
* **Tidligere trenere har fortsatt tilgang** til medlemsprofiler etter at de har sluttet.

## Sjekkliste for nFADP for et sveitsisk treningssenter eller en PT

Gå gjennom trinnene én gang, og se over dem hvert år eller når du bytter system.

1. **Kartlegg dataene dine.** Skriv opp hva du samler inn (kontakt, avtale, betalinger, innsjekk, helseskjema, mål, bilder, biometrisk inngang), hvor det lagres og hvem som har tilgang.
2. **Kutt det du ikke trenger.** Still bare de helsespørsmålene som endrer hvordan du trener en person.
3. **Be om uttrykkelig samtykke for helsedata** med en egen, tydelig tekst i skjemaet, ikke en linje i vilkårene.
4. **Publiser en personvernerklæring** (art. 19): hvem du er, hva du samler inn, hvorfor, hvem som mottar det og i hvilke land.
5. **Inngå databehandleravtaler med alle leverandører** som håndterer medlemsdata (system, e-post, betalinger), og sjekk hvor de lagrer data.
6. **Begrens tilgangen i teamet.** Personlige innlogginger, rollebasert tilgang der systemet tillater det, og fjerning på siste arbeidsdag.
7. **Ha en rutine for avvik klar:** hvem som bestemmer, hvordan dere vurderer risikoen, hvordan dere melder til FDPIC og hvor dere dokumenterer det i 2 år.
8. **Forbered et svar på innsynsbegjæringer** så du kan svare innen 30 dager.
9. **Sjekk DPIA og protokoll over behandlinger** hvis du håndterer helsedata i stort omfang eller bruker biometrisk inngang.
10. **Fastsett lagringstider** for tidligere medlemmers helsedata, og slett dem når formålet er oppnådd.

Trinn 3, 4 og 7 er der en time hos en advokat lønner seg, fordi ordlyden betyr noe.

## Hvor Trainera kommer inn

Trainera er systemet der mye av disse dataene ligger, men treningssenteret eller treneren er fortsatt behandlingsansvarlig og bestemmer hva som samles inn.

* **Du er behandlingsansvarlig.** Treningssenteret (eller den selvstendige treneren) bestemmer hvilke medlemsdata som samles inn og hvorfor, og har ansvaret for personvernerklæring, samtykke og innsynsbegjæringer.
* **Spørreskjemaer** (helseskjemaer) er med i alle trenerplaner, også Free. Du velger spørsmålene, så du kan holde helsespørsmålene til det du trenger og legge til din egen samtykketekst.
* **Innsjekk** registreres med kilde (QR, manuelt, adgangsport, registrering, offline). Medlemsappen viser et digitalt medlemskort med QR-kode.
* **Trenings- og kostholdsplaner, fremgang og chat** ligger på ett sted i stedet for spredt i regneark og private telefoner, noe som gjør det enklere å svare på en innsynsbegjæring.
* **Det vi ikke påstår:** dette innlegget sier ingenting om hvor Trainera lagrer data, om sertifiseringer eller om etterlevelse av loven. Som med alle leverandører: les vilkårene og personverninformasjonen selv eller sammen med advokaten din før du flytter medlemsdata.

| Plan (Sveits)            | Pris per måned    | For                                                                  |
| ------------------------ | ----------------- | -------------------------------------------------------------------- |
| Trainer Starter          | CHF 19.90         | Opptil 10 klienter                                                   |
| Trainer Pro              | CHF 49.90         | Opptil 30 klienter                                                   |
| Trainer Business         | CHF 99            | Opptil 75 klienter                                                   |
| Gym Core                 | CHF 129           | Senterdashbord, pakker, QR-innsjekk, 3 trenere inkludert             |
| Gym White Label / Studio | CHF 239 / CHF 279 | Egne merkevareapper, Studio legger til Community Plus og Automations |

Priser fra trainera.fit/pricing for Sveits, oktober 2026\. Prissiden viser månedspriser. Hvordan innsjekkdata samles inn, kan du lese om i [system for innsjekk og adgangskontroll på treningssenter](/blogs/innsjekk-og-adgangskontroll-for-treningssenter) og [QR-innsjekk](/blogs/qr-innsjekk-treningssenter-oppmote). Også leadskjemaer inneholder personopplysninger: [leadhåndtering for treningssentre](/blogs/leadhandtering-crm-for-treningssenter) tar for seg den delen av salget. For resten av bildet i Sveits, les [programvare for treningssentre i Sveits](/blogs/programvare-for-treningssenter-i-sveits) og [regler for medlemskontrakter i Sveits](/blogs/treningsavtale-regler-sveits).

## Ditt nFADP-sammendrag på én side for teamet

Skriv det ut og heng det opp der trenere og resepsjonen ser det.

* Helsedata og biometriske data er sensitive: uttrykkelig samtykke, så få spørsmål som mulig, begrenset tilgang.
* Medlemmer kan spørre hva vi har lagret: svar innen 30 dager.
* Brudd med trolig høy risiko: si fra til eieren med en gang, meld til FDPIC så raskt som mulig, dokumenter det og oppbevar dokumentasjonen i 2 år.
* Ingen helseopplysninger om medlemmer i private chatter eller på private telefoner.
* Data til utlandet bare med tilstrekkelig beskyttelse eller garantier, og nevnt i personvernerklæringen.

_Vil du ha medlemsdata, helseskjemaer og innsjekk på ett sted i stedet for i permer og chatter? [Se hvordan Trainera fungerer for treningssentre](/nb/programvare-for-treningssenter)._

## FAQ

### Er helsedata sensitive etter sveitsisk personvernlov?

Ja. Art. 5 bokstav c i den reviderte FADP (i kraft siden 1. september 2023) regner helsedata og biometriske data som identifiserer en person, som sensitive personopplysninger. Der det trengs samtykke for slike data, må samtykket være uttrykkelig.

### Må treningssentre i Sveits føre protokoll over behandlinger?

Virksomheter med færre enn 250 ansatte er unntatt, med mindre de behandler sensitive personopplysninger i stort omfang eller driver profilering med høy risiko (art. 24 DSV). Et senter som håndterer mye helsedata, bør sjekke dette.

### Hvor raskt må et treningssenter svare på en innsynsbegjæring?

Som regel innen 30 dager etter art. 25 FADP. Finn ut på forhånd hvor medlemsdataene ligger, så du rekker å hente dem ut i tide.

### Hvor store er bøtene etter nFADP?

Opptil CHF 250 000, som ilegges den ansvarlige privatpersonen, for forsettlige brudd på informasjonsplikten, plikten til å gi innsyn og aktsomhetsplikten (art. 60-61 FADP). Bare i unntakstilfeller, ved bøter opptil CHF 50 000, kan virksomheten selv bli pålagt å betale (art. 64).

### Er fingeravtrykk i inngangen lov på treningssentre i Sveits?

Loven forbyr det ikke, men biometriske data som entydig identifiserer en person, er sensitive. Gå gjennom samtykke, informasjon, sikkerhet og om det trengs en konsekvensvurdering sammen med en advokat før du tar det i bruk.

---
Source: https://trainera.fit/blogs/personvern-treningssenter-sveits-nfadp