Защита данных для клубов в Швейцарии (nDSG 2026)

Что швейцарский закон о защите данных (nDSG) значит для клубов?

Пересмотренный федеральный закон о защите данных Швейцарии (nDSG, по-немецки revDSG) действует с 1 сентября 2023 года и относит данные о здоровье и идентифицирующие биометрические данные к особо защищаемым персональным данным (закон о защите данных, SR 235.1, ст. 5). Для клуба или персонального тренера это значит, что анкеты о травмах и здоровье, замеры тела для целей здоровья и вход по отпечатку пальца или лицу требуют дополнительной осторожности, а умышленные нарушения ключевых обязанностей могут привести к штрафам до CHF 250 000 для ответственного физического лица.

Остальная часть этого материала разбирает статьи, важные для фитнес-бизнеса, чек-лист, который можно пройти за один вечер, и что спросить у своего поставщика программы. Статус на октябрь 2026 года.

Это общая информация, а не юридическая консультация. Для своей ситуации проверяй с юристом по защите данных или в Федеральном уполномоченном по защите данных и информации (FDPIC, по-немецки EDÖB).

Какие данные клуба считаются особо защищаемыми по nDSG?

По ст. 5 lit. c закона о защите данных к особо защищаемым персональным данным относятся, среди прочего, данные о здоровье и биометрические данные, однозначно идентифицирующие физическое лицо.

Закон не дает примеров из мира фитнеса. По нашему пониманию, вот данные клуба и коучинга, которые с наибольшей вероятностью попадают в категорию особо защищаемых:

Средние строки это вопрос суждения. Простой подход: обращайся со всеми данными приема и прогресса так, как будто они особо защищаемы. Это стоит немного и убирает догадки.

Правила nDSG, которые важнее всего для клубов и тренеров

Семь положений покрывают большую часть того, что фитнес-бизнес делает с данными участников изо дня в день.

Источник: закон о защите данных на Fedlex (текст по состоянию на 1 сентября 2023 года).

Одно отличие от Регламента ЕС по защите данных (GDPR) удивляет людей. Швейцарский закон не требует правового основания для каждого действия по обработке. Обработка, нарушающая чьи-то личные права, нуждается в обосновании, например согласии, преобладающем частном или публичном интересе или законе (ст. 31 закона о защите данных). Для особо защищаемых данных о здоровье в анкете явное согласие это чистый путь.

Оценка воздействия и реестр обработки

Оценка воздействия на защиту данных (DPIA) нужна, когда обработка может привести к высокому риску, в частности при масштабной обработке особо защищаемых данных (ст. 22 закона о защите данных). Небольшая студия с несколькими десятками анкет при приеме находится в другом положении, чем сеть, профилирующая данные о здоровье тысяч участников, но этот вопрос стоит один раз задать и записать ответ.

У реестра деятельности по обработке (ст. 12 закона о защите данных) есть исключение: компании с менее чем 250 сотрудниками и физические лица могут его не вести, если только не обрабатывают особо защищаемые персональные данные в большом объеме или не ведут профилирование с высоким риском (ст. 24 постановления о защите данных, DPO, по состоянию на 15 сентября 2024 года). Нарушения безопасности данных нужно документировать и хранить документацию минимум 2 года с момента уведомления (ст. 15 абз. 4 постановления).

Штрафы: кто платит

Штрафы по nDSG нацелены на физических лиц, как правило, не на компанию: до CHF 250 000 за умышленные нарушения обязанностей информировать, предоставлять доступ и проявлять должную осмотрительность, например передачу данных за границу без выполнения условий или использование обработчика без нужных гарантий (ст. 60-61 закона о защите данных). Только если речь идет о штрафе максимум CHF 50 000 и поиск ответственного лица потребовал бы несоразмерных усилий, платить может само предприятие (ст. 64 закона о защите данных). В небольшом клубе ответственным часто оказывается владелец.

Передача данных участников за границу, включая США

Большинство программ для клубов, почтовых сервисов и платежных инструментов хранят данные где-то, и ст. 16 закона о защите данных решает, разрешено ли это.

Передача за границу разрешена в страны, которые Федеральный совет признает с адекватным уровнем защиты, или с подходящими гарантиями вроде договорных оговорок. Для США Swiss-U.S. Data Privacy Framework действует с 15 сентября 2024 года: данные могут идти в сертифицированные американские компании без дополнительных гарантий (Федеральный совет, 14 августа 2024). Сертифицирован ли конкретный провайдер, нужно проверять по каждому отдельно, а не предполагать.

Твое уведомление о конфиденциальности должно называть страны, куда уходят данные участников. Проверь это на собственном сайте: страница конфиденциальности, скопированная из шаблона, часто ничего не говорит про почтовый сервис в США или про сервис записи, размещенный где-то еще.

Частые ошибки в клубах и студиях персонального тренинга

Многие риски сидят в повседневных привычках, а не во взломах.

• Бумажные анкеты PAR-Q в открытой папке на ресепшене, доступные для чтения кому угодно за стойкой.
• Заметки о здоровье в групповом чате между тренерами про колено или лекарства участника, на личном телефоне.
• Один общий логин для программы клуба, из-за чего нельзя понять, кто что видел.
• Анкеты при приеме, которые спрашивают обо всем, включая диагнозы, не влияющие на тренировки.
• Согласие, спрятанное в общих условиях, из-за чего трудно доказать, что согласие на данные о здоровье было явным.
• Нет плана на запрос доступа, так что 30 дней проходят, пока кто-то ищет данные в выгрузках и таблицах.
• Бывшие тренеры сохраняют доступ к профилям участников после ухода.

Чек-лист nDSG для швейцарского клуба или персонального тренера

Пройди эти шаги один раз, затем пересматривай их каждый год или при смене программы.

1. Составь карту своих данных. Перечисли, что ты собираешь (контакты, договор, платежи, чек-ины, анкеты о здоровье, замеры, фото, биометрический вход), где это хранится и у кого есть доступ.
2. Убери лишнее. Спрашивай только те вопросы о здоровье, которые меняют то, как ты тренируешь человека.
3. Получи явное согласие на данные о здоровье отдельным ясным пунктом в анкете при приеме, а не строкой в общих условиях.
4. Опубликуй уведомление о конфиденциальности (ст. 19): кто ты, что собираешь, зачем, кто получает данные и в каких странах.
5. Подпиши условия обработки с каждым провайдером, который касается данных участников (программа, почта, платежи), и проверь, где он хранит данные.
6. Ограничь доступ в команде. Личные логины, доступ по ролям там, где позволяет программа, удаление доступа в последний рабочий день.
7. Подготовь процесс на случай нарушения: кто решает, как оцениваешь риск, как уведомляешь FDPIC, где документируешь это в течение 2 лет.
8. Подготовь ответ на запрос доступа, чтобы успевать отвечать в течение 30 дней.
9. Проверь DPIA и реестр обработки, если работаешь с данными о здоровье в большом объеме или используешь биометрический вход.
10. Установи сроки хранения данных о здоровье бывших участников и удаляй их, когда цель достигнута.

Шаги 3, 4 и 7 это места, где час с юристом окупается, потому что формулировки имеют значение.

Где подходит Trainera

Trainera это программа, где живет много этих данных, но ответственным остается клуб или тренер, и именно они решают, что собирать.

• Ты ответственный. Клуб (или независимый тренер) решает, какие данные участников собираются и зачем, и отвечает за уведомление о конфиденциальности, согласие и запросы доступа.
• Опросники (анкеты при приеме) включены на любом тарифе тренера, включая Free. Ты сам выбираешь вопросы, так что можешь ограничить вопросы о здоровье только нужными и добавить свой пункт о согласии.
• Чек-ины записываются с источником (QR, вручную, турникет, регистрация, офлайн). Приложение участника показывает цифровую карту участника с QR-кодом.
• Планы тренировок и питания, прогресс и чат находятся в одном месте вместо таблиц и личных телефонов, что облегчает ответ на запрос доступа.
• Чего мы не утверждаем: этот материал не делает заявлений о месте хостинга Trainera, сертификатах или юридическом соответствии. Как и с любым поставщиком, проверяй условия и информацию о конфиденциальности сам или с юристом, прежде чем переносить данные участников.

Цены с trainera.fit/pricing для Швейцарии, октябрь 2026 года; годовая оплата стоит в 10 раз дороже месячной. О том, как собираются данные чек-инов, смотри ПО для регистрации и контроля доступа в зале и QR-регистрацию в зале. Формы для лидов тоже несут персональные данные: управление лидами в клубе разбирает сторону воронки. Для остальной швейцарской картины читай программу для фитнес-клуба в Швейцарии и правила договора абонемента в швейцарском клубе.

Короткая памятка по nDSG для команды

Распечатай это и повесь там, где тренеры и персонал ресепшена это увидят.

• Данные о здоровье и биометрия особо защищаемы: явное согласие, минимум вопросов, ограниченный доступ.
• Участники могут спросить, что мы храним: отвечаем в течение 30 дней.
• Нарушение с вероятным высоким риском: сразу сообщить владельцу; уведомление FDPIC как можно быстрее; задокументировать и хранить запись 2 года.
• Никаких деталей о здоровье участников в личных чатах или на личных телефонах.
• Данные за границу только при адекватной защите или гарантиях, названных в уведомлении о конфиденциальности.

Хочешь данные участников, анкеты при приеме и чек-ины в одном месте вместо папок и чатов? Посмотри, как Trainera работает для клубов.