Zaštita podataka za teretane u Švicarskoj (nFADP 2026)

Šta švicarski zakon o zaštiti podataka (nFADP) znači za teretane?

Revidirani švicarski Savezni zakon o zaštiti podataka (nFADP, na njemačkom revDSG ili nDSG) primjenjuje se od 1. septembra 2023., i tretira zdravstvene podatke i biometrijske podatke koji identifikuju osobu kao osjetljive lične podatke (FADP, SR 235.1, čl. 5). Za teretanu ili personalnog trenera to znači da upitnici o povredama i zdravlju, mjere tijela korištene za zdravstvene ciljeve i prijava otiskom prsta ili licem trebaju dodatnu pažnju, a namjerne povrede ključnih obaveza mogu dovesti do kazni do CHF 250.000 protiv odgovorne osobe.

Ostatak ovog teksta prolazi kroz članove koji su važni za fitnes biznis, kontrolnu listu koju možeš proći za jedno popodne, i šta pitati svog dobavljača softvera. Stanje na oktobar 2026.

Ovo je opšta informacija, ne pravni savjet. Za svoju postavku provjeri sa advokatom za zaštitu podataka ili Federalnim povjerenikom za zaštitu podataka i informisanje (FDPIC, na njemačkom EDÖB).

Koji podaci teretane spadaju u osjetljive prema nFADP-u?

Prema čl. 5 tač. c FADP-a, osjetljivi lični podaci uključuju, između ostalog, podatke o zdravlju i biometrijske podatke koji jedinstveno identifikuju fizičku osobu.

Zakon ne navodi primjere iz fitnesa. Po našem tumačenju, ovo su podaci teretane i koučinga koji najvjerovatnije spadaju u osjetljivu kategoriju:

Srednji redovi su procjena. Jednostavan pristup je tretirati sve intake i podatke napretka kao da su osjetljivi: to malo košta i uklanja nagađanje.

Pravila nFADP-a koja su najvažnija za teretane i trenere

Sedam odredbi pokriva najveći dio onoga što fitnes biznis radi sa podacima članova svaki dan.

Izvor: FADP na Fedlexu (tekst na dan 1. septembra 2023.).

Jedna razlika od EU GDPR-a iznenadi ljude. Švicarski zakon ne zahtijeva pravni osnov za svaku aktivnost obrade. Obrada koja povrjeđuje nečiju ličnost treba opravdanje, poput pristanka, preovlađujućeg privatnog ili javnog interesa, ili zakona (čl. 31 FADP). Za osjetljive zdravstvene podatke u upitniku, izričit pristanak je čist put.

Procjena uticaja i evidencija obrade

Procjena uticaja na zaštitu podataka (DPIA) je potrebna kad obrada vjerovatno vodi visokom riziku, posebno uz obimnu obradu osjetljivih podataka (čl. 22 FADP). Mali studio sa nekoliko desetina intake obrazaca je u drugačijoj poziciji od lanca koji profiliše zdravstvene podatke hiljada članova, ali vrijedi to pitanje postaviti jednom i zapisati odgovor.

Evidencija aktivnosti obrade (čl. 12 FADP) ima izuzeće: preduzeća sa manje od 250 zaposlenih i fizička lica ne moraju je voditi, osim ako obrađuju osjetljive lične podatke u velikom obimu ili rade profilisanje visokog rizika (čl. 24 Uredbe o zaštiti podataka, DPO, na dan 15. septembra 2024.). Povrede sigurnosti podataka moraju biti dokumentovane, a dokumentacija sačuvana najmanje 2 godine od prijave (čl. 15 st. 4 DPO).

Kazne: ko plaća

Kazne prema nFADP-u ciljaju fizička lica, po pravilu ne kompaniju: do CHF 250.000 za namjerne povrede obaveza informisanja, pružanja pristupa i dužne pažnje, na primjer prosljeđivanje podataka u inostranstvo bez ispunjenih uslova ili korištenje obrađivača bez potrebnih garancija (čl. 60-61 FADP). Samo ako je u pitanju kazna od najviše CHF 50.000 i pronalaženje odgovorne osobe bi zahtijevalo nesrazmjeran trud, može se naložiti da plati preduzeće umjesto nje (čl. 64 FADP). U maloj teretani, odgovorna osoba je često vlasnik.

Slanje podataka članova u inostranstvo, uključujući SAD

Većina softvera za teretane, email i alata za plaćanje čuva podatke negdje, a čl. 16 FADP odlučuje da li je to dozvoljeno.

Prosljeđivanje u inostranstvo je dozvoljeno u zemlje koje Savezno vijeće navodi kao one sa adekvatnom zaštitom, ili sa odgovarajućim garancijama poput ugovornih klauzula. Za SAD, Swiss-U.S. Data Privacy Framework primjenjuje se od 15. septembra 2024.: podaci mogu ići certificiranim američkim kompanijama bez dodatnih garancija (Savezno vijeće, 14. august 2024.). Da li je neki provajder certificiran provjeravaš po provajderu, ne pretpostavljaš.

Tvoja politika privatnosti treba navesti zemlje u koje idu podaci članova. Provjeri ovo na svojoj vlastitoj stranici: stranica privatnosti kopirana iz šablona često ne govori ništa o email alatu u SAD-u ili aplikaciji za rezervacije hostovanoj negdje drugdje.

Česte greške u teretanama i PT studijima

Mnogi rizici su u svakodnevnim navikama, ne u hakovanju.

• Papirni PAR-Q obrasci u otvorenom folderu na recepciji, čitljivi svakome iza šaltera.
• Zdravstvene napomene u grupnom chatu između trenera, o koljenu ili lijekovima člana, na ličnom telefonu.
• Jedna dijeljena prijava za softver teretane, pa ne možeš reći ko je šta vidio.
• Intake obrasci koji pitaju sve, uključujući dijagnoze koje nemaju veze sa treningom.
• Pristanak skriven u opštim uslovima, što otežava argument da je pristanak za zdravstvene podatke bio izričit.
• Nema plana za zahtjev za pristup, pa 30 dana prođe dok neko pretražuje izvoze i tabele.
• Bivši treneri zadržavaju pristup profilima članova nakon odlaska.

Kontrolna lista nFADP-a za švicarsku teretanu ili personalnog trenera

Prođi kroz ove korake jednom, pa ih pregledaj svake godine ili kad mijenjaš softver.

1. Mapiraj svoje podatke. Popiši šta prikupljaš (kontakt, ugovor, plaćanja, prijave, zdravstveni intake, mjere, fotografije, biometrijski ulaz), gdje se čuva i ko ima pristup.
2. Izbaci ono što ti ne treba. Pitaj samo zdravstvena pitanja koja mijenjaju kako treniraš nekoga.
3. Nabavi izričit pristanak za zdravstvene podatke sa odvojenom, jasnom izjavom u intake obrascu, ne rečenicom u svojim uslovima.
4. Objavi politiku privatnosti (čl. 19): ko si, šta prikupljaš, zašto, ko to prima i u kojim zemljama.
5. Potpiši uslove obrade sa svakim provajderom koji dodiruje podatke članova (softver, email, plaćanja) i provjeri gdje čuvaju podatke.
6. Ograniči pristup u timu. Lične prijave, pristup zasnovan na ulozi gdje tvoj softver to dozvoljava, uklanjanje zadnjeg radnog dana.
7. Pripremi proces za povredu: ko odlučuje, kako procjenjuješ rizik, kako prijavljuješ FDPIC-u, gdje to dokumentuješ 2 godine.
8. Pripremi odgovor na zahtjev za pristup kako bi mogao odgovoriti u roku od 30 dana.
9. Provjeri DPIA i evidenciju obrade ako obrađuješ zdravstvene podatke u velikom obimu ili koristiš biometrijski ulaz.
10. Postavi rokove čuvanja za zdravstvene podatke bivših članova, i obriši ih kad svrha prestane.

Koraci 3, 4 i 7 su mjesto gdje se jedan sat sa advokatom isplati, jer formulacija je bitna.

Gdje se Trainera uklapa

Trainera je softver u kojem veliki dio ovih podataka živi, ali teretana ili trener ostaju kontrolor i odlučuju šta se prikuplja.

• Ti si kontrolor. Teretana (ili nezavisni trener) odlučuje koji podaci članova se prikupljaju i zašto, i odgovorna je za politiku privatnosti, pristanak i zahtjeve za pristup.
• Upitnici (intake obrasci) uključeni su na svakom planu za trenere, uključujući Free. Ti biraš pitanja, pa zdravstvena pitanja možeš ograničiti na ono što ti treba i dodati vlastitu izjavu o pristanku.
• Prijave se bilježe sa svojim izvorom (QR, ručno, turniket, registracija, offline). Aplikacija za članove pokazuje digitalnu člansku karticu sa QR kodom.
• Planovi treninga i ishrane, napredak i chat su na jednom mjestu umjesto raspoređeni po tabelama i ličnim telefonima, što olakšava odgovor na zahtjev za pristup.
• Šta ne tvrdimo: ovaj tekst ne daje nikakvu izjavu o lokaciji hostinga Trainere, certifikatima ili pravnoj usklađenosti. Kao i kod bilo kojeg provajdera, pregledaj uslove i informacije o privatnosti sam ili sa svojim advokatom prije nego premjestiš podatke članova.

Cijene sa trainera.fit/pricing za Švicarsku, oktobar 2026.; godišnje fakturisanje je 10 puta mjesečna cijena. Za to kako se podaci prijave prikupljaju, pogledaj softver za prijavu i kontrolu pristupa u teretani i QR prijava. Obrasci za leadove takođe nose lične podatke: upravljanje leadovima u teretani pokriva tu stranu pipelinea. Za ostatak švicarske slike, pročitaj softver za teretane u Švicarskoj i pravila ugovora o članarini u švicarskim teretanama.

Tvoj sažetak nFADP-a za tim na jednoj stranici

Odštampaj ovo i zakači gdje ga treneri i osoblje na recepciji vide.

• Zdravstveni i biometrijski podaci su osjetljivi: izričit pristanak, minimalna pitanja, ograničen pristup.
• Članovi mogu pitati šta čuvamo: odgovori u roku od 30 dana.
• Povreda sa vjerovatnim visokim rizikom: odmah reci vlasniku; prijava FDPIC-u što je prije moguće; dokumentuj to i čuvaj zapis 2 godine.
• Bez zdravstvenih detalja članova u privatnim chatovima ili na ličnim telefonima.
• Podaci u inostranstvu samo uz adekvatnu zaštitu ili garancije, i navedeni u politici privatnosti.

Želiš podatke članova, intake obrasce i prijave na jednom mjestu umjesto u folderima i chatovima? Pogledaj kako Trainera radi za teretane.