Kort svar: Et yoga- eller treningsstudio må følge GDPR uansett størrelse, også i Norge, der forordningen gjelder som norsk lov gjennom personopplysningsloven. I praksis betyr det et behandlingsgrunnlag for hver type opplysning, en personvernerklæring i et forståelig språk, en databehandleravtale med bookingsystemet og de andre leverandørene dine (art. 28), en kort protokoll over behandlingene (art. 30), lagringstider du selv har fastsatt og dokumentert, og en plan for å melde alvorlige avvik til Datatilsynet innen 72 timer (art. 33). Helseopplysninger om skader og graviditet er særlige kategorier (art. 9) og krever som regel uttrykkelig samtykke.
Ikke juridisk rådgivning. Dette er en praktisk gjennomgang for studioeiere. Har et konkret spørsmål reell betydning for virksomheten din, snakk med en advokat med personvern som fagfelt, eller les veiledningene fra Datatilsynet.
«Har jeg i det hele tatt lov til å skrive ned at hun har prolaps?»
Det er den typen spørsmål GDPR reiser i et studio. Ikke de store prinsippene, men hverdagen: helsespørsmålet ved påmelding, nyhetsbrevet, bildet fra lørdagens workshop og deltakerlisten vikaren trenger i kveld.
De fleste studioeiere vet at reglene finnes, men få kan si nøyaktig hva de krever. Denne guiden er den rolige mellomveien: hva et vanlig studio må gjøre, hva bookingsystemet tar seg av, og hva du selv må bestemme. Driver du studio utenfor EU og EØS, for eksempel i Storbritannia eller Sveits, les heller guiden vår om GDPR for studioer utenfor EU.
Gjelder GDPR også for et lite studio?
Ja. Det finnes ingen nedre grense: en selvstendig yogalærer med 30 elever i et bookingsystem behandler personopplysninger akkurat som en kjede med fem sentre. Forskjellen ligger i hvor mye dokumentasjon som trengs.
Du er behandlingsansvarlig: du bestemmer hvilke opplysninger som samles inn, og hvorfor. Bookingsystemet ditt er databehandler: det behandler opplysningene på dine vegne. Systemet tar seg av det tekniske (sikkerhet, sikkerhetskopier, tilgangsstyring), du tar de redaksjonelle beslutningene: hva du spør om, hvor lenge du lagrer det, og hvem som får tilgang.
Hvilke personopplysninger har et studio vanligvis?
| Opplysninger | Eksempler | Vanlig behandlingsgrunnlag |
|---|---|---|
| Kontaktopplysninger | Navn, e-post, telefon, ev. fødselsdato | Avtale (art. 6 nr. 1 bokstav b) |
| Booking og oppmøte | Bookinger, avbestillinger, no-shows, ventelister | Avtale |
| Medlemskap og betalinger | Klippekort, medlemskap, kjøp, fakturaer | Avtale; rettslig forpliktelse for regnskapet (bokstav c) |
| Helseopplysninger | Skader, operasjoner, graviditet, sykdom | Uttrykkelig samtykke (art. 9 nr. 2 bokstav a) |
| Markedsføring | Påmeldinger til nyhetsbrev | Samtykke (bokstav a) |
| Bilder og video | Bilder fra timer der folk kan gjenkjennes | Samtykke |
| Tekniske opplysninger | IP-adresser, innloggingstider, logger | Berettiget interesse, f.eks. sikkerhet (bokstav f) |
Fullstendige kortnumre skal aldri ligge hos deg; det er betalingsleverandørens jobb. Og tenk dataminimering: spør bare om fødselsdato hvis du faktisk bruker den (for eksempel til aldersbaserte priser eller barnetimer), og bruk den bare til det.
Behandlingsgrunnlag i praksis: du trenger ikke samtykke til alt
En vanlig misforståelse er at alt krever samtykke. Men et samtykke kan trekkes tilbake når som helst, og du kan ikke slutte å registrere en booking fordi noen angrer på en avkrysning. Samtykke er derfor feil grunnlag for alt du ikke klarer deg uten.
- Avtale: det du trenger for å levere det kunden har kjøpt: profil, bookinger, medlemskap og betalinger.
- Rettslig forpliktelse: det loven krever at du oppbevarer, for eksempel regnskapsmateriale.
- Berettiget interesse: for eksempel sikkerhetslogger og oppmøtestatistikk for å planlegge timeplanen. Krever en interesseavveining du kan forklare.
- Samtykke: det medlemmet kan si nei til uten å miste plassen sin: nyhetsbrev, bilder og helseopplysninger.
Skriv grunnlaget inn i protokollen din og forklar det i personvernerklæringen: hva du samler inn, hvorfor, hvem du deler det med, og hvor lenge du lagrer det.
Helseopplysninger: skader, graviditet og artikkel 9
Helseopplysninger er særlige kategorier av personopplysninger. Artikkel 9 tar utgangspunkt i et forbud mot å behandle dem, med mindre et unntak gjelder. For et studio er den praktiske veien uttrykkelig samtykke: et aktivt, separat ja, ikke en linje gjemt i kjøpsvilkårene.
- Spør bare om det instruktøren bruker. Et reformer-pilatesstudio kan trenge å vite om en nylig operasjon; en drop-in-time i vinyasa trenger ingen sykehistorie. Ett frivillig felt som «Er det noe instruktøren din bør vite?» holder ofte.
- Gjør feltet frivillig, og forklar kort hvorfor du spør.
- Begrens tilgangen til instruktørene som faktisk underviser personen.
- Hold det unna e-post, SMS og WhatsApp. Det som har havnet i en gruppechat, får du ikke slettet.
- Slett det når det ikke lenger er aktuelt. En ryggskade fra for tre år siden hører ikke hjemme i profilen.
To nyanser. Forteller et medlem instruktøren om en vond skulder rett før timen, er ingenting registrert; GDPR slår inn når noen skriver det inn i et system eller et register. Samtidig kan selve deltakerlisten til gravidyoga avsløre en graviditet, så behandle den med samme varsomhet som et helseskjema.
Databehandleravtaler: bookingsystem og andre leverandører (art. 28)
Når en leverandør behandler personopplysninger på dine vegne, trenger dere en databehandleravtale. De fleste programvareleverandører har den i vilkårene eller sender den på forespørsel. Din oppgave er å vite hvem som har medlemmenes opplysninger, og sjekke at avtalen finnes.
| Leverandør | Hva du bør gjøre |
|---|---|
| Bookingsystem | Be om databehandleravtalen og listen over underleverandører |
| Nyhetsbrev og SMS | Databehandleravtale; sjekk hvor opplysningene lagres |
| Regnskapsprogram | Databehandleravtale (som regel i vilkårene) |
| E-post og skylagring | Godta leverandørens databehandlervilkår hvis medlemsopplysninger ligger der |
| Betalingsleverandør | Ofte selv behandlingsansvarlig for deler av behandlingen (f.eks. svindel- og hvitvaskingskontroll); les vilkårene deres |
Avtalen skal blant annet sikre at leverandøren bare handler etter dine instrukser, beskytter opplysningene, bare bruker underleverandører med din godkjenning, hjelper deg ved avvik og henvendelser fra medlemmer, og sletter eller leverer tilbake opplysningene når dere avslutter samarbeidet. Class Booking tilbyr alle kunder en databehandleravtale; ta kontakt, så sender vi deg et signert eksemplar.
Protokollen (art. 30): én side som beskriver behandlingen din
Protokollen er et internt dokument: hva du behandler, hvorfor, om hvem, hvem som mottar det, om opplysninger sendes ut av EØS, hvor lenge du lagrer dem, og hvordan du beskytter dem. Unntaket for virksomheter med færre enn 250 ansatte gjelder bare hvis behandlingen er sporadisk og ikke omfatter særlige kategorier. Et medlemsregister som brukes hver dag, er ikke sporadisk, så regn med at kravet gjelder deg. Datatilsynet har veiledning om hvordan protokollen kan se ut.
| Formål | Opplysninger | Mottakere | Slettefrist (eksempel) |
|---|---|---|---|
| Booking og medlemskap | Kontaktopplysninger, bookinger, kjøp | Bookingsystem, betalingsleverandør | 24 måneder etter siste aktivitet |
| Trygg undervisning | Helseopplysninger (med samtykke) | Medlemmets egne instruktører | Når opplysningen ikke lenger er aktuell |
| Nyhetsbrev | E-post, tidspunkt for samtykke | Nyhetsbrevverktøy | Ved avmelding |
Hvor lenge kan du lagre opplysninger? Fastsett og dokumenter
GDPR sier at personopplysninger ikke skal lagres lenger enn nødvendig, men gir ingen faste frister for et medlemsregister. Du fastsetter en frist for hver type opplysning, skriver ned hvorfor og holder deg til den. Unntaket er regnskapsmateriale: oppbevar det så lenge bokføringsreglene krever, og spør regnskapsføreren din hvis du er usikker.
«De kommer kanskje tilbake» er ingen begrunnelse. «Mange tar et par års pause, så vi sletter profiler 24 måneder etter siste booking» er en begrunnelse du kan forsvare. Tallet er et eksempel, ikke et lovkrav. Sett av en fast dato i kalenderen, for eksempel hver januar, til å rydde.
Medlemmenes rettigheter: innsyn, sletting og dataportabilitet
Du skal svare uten ugrunnet opphold og senest innen én måned. Ved kompliserte henvendelser kan fristen forlenges med inntil to måneder, men det må du gi medlemmet beskjed om innen den første måneden. Som hovedregel er det gratis.
- Innsyn (art. 15): en kopi av opplysningene du har om personen: profil, bookinger, kjøp, meldinger og notater.
- Sletting (art. 17): ikke absolutt. Fakturaer du må oppbevare etter bokføringsreglene, kan du beholde, men ikke opplysninger du lagrer av bekvemmelighet eller for markedsføring.
- Dataportabilitet (art. 20): opplysningene medlemmet selv har gitt deg, i et strukturert, maskinlesbart format som CSV eller JSON.
- Protest mot direkte markedsføring (art. 21): absolutt. Sier et medlem stopp, slutter du.
Send svaret bare til e-postadressen som står i medlemmets profil, så utleverer du aldri opplysninger til noen som utgir seg for å være medlemmet.
Nyhetsbrev og samtykke
Markedsføring på e-post og SMS til privatpersoner reguleres i Norge av markedsføringsloven, i tillegg til GDPR. Hovedregelen er forhåndssamtykke. Det finnes et snevert unntak for eksisterende kunder: har du fått e-postadressen i forbindelse med et kjøp, kan du markedsføre egne, tilsvarende tjenester, hvis kunden fikk mulighet til å reservere seg da adressen ble samlet inn, og kan melde seg av i hver utsendelse.
GDPR legger til to krav: du må kunne dokumentere samtykket (når, hvordan og med hvilken ordlyd), og det skal være like enkelt å trekke tilbake som å gi. Altså ingen forhåndsavkryssede bokser, og en avmeldingslenke med ett klikk i hver utsendelse. Bookingbekreftelser, kvitteringer og avlysninger er service; «Vi savner deg, her er 20 % rabatt» er markedsføring, også når den sendes fra bookingsystemet.
Bilder og video i sosiale medier
Et bilde der deltakerne kan gjenkjennes, er en personopplysning, og et innlegg på Instagram publiserer det. Den trygge veien er et separat, frivillig samtykke som sier hvor bildene brukes, og som kan trekkes tilbake. Trekkes det tilbake, fjerner du bildet der du kan.
- Vær ekstra varsom med timer der bildet i seg selv sier noe om helsen: gravidyoga, opptreningstimer og timer for bestemte diagnoser.
- Barnetimer: spør foreldrene, og vis aldri navn sammen med bilder av barn.
- I praksis: si fra før du tar bilder, fotografer bakfra og la dem som ikke vil være med, gå ut av bildet.
Avvik: 72-timersregelen
Typiske avvik i et studio er hverdagslige: en e-post til alle medlemmer med synlige mottakere i kopi i stedet for blindkopi, en mistet telefon uten kode med deltakerlister, en hacket e-postkonto eller et regneark med helseopplysninger delt via en åpen lenke.
Etter artikkel 33 skal du melde avviket til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer etter at du ble kjent med det, med mindre det er usannsynlig at det medfører en risiko for medlemmene. De 72 timene løper også i helgen. Alle avvik skal dokumenteres internt, også de du ikke melder, og ved høy risiko skal de berørte medlemmene varsles (art. 34). Skjer avviket hos leverandøren din, skal leverandøren varsle deg uten ugrunnet opphold.
Skriv en avviksplan på en halv side: hvem som vurderer, hvem som melder til Datatilsynet, og en mal for meldingen til medlemmene. Da er beslutningene tatt i ro og mak, ikke midt i situasjonen.
Sjekkliste: GDPR i studioet ditt på 10 punkter
- Kartlegg opplysningene dine: hva du samler inn, hvorfor og hvor det ligger.
- Gi hvert formål et behandlingsgrunnlag: avtale, rettslig forpliktelse, berettiget interesse eller samtykke.
- Kutt ned på helsespørsmålene, og be om uttrykkelig samtykke til resten.
- Samle inn databehandleravtalene for bookingsystem, nyhetsbrev, SMS, regnskap og skytjenester.
- Skriv en personvernerklæring i et forståelig språk, og lenk til den i bookingflyten.
- Fyll ut protokollen (art. 30) på én side.
- Fastsett slettefrister per type opplysning, skriv ned hvorfor, og rydd én gang i året.
- Gi instruktørene egne innlogginger i bookingsystemet i stedet for regneark på e-post, og slå på tofaktorautentisering for e-post og sosiale medier.
- Samle inn samtykke til nyhetsbrev og bilder som separate, aktive valg, og ta vare på dokumentasjonen.
- Skriv en avviksplan og en fast rutine for innsyn, sletting og dataportabilitet.
Et systembytte er et godt tidspunkt å rydde i opplysningene. Guiden vår om å bytte system uten å miste data viser hva du bør eksportere, koble og kontrollere.
Der Class Booking hjelper
Class Booking er databehandleren din, så de redaksjonelle beslutningene er fortsatt dine. Men det tekniske grunnlaget er bygget inn:
- Opplysningene lagres på servere i EU.
- Full dataeksport (JSON eller CSV), så opplysningene dine aldri er låst inne.
- Medlemmer kan slette sin egen konto, og du kan slette et medlem permanent mens regnskapsopplysningene beholdes.
- Instruktører ser som standard bare deltakerne på sine egne timer.
- Revisjonslogg over administrative handlinger og tofaktorautentisering på våre egne admin-innlogginger til plattformen.
- En offentlig liste over underleverandører og hvor de holder til, i personvernerklæringen vår.
Ofte stilte spørsmål
Gjelder GDPR for et lite yogastudio?
Ja, uansett størrelse. For et lite studio er dokumentasjonen overkommelig: en personvernerklæring, en protokoll på én side, databehandleravtaler, nedskrevne slettefrister og en avviksplan.
Kan jeg spørre kunder om skader og graviditet?
Ja, men det er helseopplysninger etter artikkel 9. Spør bare om det instruktøren trenger, gjør feltet frivillig, be om uttrykkelig samtykke, begrens tilgangen og slett opplysningene når de ikke lenger er aktuelle.
Trenger jeg en databehandleravtale med bookingsystemet?
Ja. Bookingsystemet behandler medlemmenes opplysninger på dine vegne og er dermed databehandler etter artikkel 28. Sjekk at avtalen finnes, og at du kan se listen over underleverandører.
Hvor raskt må jeg svare på en innsynsbegjæring?
Uten ugrunnet opphold og senest innen én måned. Ved kompliserte henvendelser kan fristen forlenges med inntil to måneder hvis du gir beskjed innen den første måneden.
Når må jeg melde avvik til Datatilsynet?
Uten ugrunnet opphold og om mulig innen 72 timer etter at du ble kjent med avviket, med mindre det er usannsynlig at det medfører en risiko for de berørte. Dokumenter alle avvik internt.
Et bookingsystem som tar personvern på alvor
Lagring i EU, databehandleravtale for alle kunder, full dataeksport og instruktørtilgang bare til egne timer. Fra 10 euro i måneden, ingen bindingstid.
Prøv gratis i 14 dager →