GDPR utenfor EU: hva gjelder for norske studioer og studioer utenfor EØS?

«Vi er jo utenfor EU. Gjelder egentlig GDPR for oss?»

Spørsmålet dukker opp oftere enn man skulle tro, ikke minst fordi mange engelskspråklige guider om «GDPR for businesses outside the EU» havner høyt i søkeresultatene. For et studio i Norge er svaret enkelt: Ja, GDPR gjelder, akkurat som i Sverige og Danmark. Det er tredjelandsreglene som ikke gjelder deg på samme måte.

Denne guiden gjør to ting. Først forklarer den hva EØS-tilknytningen betyr i praksis når du har kunder fra andre land. Deretter ser den på studioer som virkelig ligger utenfor EU og EØS, for eksempel i London, Zürich eller på en retreat i Thailand med norske gjester. For det grunnleggende om GDPR i et studio, se vår praktiske GDPR-guide for treningsstudioer.

Dette er generell informasjon, ikke juridisk rådgivning. Er et spørsmål viktig for virksomheten din, snakk med en advokat med personvernkompetanse eller med Datatilsynet.

---

Norge og GDPR: de samme reglene som i EU

Personvernforordningen er tatt inn i EØS-avtalen og gjelder som norsk lov gjennom personopplysningsloven. Tilsynsmyndighet er Datatilsynet. For et studio med kunder fra flere land betyr det:

• Én regelbok for alle kunder. En svensk eller dansk kunde behandles etter de samme reglene som en kunde fra Bergen. Du trenger ikke egne rutiner for utenlandske kunder.
• Ingen representant i EU. Kravet i artikkel 27 gjelder virksomheter uten etablering i EU/EØS. Et studio etablert i Norge omfattes ikke.
• Fri flyt innenfor EØS. Data kan sendes mellom Norge og EU-landene uten ekstra overføringsgrunnlag, for eksempel når bookingsystemet ditt har servere i et EU-land.
• Kundene kan klage hjemme. En kunde kan klage til tilsynsmyndigheten i landet der hun bor eller jobber (artikkel 77). Myndighetene samarbeider på tvers av landegrensene, så det er ikke et eget regelverk du må følge.

Det som krever litt mer av deg når kundene kommer fra flere land, er det praktiske: personvernerklæringen bør være forståelig for alle du selger til, for eksempel også på engelsk hvis du selger nettkurs til kunder i andre land.

Når data skal ut av EØS

Det grenseoverskridende spørsmålet som faktisk angår et norsk studio, er leverandører utenfor EØS: et amerikansk nyhetsbrevverktøy, en skylagring, et regnskapsprogram. Da gjelder de samme overføringsreglene som i EU, med adekvansbeslutninger, EU–US Data Privacy Framework og standard personvernbestemmelser (SCC). EU-kommisjonens adekvansbeslutninger gjelder i Norge når de er tatt inn i EØS-avtalen; Datatilsynet har oversikt over status. Mer om dette lenger ned.

---

Når gjelder GDPR for et studio utenfor EØS?

For studioer i Storbritannia, Sveits, USA eller Asia er det artikkel 3 nr. 2 som avgjør. Den gjelder når studioet behandler personopplysninger om personer som befinner seg i EU/EØS, og behandlingen henger sammen med at studioet enten

• tilbyr dem varer eller tjenester, betalt eller gratis (bokstav a), eller
• overvåker atferden deres, så langt atferden skjer i EU/EØS (bokstav b).

Det handler om hvor personen er, ikke statsborgerskap. Personvernrådet (EDPB), der europeiske datatilsyn samarbeider, legger i retningslinjene om territorielt virkeområde (3/2018) vekt på hvor personen befinner seg når tilbudet gis eller atferden overvåkes. En nordmann som bor i London, er ikke «i EØS» i denne sammenhengen.

Å tilby betyr å rette seg mot, ikke bare å være tilgjengelig. Etter fortalepunkt 23 i GDPR er det ikke nok at nettsiden kan åpnes fra Europa, at du har en e-postadresse eller bruker språket i ditt eget land. Det som peker mot at du retter deg mot kunder her, er bevisste valg: priser i kroner eller euro, et nettsted på norsk eller et annet EØS-språk som ikke er vanlig der du holder til, et europeisk domene eller annonser rettet mot bestemte land.

Myndighetene gjør en helhetsvurdering i hver enkelt sak, så bruk tabellen som en måte å tenke på, ikke som en fasit. Studioer i Storbritannia har i tillegg sin egen UK GDPR og Data Protection Act 2018, og Sveits har en revidert personvernlov som gjelder fra september 2023. GDPR kommer i så fall i tillegg til de lokale reglene.

---

Representant i EU/EØS: hvem må ha det?

Et studio utenfor EØS som omfattes av artikkel 3 nr. 2, må etter artikkel 27 skriftlig utpeke en representant i et av landene der kundene befinner seg. Representanten er kontaktpunkt for kunder og tilsynsmyndigheter, men tar ikke over ansvaret: Det er fortsatt studioet som må følge reglene.

Unntaket gjelder behandling som er leilighetsvis, ikke omfatter behandling i stor skala av særlige kategorier personopplysninger som helseopplysninger (artikkel 9) eller opplysninger om straffbare forhold, og sannsynligvis ikke medfører en risiko for de registrertes rettigheter og friheter. Alle tre vilkårene må være oppfylt.

Representanter utpekes gjerne via et advokatfirma eller en spesialisert tjeneste, og kontaktopplysningene skal stå i personvernerklæringen (artikkel 13). Ifølge EDPB gir en representant heller ikke tilgang til GDPRs «one-stop-shop»: Uten etablering i EU/EØS kan tilsynsmyndigheten i hvert land der kundene er, behandle klager mot studioet.

---

Overføringer: hvor ligger dataene egentlig?

Når kunden selv gir deg opplysningene, er det ikke en «overføring». Fyller noen i Europa ut bookingskjemaet til et studio utenfor EØS, regner EDPB det som innsamling direkte fra personen, ikke som overføring til tredjeland (retningslinjer 05/2021). Pliktene følger da av artikkel 3 nr. 2.

Det tekniske kommer når dataene sendes videre, og det gjelder norske studioer like mye. Sender du kundedata til leverandører utenfor EØS (nyhetsbrev, betaling, skylagring), trenger du en databehandleravtale med hver av dem (artikkel 28), og personvernerklæringen må si om opplysningene forlater EØS og på hvilket grunnlag (artikkel 13). Grunnlagene du møter:

• Adekvansbeslutninger. EU-kommisjonen har godkjent en rekke land, blant dem Storbritannia, Sveits, Canada (kommersielle virksomheter), Japan, Sør-Korea, New Zealand, Israel, Argentina og Uruguay. Beslutningene vurderes jevnlig på nytt, så sjekk gjeldende liste.
• EU–US Data Privacy Framework. Siden juli 2023 finnes en adekvansbeslutning for USA, men den dekker bare amerikanske selskaper som har selvsertifisert seg. Du kan slå opp leverandøren på den offisielle Data Privacy Framework-listen, og Datatilsynet har informasjon om hvordan rammeverket gjelder i Norge.
• Standard personvernbestemmelser (SCC). For andre land er kommisjonens standardklausuler det vanlige verktøyet, ofte innebygd i leverandørens databehandleravtale. Etter Schrems II-dommen i juli 2020, der EU-domstolen kjente det tidligere Privacy Shield ugyldig, må klausulene kombineres med en vurdering av lovverket i mottakerlandet og eventuelt ekstra tiltak.

Data Privacy Framework er den tredje ordningen mellom EU og USA: De to forgjengerne ble underkjent av EU-domstolen, og også den nåværende er angrepet i retten. Leverandører som lagrer data i EØS eller et annet land med adekvansbeslutning, rammes mindre hvis den faller. Still hver leverandør tre spørsmål: Hvor lagres dataene? Hvilke underleverandører bruker dere, og hvor er de? Hvilket overføringsgrunnlag bygger dere på? En seriøs leverandør svarer på alle tre i databehandleravtalen eller listen over underleverandører.

---

Hva du bør gjøre i praksis

Listen gjelder både norske studioer med utenlandske kunder og studioer utenfor EØS som selger til kunder her.

1. Kartlegg hvor medlemsdataene ligger: bookingsystem, betaling, e-post- og SMS-verktøy, regnskap, regnearket på resepsjonsmaskinen, instruktørenes telefoner.
2. Inngå databehandleravtale med hver leverandør som behandler medlemsdata (artikkel 28), og noter hvor hver av dem lagrer data og på hvilket overføringsgrunnlag.
3. Skriv en forståelig personvernerklæring: hvem du er, hva du samler inn og hvorfor, behandlingsgrunnlag per formål, mottakere, overføringer ut av EØS, lagringstid, rettighetene til de registrerte og retten til å klage til en tilsynsmyndighet. Studioer utenfor EØS legger til representanten sin.
4. Bruk riktig behandlingsgrunnlag for hvert formål. Booking bygger på avtalen, regnskap på en rettslig forpliktelse, nyhetsbrev normalt på samtykke. Ett kryss ved «Jeg godtar vilkårene» dekker ikke alt.
5. Vær forsiktig med helseopplysninger. Notater om skader, graviditet og helseskjemaer er særlige kategorier (artikkel 9). Samle bare inn det instruktørene faktisk trenger; for et studio betyr det som regel uttrykkelig samtykke.
6. Ha en rutine for henvendelser om innsyn, retting, sletting eller dataportabilitet. Svar uten ugrunnet opphold og innen én måned; ved kompliserte henvendelser kan fristen forlenges med to måneder.
7. Lag en avviksplan på én side. Medfører et brudd på personopplysningssikkerheten sannsynligvis en risiko for de berørte, skal det meldes til tilsynsmyndigheten innen 72 timer (artikkel 33), for norske studioer Datatilsynet. Dokumenter alle avvik, også dem du ikke melder.
8. Før en enkel protokoll over behandlingsaktiviteter (artikkel 30). Unntaket for virksomheter med færre enn 250 ansatte gjelder ikke behandling som skjer jevnlig, og booking gjør det. Én side holder som regel.

---

Hvor Class Booking kommer inn

Class Booking utvikles i Danmark av Nahbo ApS, så GDPR er hjemmebane for oss, ikke et tillegg. Studiodata lagres i EU, altså innenfor EØS. Studioet ditt er behandlingsansvarlig og vi er databehandler, med en databehandleravtale som alle kunder kan få (les om databehandleravtalen). Hvilke underleverandører vi bruker og hvor de holder til, står i personvernerklæringen vår, inkludert hvilke som bygger på Data Privacy Framework.

Det dekker bookingsystemets del av kartet ditt. Hva du samler inn og på hvilket grunnlag, er fortsatt dine beslutninger.

---

Ofte stilte spørsmål

Gjelder GDPR i Norge selv om Norge ikke er med i EU?

Ja. Personvernforordningen er tatt inn i EØS-avtalen og gjelder som norsk lov gjennom personopplysningsloven. Datatilsynet er tilsynsmyndighet.

Trenger et norsk studio en representant i EU?

Nei. Kravet i artikkel 27 gjelder virksomheter som ikke er etablert i EU/EØS. Et studio i Norge er etablert i EØS.

Kan jeg ta imot kunder fra Sverige og Danmark uten ekstra papirarbeid?

Ja. De samme reglene gjelder for alle kundene, og data kan flyte fritt innenfor EØS. Det du må passe på, er leverandører som lagrer data utenfor EØS.

Gjelder GDPR for et studio utenfor EØS som har norske kunder?

Bare hvis studioet retter tilbudet sitt mot personer i EU/EØS eller overvåker atferden deres på nett (artikkel 3 nr. 2). Norsk nettside, priser i kroner og annonser rettet mot Norge peker mot ja. Turister som stikker innom, gjør det som regel ikke.

Kan jeg bruke amerikanske verktøy for kundedata?

Ja, med et gyldig grunnlag: Leverandøren er sertifisert under EU–US Data Privacy Framework, eller dere bruker standard personvernbestemmelser med en vurdering av overføringen. I begge tilfeller trenger du også en databehandleravtale. Enklest er å la dataene bli i EØS eller et land med adekvansbeslutning.