Kort svar: En yoga- eller träningsstudio måste följa GDPR oavsett storlek. I praktiken innebär det en rättslig grund för varje typ av uppgift, en integritetspolicy på begriplig svenska, ett personuppgiftsbiträdesavtal med ditt bokningssystem och dina andra leverantörer (art. 28), en kort registerförteckning (art. 30), lagringstider som du själv har bestämt och dokumenterat, och en plan för att anmäla allvarliga personuppgiftsincidenter till IMY inom 72 timmar (art. 33). Hälsouppgifter om skador och graviditet är känsliga personuppgifter (art. 9) och kräver i regel uttryckligt samtycke.
Inte juridisk rådgivning. Det här är en praktisk genomgång för studioägare. Om en konkret fråga verkligen spelar roll för din verksamhet, prata med en jurist som är specialiserad på dataskydd eller läs IMY:s vägledningar.
”Får jag ens skriva upp att hon har diskbråck?”
Det är den sortens frågor GDPR väcker i en studio. Inte de stora principerna, utan vardagen: hälsofrågan vid anmälan, nyhetsbrevet, bilden från lördagens workshop och deltagarlistan som vikarien behöver i kväll.
De flesta studioägare vet att reglerna finns, men få kan säga exakt vad de kräver. Den här guiden är den lugna mellanvägen: vad en vanlig studio behöver göra, vad bokningssystemet sköter och vad du själv måste bestämma. Driver du din studio utanför EU, till exempel i Storbritannien eller Schweiz, läs i stället vår guide om GDPR för studior utanför EU.
Gäller GDPR även för en liten studio?
Ja. Det finns ingen nedre gräns: en egenföretagande yogalärare med 30 elever i ett bokningssystem behandlar personuppgifter precis som en kedja med fem gym. Skillnaden ligger i hur mycket dokumentation som krävs.
Du är personuppgiftsansvarig: du bestämmer vilka uppgifter som samlas in och varför. Ditt bokningssystem är personuppgiftsbiträde: det behandlar uppgifterna för din räkning. Systemet står för det tekniska (säkerhet, backup, behörigheter), du för de redaktionella besluten: vad du frågar om, hur länge du sparar det och vem som får tillgång.
Vilka personuppgifter har en studio vanligtvis?
| Uppgifter | Exempel | Vanlig rättslig grund |
|---|---|---|
| Kontaktuppgifter | Namn, e-post, telefon, ev. födelsedatum | Avtal (art. 6.1 b) |
| Bokningar och närvaro | Bokningar, avbokningar, no-shows, väntelistor | Avtal |
| Medlemskap och betalningar | Klippkort, medlemskap, köp, fakturor | Avtal; rättslig förpliktelse för bokföringen (art. 6.1 c) |
| Hälsouppgifter | Skador, operationer, graviditet, sjukdomar | Uttryckligt samtycke (art. 9.2 a) |
| Marknadsföring | Anmälningar till nyhetsbrev | Samtycke (art. 6.1 a) |
| Foton och video | Bilder från pass där personer går att känna igen | Samtycke |
| Tekniska uppgifter | IP-adresser, inloggningstider, loggar | Berättigat intresse, t.ex. säkerhet (art. 6.1 f) |
Fullständiga kortnummer ska aldrig ligga hos dig, det är betalleverantörens jobb. Och tänk på uppgiftsminimering: fråga bara efter födelsedatum om du faktiskt använder det (till exempel för åldersbaserade priser eller barnpass), och använd det bara till det.
Rättslig grund i praktiken: du behöver inte samtycke till allt
Ett vanligt missförstånd är att allt kräver samtycke. Men ett samtycke kan återkallas när som helst, och du kan inte sluta registrera en bokning för att någon ångrar en kryssruta. Samtycke är därför fel grund för allt du inte klarar dig utan.
- Avtal: det du behöver för att leverera det kunden har köpt: profil, bokningar, medlemskap och betalningar.
- Rättslig förpliktelse: det lagen kräver att du sparar, till exempel räkenskapsinformation.
- Berättigat intresse: till exempel säkerhetsloggar och närvarostatistik för att planera schemat. Kräver en intresseavvägning som du kan förklara.
- Samtycke: sådant medlemmen kan säga nej till utan att förlora sin plats: nyhetsbrev, foton och hälsouppgifter.
Skriv in den rättsliga grunden i din registerförteckning och förklara den i din integritetspolicy: vad du samlar in, varför, vem du delar det med och hur länge du sparar det.
Hälsouppgifter: skador, graviditet och artikel 9
Hälsouppgifter är känsliga personuppgifter. Artikel 9 utgår från ett förbud mot att behandla dem, om inte ett undantag gäller. För en studio är den praktiska vägen uttryckligt samtycke: ett aktivt, separat ja, inte en rad gömd i köpvillkoren.
- Fråga bara om det instruktören använder. En reformerpilatesstudio kan behöva veta om en nyligen gjord operation; ett drop-in-pass i vinyasa behöver ingen sjukdomshistorik. Ett frivilligt fält som ”Finns det något din instruktör bör veta?” räcker ofta.
- Gör fältet frivilligt och förklara kort varför du frågar.
- Begränsa åtkomsten till de instruktörer som faktiskt undervisar personen.
- Håll det borta från mejl, sms och WhatsApp. Det som har hamnat i en gruppchatt kan du inte radera.
- Radera det när det inte längre är aktuellt. En ryggskada från tre år sedan hör inte hemma i profilen.
Två nyanser. Berättar en medlem om en öm axel för instruktören precis före passet har inget registrerats; GDPR blir aktuellt när någon skriver in det i ett system eller register. Däremot kan själva deltagarlistan till gravidyoga avslöja en graviditet, så hantera den med samma försiktighet som en hälsodeklaration.
Personuppgiftsbiträdesavtal: bokningssystem och andra leverantörer (art. 28)
När en leverantör behandlar personuppgifter för din räkning behöver ni ett personuppgiftsbiträdesavtal (PUB-avtal). De flesta mjukvaruleverantörer har det i sina villkor eller skickar det på begäran. Din uppgift är att veta vem som har dina medlemmars uppgifter och kontrollera att avtalet finns.
| Leverantör | Vad du ska göra |
|---|---|
| Bokningssystem | Be om PUB-avtalet och listan över underbiträden |
| Nyhetsbrev och sms | PUB-avtal; kontrollera var uppgifterna lagras |
| Bokföringsprogram | PUB-avtal (oftast i villkoren) |
| E-post och molnlagring | Godkänn leverantörens biträdesvillkor om medlemsuppgifter ligger där |
| Betalleverantör | Ofta själv personuppgiftsansvarig för delar av behandlingen (t.ex. bedrägeri- och penningtvättskontroller); läs deras villkor |
Avtalet ska bland annat säkerställa att leverantören bara agerar på dina instruktioner, skyddar uppgifterna, bara anlitar underbiträden med ditt godkännande, hjälper dig vid incidenter och förfrågningar från medlemmar, och raderar eller lämnar tillbaka uppgifterna när ni slutar samarbeta. Class Booking erbjuder alla kunder ett personuppgiftsbiträdesavtal; hör av dig så skickar vi ett undertecknat exemplar.
Registerförteckningen (art. 30): en sida som beskriver din behandling
Förteckningen är ett internt dokument: vad du behandlar, varför, om vem, vem som tar emot det, om uppgifter lämnar EU, hur länge du sparar dem och hur du skyddar dem. Undantaget för verksamheter med färre än 250 anställda gäller bara om behandlingen är tillfällig och inte omfattar känsliga uppgifter. Ett medlemsregister som används varje dag är inte tillfälligt, så räkna med att kravet gäller dig. IMY har vägledning om hur förteckningen kan se ut.
| Ändamål | Uppgifter | Mottagare | Gallringsfrist (exempel) |
|---|---|---|---|
| Bokningar och medlemskap | Kontaktuppgifter, bokningar, köp | Bokningssystem, betalleverantör | 24 månader efter senaste aktivitet |
| Säker undervisning | Hälsouppgifter (med samtycke) | Medlemmens egna instruktörer | När uppgiften inte längre är aktuell |
| Nyhetsbrev | E-post, tidpunkt för samtycke | Nyhetsbrevsverktyg | Vid avregistrering |
Hur länge får du spara uppgifter? Bestäm och dokumentera
GDPR säger att personuppgifter inte får sparas längre än nödvändigt, men anger inga fasta tider för ett medlemsregister. Du bestämmer en tid för varje typ av uppgift, skriver ner varför och håller dig till den. Undantaget är räkenskapsinformation: spara den så länge bokföringslagen kräver, och fråga din redovisningskonsult om du är osäker.
”De kanske kommer tillbaka” är inget skäl. ”Många tar ett eller två års paus, så vi raderar profiler 24 månader efter senaste bokningen” är ett skäl du kan försvara. Siffran är ett exempel, inte ett lagkrav. Sätt ett fast datum i kalendern, till exempel varje januari, då du rensar.
Medlemmarnas rättigheter: registerutdrag, radering och dataportabilitet
Du ska svara utan onödigt dröjsmål och senast inom en månad. Vid komplicerade begäranden kan tiden förlängas med upp till två månader, men det måste du meddela medlemmen inom den första månaden. Som huvudregel är det gratis.
- Tillgång (art. 15): ett registerutdrag med de uppgifter du har om personen: profil, bokningar, köp, meddelanden och anteckningar.
- Radering (art. 17): inte absolut. Fakturor som bokföringslagen kräver att du sparar får du behålla, men inte uppgifter som sparas av bekvämlighet eller för marknadsföring.
- Dataportabilitet (art. 20): de uppgifter medlemmen själv har lämnat, i ett strukturerat, maskinläsbart format som CSV eller JSON.
- Invändning mot direktmarknadsföring (art. 21): absolut. Säger en medlem stopp, slutar du.
Skicka svaret bara till den e-postadress som står i medlemmens profil, så lämnar du aldrig ut uppgifter till någon som utger sig för att vara medlemmen.
Nyhetsbrev och samtycke
Marknadsföring via e-post och sms till privatpersoner regleras i Sverige av marknadsföringslagen, utöver GDPR. Huvudregeln är förhandssamtycke. Det finns ett snävt undantag för befintliga kunder: har du fått e-postadressen i samband med ett köp får du marknadsföra egna, liknande tjänster, om kunden kunde tacka nej när adressen samlades in och kan avregistrera sig i varje utskick.
GDPR lägger till två krav: du måste kunna visa samtycket (när, hur och med vilken formulering), och det ska vara lika lätt att återkalla som att ge. Alltså inga förkryssade rutor och en avregistreringslänk med ett klick i varje utskick. Bokningsbekräftelser, kvitton och inställda pass är service; ”Vi saknar dig, här är 20 % rabatt” är marknadsföring, även när det skickas från bokningssystemet.
Foton och video i sociala medier
En bild där deltagarna går att känna igen är en personuppgift, och ett inlägg på Instagram publicerar den. Den säkra vägen är ett separat, frivilligt samtycke som säger var bilderna används och som kan återkallas. Återkallas det tar du ner bilden där du kan.
- Var extra försiktig med pass där bilden i sig säger något om hälsan: gravidyoga, rehabpass och pass för vissa diagnoser.
- Barngrupper: fråga föräldrarna och visa aldrig namn bredvid bilder på barn.
- I praktiken: säg till innan du fotograferar, ta bilder bakifrån och låt den som inte vill vara med kliva ut ur bild.
Personuppgiftsincidenter: 72-timmarsregeln
Typiska incidenter i en studio är vardagliga: ett mejl till alla medlemmar med synliga mottagare i kopia i stället för dold kopia, en borttappad telefon utan kod med deltagarlistor, ett hackat e-postkonto eller ett kalkylark med hälsouppgifter som delats via en öppen länk.
Enligt artikel 33 ska du anmäla incidenten till IMY utan onödigt dröjsmål och om möjligt inom 72 timmar från att du fick kännedom om den, om det inte är osannolikt att den medför en risk för medlemmarna. De 72 timmarna löper även över helgen. Alla incidenter ska dokumenteras internt, även de du inte anmäler, och vid hög risk ska de berörda medlemmarna informeras (art. 34). Inträffar incidenten hos din leverantör ska den meddela dig utan onödigt dröjsmål.
Skriv en incidentplan på en halv sida: vem som bedömer, vem som anmäler till IMY och en mall för meddelandet till medlemmarna. Då är besluten fattade i lugn och ro och inte mitt i situationen.
Checklista: GDPR i din studio i 10 punkter
- Kartlägg dina uppgifter: vad du samlar in, varför och var det finns.
- Ge varje ändamål en rättslig grund: avtal, rättslig förpliktelse, berättigat intresse eller samtycke.
- Skär ner på hälsofrågorna och be om uttryckligt samtycke till resten.
- Samla in PUB-avtalen för bokningssystem, nyhetsbrev, sms, bokföring och molntjänster.
- Skriv en integritetspolicy på begriplig svenska och länka till den i bokningsflödet.
- Fyll i registerförteckningen (art. 30) på en sida.
- Bestäm gallringsfrister per typ av uppgift, skriv ner varför och rensa en gång om året.
- Ge instruktörer egna inloggningar i bokningssystemet i stället för kalkylark via mejl, och slå på tvåfaktorsautentisering för e-post och sociala medier.
- Samla in samtycke till nyhetsbrev och foton som separata, aktiva val och spara beviset.
- Skriv en incidentplan och en fast rutin för registerutdrag, radering och dataportabilitet.
Ett systembyte är ett bra tillfälle att städa i uppgifterna. Vår guide om att byta system utan att förlora data visar vad du ska exportera, matcha och kontrollera.
Där Class Booking hjälper till
Class Booking är ditt personuppgiftsbiträde, så de redaktionella besluten är fortfarande dina. Men den tekniska grunden är inbyggd:
- Uppgifterna lagras på servrar inom EU.
- Full dataexport (JSON eller CSV), så att dina uppgifter aldrig är inlåsta.
- Medlemmar kan radera sitt eget konto, och du kan radera en medlem permanent medan bokföringsuppgifterna sparas.
- Instruktörer ser som standard bara deltagarna på sina egna pass.
- Granskningslogg över administrativa åtgärder och tvåfaktorsautentisering på våra egna admininloggningar till plattformen.
- En offentlig lista över underbiträden och var de finns i vår integritetspolicy.
Vanliga frågor
Gäller GDPR för en liten yogastudio?
Ja, oavsett storlek. För en liten studio är dokumentationen överskådlig: en integritetspolicy, en registerförteckning på en sida, PUB-avtal, nedskrivna gallringsfrister och en incidentplan.
Får jag fråga kunder om skador och graviditet?
Ja, men det är känsliga personuppgifter enligt artikel 9. Fråga bara om det instruktören behöver, gör fältet frivilligt, be om uttryckligt samtycke, begränsa åtkomsten och radera uppgifterna när de inte längre är aktuella.
Behöver jag ett PUB-avtal med mitt bokningssystem?
Ja. Bokningssystemet behandlar dina medlemmars uppgifter för din räkning och är därmed personuppgiftsbiträde enligt artikel 28. Kontrollera att avtalet finns och att du kan se listan över underbiträden.
Hur snabbt måste jag svara på en begäran om registerutdrag?
Utan onödigt dröjsmål och senast inom en månad. Vid komplicerade begäranden kan tiden förlängas med upp till två månader om du meddelar medlemmen inom den första månaden.
När måste jag anmäla en personuppgiftsincident till IMY?
Utan onödigt dröjsmål och om möjligt inom 72 timmar från att du fick kännedom om den, om det inte är osannolikt att den medför en risk för de berörda. Dokumentera alla incidenter internt.
Ett bokningssystem som tar dataskydd på allvar
Lagring inom EU, PUB-avtal för alla kunder, full dataexport och instruktörsåtkomst bara till egna pass. Från 10 euro i månaden, ingen bindningstid.
Testa gratis i 14 dagar →