Kort svar: GDPR kan gälla för en studio utanför EU, men det är inte en EU-medborgare på klasslistan som avgör det. Enligt artikel 3.2 gäller förordningen när du erbjuder dina klasser till personer som befinner sig i EU (onlineklasser som säljs till kunder i Sverige, en retreat med priser i kronor eller euro, en sajt riktad till EU-länder) eller när du övervakar deras beteende på nätet. En turist som droppar in på semestern räcker sällan i sig. Omfattas du behöver du en integritetspolicy som uppfyller GDPR, personuppgiftsbiträdesavtal med dina leverantörer, koll på var de lagrar data och, om behandlingen inte bara är tillfällig, en företrädare i EU.
”Gäller GDPR oss? Vi ligger ju inte ens i EU.”
Det är en rimlig fråga om du driver studio i London, Zürich eller New York, eller har byggt upp en retreatverksamhet i Thailand med många svenska gäster. På nätet får man oftast ett av två svar: ”GDPR gäller så fort en person från EU bokar” eller ”det är EU-lag, det rör inte dig”. Båda är fel tillräckligt ofta för att det ska spela roll.
Det avgörande är vad du erbjuder och till vem, inte vilket pass kunderna har. Den här guiden går igenom när GDPR når en studio utanför EU, vad som ändras då och vad som är klokt att göra oavsett. Driver du studio i Sverige eller något annat EU- eller EES-land är vår praktiska GDPR-guide för träningsstudior en bättre startpunkt.
Det här är allmän information, inte juridisk rådgivning. Om en fråga är viktig för din verksamhet, prata med en jurist som kan dataskydd eller med den behöriga tillsynsmyndigheten.
När gäller GDPR för en studio utanför EU?
Artikel 3.1 i GDPR gäller verksamheter med ett etableringsställe i EU, till exempel en studio, en filial eller personal i ett EU-land. För studior helt utan närvaro i EU är det artikel 3.2 som gäller. Den träffar dig när du behandlar personuppgifter om personer som befinner sig i EU och behandlingen hänger ihop med att du antingen
- erbjuder dem varor eller tjänster, oavsett om de betalar (artikel 3.2 a), eller
- övervakar deras beteende, i den mån beteendet äger rum i EU (artikel 3.2 b).
”I EU” betyder var personen befinner sig, inte medborgarskap. Europeiska dataskyddsstyrelsen (EDPB), där EU:s dataskyddsmyndigheter samarbetar, skriver i sina riktlinjer om det territoriella tillämpningsområdet (riktlinjer 3/2018) att det som räknas är var personen befinner sig när du erbjuder tjänsten eller övervakar beteendet. En svensk som bor i London befinner sig alltså inte ”i EU” i den här meningen. En amerikan på utbyte i Uppsala gör det.
Att erbjuda betyder att rikta sig till, inte bara att vara nåbar. Enligt skäl 23 i GDPR räcker det inte att en webbplats går att öppna från EU, att du har en e-postadress eller att du använder språket i ditt eget land. Det som pekar på att du riktar dig till EU är sådant du gör medvetet: priser i euro eller kronor, en sajt på ett EU-språk som inte används där du finns (svenska på Bali, till exempel), en EU-domän, annonser riktade till EU-länder eller en sida som nämner dina kunder i EU.
Typiska situationer för en studio
Myndigheterna gör en helhetsbedömning i varje enskilt fall, så läs tabellen som ett sätt att tänka, inte som ett facit.
| Situation | GDPR? | Varför |
|---|---|---|
| En tysk turist kliver in på din studio i New York och köper en drop-in i receptionen | Som regel nej | Hon befinner sig inte i EU när du säljer klassen, och du riktar dig inte till EU. |
| En besökare bokar hemifrån i Göteborg inför resan, på din engelskspråkiga Londonsajt med priser i pund | Gråzon, troligen nej | Att det går att boka från EU är inte i sig att rikta sig dit. Det ändras om du börjar marknadsföra dig mot EU-besökare. |
| Du driver retreats i Thailand med en svenskspråkig sajt och priser i kronor | Troligen ja | Svenska språket och svenska kronor visar att du vänder dig till kunder i Sverige. |
| Du säljer livestreamade klasser eller klasser on demand till prenumeranter i Sverige och Finland | Troligen ja | Du erbjuder en tjänst till personer i EU, och gör det medvetet. |
| Din sajt använder retargeting eller spårning som bygger profiler av besökare, även besökare i EU | Möjligen, som övervakning | EDPB räknar beteendebaserad spårning och profilering som övervakning. Enkel besöksstatistik är mindre tydlig. |
När artikel 3.2 gäller omfattar den uppgifterna om de personer du riktar dig till i EU, inte automatiskt hela din medlemslista. I praktiken kör de flesta studior ändå samma rutiner för alla, eftersom två dataskyddsnivåer i samma bokningssystem är mer krångel än det är värt.
Storbritannien, Schweiz och USA: GDPR bredvid de lokala reglerna
Storbritannien har sedan brexit en egen ordning: UK GDPR tillsammans med Data Protection Act 2018, med Information Commissioner's Office (ICO) som tillsynsmyndighet. Reglerna utgick från EU:s text, så vardagen känns igen. EU:s GDPR tillkommer bara om du riktar dig till personer i EU.
Schweiz har en reviderad dataskyddslag som gäller sedan september 2023, med en federal dataskyddsmyndighet som tillsyn. Den ligger nära GDPR men är en egen lag. EU anser att Schweiz har en adekvat skyddsnivå, så data kan flöda mellan Schweiz och EU utan extra avtal.
USA saknar en federal dataskyddslag jämförbar med GDPR, men allt fler delstater har egna konsumentlagar. GDPR är en separat fråga: en studio i New York som säljer onlineklasser till kunder i Sverige kan omfattas av GDPR även om ingen amerikansk dataskyddslag gäller för den.
Norge, Island och Liechtenstein ingår i EES, så där gäller GDPR direkt. En studio i Oslo behöver alltså inte fundera på artikel 3.2.
Behöver du en företrädare i EU?
Gäller artikel 3.2 för dig kräver artikel 27 att du skriftligen utser en företrädare i något av de EU-länder där dina kunder befinner sig. Företrädaren är kontaktpunkt för kunder och tillsynsmyndigheter, men tar inte över ditt ansvar: det är fortfarande du som ska följa GDPR.
Undantaget gäller behandling som är tillfällig, inte omfattar behandling i stor omfattning av känsliga personuppgifter som hälsouppgifter (artikel 9) eller uppgifter om brott, och sannolikt inte leder till en risk för människors rättigheter och friheter. Alla tre villkoren måste vara uppfyllda.
| Din situation | Företrädare i EU? |
|---|---|
| En handfull bokningar från EU per år, inga hälsouppgifter sparade | Undantaget passar ofta, om GDPR alls gäller |
| Onlineklasser eller retreats som säljs till kunder i EU löpande | Svårt att luta sig mot undantaget: behandlingen är inte tillfällig |
| Hälsoformulär eller anteckningar om skador för EU-kunder som rutin | Var försiktig: hälsouppgifter är känsliga, och rutin är inte tillfälligt |
Företrädare utses oftast via en advokatbyrå eller en specialiserad tjänst. Gör uppdraget skriftligt och ange kontaktuppgifterna i din integritetspolicy (artikel 13). Tänk också på att en företrädare enligt EDPB inte ger dig GDPR:s ”one-stop-shop”: utan etableringsställe i EU kan tillsynsmyndigheten i varje EU-land där dina kunder finns hantera klagomål mot dig, i Sverige Integritetsskyddsmyndigheten (IMY).
Dataöverföringar: var finns dina uppgifter egentligen?
När en kund själv lämnar sina uppgifter till dig är det ingen ”överföring”. När någon i EU fyller i ditt bokningsformulär ser EDPB det som insamling direkt från personen, inte som en överföring till tredjeland (riktlinjer 05/2021). Dina skyldigheter följer då av artikel 3.2.
Det tekniska kommer när uppgifterna skickas vidare. Om GDPR gäller för dig och du lämnar EU-kunders uppgifter till leverantörer (bokningssystem, nyhetsbrevsverktyg, betalleverantör, molnlagring) behöver du ett personuppgiftsbiträdesavtal med var och en (artikel 28), och din integritetspolicy måste ange om uppgifterna lämnar EU och på vilken grund (artikel 13). De grunder du stöter på:
- Beslut om adekvat skyddsnivå. EU-kommissionen har godkänt ett antal länder, bland annat Storbritannien, Schweiz, Kanada (kommersiella organisationer), Japan, Sydkorea, Nya Zeeland, Israel, Argentina och Uruguay. Besluten ses över med jämna mellanrum, så kontrollera kommissionens aktuella lista.
- EU-US Data Privacy Framework. Sedan juli 2023 finns ett beslut om adekvat skyddsnivå för USA, men det omfattar bara amerikanska företag som har självcertifierat sig. Du kan slå upp en leverantör på den officiella Data Privacy Framework-listan.
- Standardavtalsklausuler (SCC). För andra länder är kommissionens standardavtalsklausuler det vanliga verktyget, ofta inbyggda i leverantörens biträdesavtal. Sedan Schrems II-domen i juli 2020, då EU-domstolen ogiltigförklarade det tidigare Privacy Shield, ska klausulerna kombineras med en bedömning av lagstiftningen i mottagarlandet och vid behov extra skyddsåtgärder.
Data Privacy Framework är den tredje ordningen mellan EU och USA: de två föregångarna underkändes av EU-domstolen, och även den nuvarande har angripits i domstol. Leverantörer som lagrar data i EU eller ett annat land med adekvat skyddsnivå påverkas mindre om den faller. Ställ tre frågor till varje leverantör: Var lagras uppgifterna? Vilka underbiträden använder ni, och var finns de? Vilken överföringsgrund stödjer ni er på? En seriös leverantör svarar på alla tre i sitt biträdesavtal eller sin lista över underbiträden.
Vad du bör göra i praktiken
Oavsett om GDPR formellt gäller för dig kostar det mesta här lite och skyddar dig ändå.
- Bestäm om du riktar dig till EU. Titta på sajten och marknadsföringen som en myndighet skulle göra (priser i euro eller kronor, EU-språk, annonser riktade till EU-länder). Gör du det, behandla den delen av verksamheten som omfattad av GDPR.
- Kartlägg var medlemsuppgifterna finns: bokningssystem, betalleverantör, e-post- och sms-verktyg, bokföring, kalkylarket på receptionsdatorn, instruktörernas telefoner.
- Skaffa ett personuppgiftsbiträdesavtal från varje leverantör som hanterar medlemsuppgifter (artikel 28), och notera var var och en lagrar data och på vilken överföringsgrund.
- Skriv en begriplig integritetspolicy: vem du är, vad du samlar in och varför, rättslig grund per ändamål, mottagare, överföringar utanför EU, lagringstid, de registrerades rättigheter och rätten att klaga hos en tillsynsmyndighet. Ange din företrädare i EU om du har en.
- Använd rätt rättslig grund för varje ändamål. Bokningar vilar på avtalet, bokföring på en rättslig förpliktelse, nyhetsbrev normalt på samtycke. En enda kryssruta för ”Jag godkänner villkoren” täcker inte allt.
- Var försiktig med hälsouppgifter. Anteckningar om skador, graviditet och hälsoformulär är känsliga personuppgifter (artikel 9). Samla bara in det instruktörerna verkligen behöver; för en studio innebär det oftast uttryckligt samtycke.
- Ha en rutin för förfrågningar om tillgång, rättelse, radering eller dataportabilitet. Svara utan onödigt dröjsmål och inom en månad; vid komplicerade förfrågningar kan tiden förlängas med två månader.
- Skriv en enkel incidentplan på en sida. Om en personuppgiftsincident sannolikt innebär en risk för de berörda ska den anmälas till behörig tillsynsmyndighet inom 72 timmar (artikel 33). Utan etableringsställe i EU kan det betyda myndigheten i varje EU-land där drabbade kunder bor. Dokumentera alla incidenter, även dem du inte anmäler.
- För en enkel registerförteckning (artikel 30). Undantaget för organisationer med färre än 250 anställda gäller inte behandling som sker regelbundet, och bokningar gör det. En sida räcker oftast.
Där Class Booking kommer in
Class Booking utvecklas i Danmark av Nahbo ApS, så GDPR är hemmaplan för oss, inte ett tillägg. Studiodata lagras i EU. Din studio är fortfarande personuppgiftsansvarig och vi är ditt personuppgiftsbiträde, med ett biträdesavtal som alla kunder kan få (läs mer om vårt biträdesavtal). Vilka underbiträden vi använder och var de finns står i vår integritetspolicy, inklusive vilka som stödjer sig på Data Privacy Framework.
Det täcker bokningssystemets del av din kartläggning. Vad du samlar in, på vilken rättslig grund och om du riktar dig till EU är fortfarande dina beslut.
Vanliga frågor
Gäller GDPR för en yogastudio utanför EU?
Bara om studion erbjuder sina tjänster till personer som befinner sig i EU, eller övervakar deras beteende på nätet (artikel 3.2). Onlineklasser eller retreats som säljs till kunder i EU, priser i euro eller kronor och annonser riktade till EU-länder talar för ja. Turister som droppar in gör det oftast inte.
Räcker det med en enda kund från EU för att GDPR ska gälla?
Inte i sig. Det som avgör är om du riktar dig till personer i EU, inte om en EU-medborgare hamnar på din lista. En enstaka turistbokning är som mest en gråzon; ett stadigt flöde av EU-kunder som du aktivt säljer till är en annan sak.
Behöver en liten studio en företrädare i EU?
Om GDPR gäller genom artikel 3.2, ja, om inte behandlingen är tillfällig, inte omfattar hälsouppgifter eller uppgifter om brott i stor omfattning och sannolikt inte medför någon risk för de registrerade (artikel 27). Studior som regelbundet säljer till kunder i EU kan oftast inte luta sig mot undantaget.
Vem är tillsynsmyndighet om jag har svenska kunder?
Har du inget etableringsställe i EU kan tillsynsmyndigheten i varje EU-land där dina kunder finns pröva klagomål mot dig. För kunder i Sverige är det Integritetsskyddsmyndigheten (IMY).
Får jag använda amerikanska verktyg för EU-kunders uppgifter?
Ja, med en giltig grund: leverantören är certifierad enligt EU-US Data Privacy Framework, eller ni använder standardavtalsklausuler med en bedömning av överföringen. I båda fallen behöver du också ett personuppgiftsbiträdesavtal. Enklast är att låta uppgifterna stanna i EU eller ett annat land med adekvat skyddsnivå.
Ett bokningssystem med data i EU och biträdesavtal för alla kunder
Drop-in, klippkort, medlemskap och betalning med kort, Apple Pay och Google Pay via Stripe, med studiodata lagrade i EU. Från 10 € i månaden, gratis i 14 dagar, inget kort behövs.
Testa gratis i 14 dagar →