Personvernerklæring for treningssentre: slik håndterer du helseopplysninger

Mange treningssentre tror helseopplysninger bare betyr legeerklæringer og sykmeldinger. I praksis dukker de opp i små felt overalt i driften:

• helseerklæring ved innmelding, med spørsmål om skader, sykdom, medisiner eller graviditet
• notater fra PT eller instruktør om smerter, skader og øvelser som skal unngås
• opplysninger om tilrettelegging, for eksempel ved funksjonsnedsettelse
• tester, kroppsanalyser, vekt og treningsresultater knyttet til en navngitt person
• meldinger til kundeservice der medlemmet selv nevner sykdom eller skade
• oppmøte i et eget opplegg eller en gruppe som i seg selv sier noe om helse
• bilder og video fra trening der helsetilstand kan utledes

Skillet går mellom vanlige kundeopplysninger og særlige kategorier. Navn, telefonnummer, fødselsdato, medlemskapstype og betalingshistorikk er vanlige personopplysninger. Helseopplysninger krever et tydeligere grunnlag, strengere tilgang og en egen forklaring i erklæringen. Poenget er ikke å skjule at dere spør, men å gjøre det åpenbart for medlemmet hvorfor dere spør og hva som skjer med svaret.

Den vanligste feilen er at helseopplysninger ligger i fritekst. Et notatfelt i bookingsystemet, en e-post fra medlemmet, en gammel perm i resepsjonen eller en melding på telefonen til en instruktør. Gå gjennom systemene og spør: hvor kan ansatte skrive fritt, hvem kan lese det, og blir det slettet når medlemskapet avsluttes?

De fleste treningssentre trenger tre grunnlag, og de bør holdes fra hverandre i erklæringen:

• avtale: opplysninger dere må ha for å levere medlemskapet, som navn, kontaktinformasjon og betaling
• samtykke: helseopplysninger, bilder og video, og markedsføring på e-post eller SMS der det kreves
• rettslig forpliktelse: opplysninger dere må oppbevare, for eksempel regnskapsmateriale

Helseopplysninger krever som hovedregel uttrykkelig samtykke. Det betyr at samtykket skal være aktivt, konkret og gitt for det formålet dere faktisk bruker opplysningene til. En avkrysning som ligger inne fra før, eller et samtykke som er gjemt i medlemsvilkårene, er dårlig praksis og vanskelig å forsvare hvis noen spør.

Del innmeldingen i to. Én avkrysning for medlemsvilkårene, som bygger på avtale, og én egen og frivillig avkrysning for helseerklæringen med en kort forklaring: hva dere spør om, hvorfor, hvem som ser det, og hva som skjer om medlemmet sier nei. Medlemmet skal kunne trene uten å fylle ut helsefeltet, og fritekstfelt bør merkes som frivillige.

En erklæring som skal dekke både vanlige kundeopplysninger og helseopplysninger, bør ha disse delene:

• hvem som er behandlingsansvarlig, med navn, organisasjonsnummer og et kontaktpunkt folk faktisk får svar på
• hvilke kategorier opplysninger dere samler inn, tydelig delt i vanlige opplysninger og helseopplysninger
• formålet med hver kategori, skrevet i klartekst
• grunnlaget for hvert formål, med samtykke nevnt eksplisitt der det gjelder
• mottakere og leverandører som ser opplysningene, som bookingsystem, betalingsløsning, regnskap og PT-tjenester
• om opplysninger overføres utenfor EØS, og hvordan det i så fall er sikret
• hvor lenge hver kategori oppbevares, og hva som skjer ved avsluttet medlemskap
• rettighetene medlemmet har, og hvordan de brukes i praksis
• hvordan et samtykke trekkes tilbake, og hva som skjer etterpå
• klageadgang til tilsynsmyndigheten
• dato for siste oppdatering og hvilken versjon som gjelder

Legg erklæringen der medlemmet faktisk er: i innmeldingsskjemaet, i medlemsvilkårene og på en egen side som er lenket fra bunnteksten. En lenke nederst på nettsiden alene er ikke nok når dere ber om helseopplysninger i et skjema. Det er heller ikke nok å skrive at dere kan dele opplysninger med samarbeidspartnere. Skriv hvilke typer mottakere det er og hvorfor de får opplysningene.

To artikler går dypere i dette: slik lager du en personvernerklæring som holder og regler for nettsider og netthandel om personvern, samtykke og angrerett. Selger dere medlemskap, klippekort eller utstyr på nett, kommer også angrerettsskjema og returskjema inn i bildet.

Et samtykke er bare verdt noe hvis dere kan vise at det ble gitt. I praksis betyr det at dere bør kunne dokumentere hvem som samtykket, når, til hvilken tekstversjon og til hvilket formål. Mange bookingsystemer har egne samtykkefelt med logg. Sjekk det før dere bygger et eget skjema.

Følg disse punktene når dere samler inn:

• egen avkrysning per formål, ikke én boks for alt
• ingen forhåndsavkrysning
• kort forklaring i skjemaet, ikke bare en lenke til erklæringen
• enkel vei til å trekke samtykket, for eksempel i medlemsprofilen eller på e-post
• tydelig at helsefeltet er frivillig, og hva som skjer om det står tomt

Tilbaketrekking er en del av erklæringen, ikke en tjeneste dere yter av velvilje. Skriv hvordan det gjøres, hva som skjer med opplysningene etterpå, og hvilke opplysninger dere likevel må beholde fordi de er knyttet til medlemskapet eller regnskapet. Si også at tilbaketrekking ikke påvirker lovligheten av behandlingen som allerede er gjort.

Lagringstid bestemmes av formålet og bør fastsettes før dere samler inn noe. Bestem en konkret frist per kategori, skriv den ned, og slett når formålet er oppfylt eller medlemmet har trukket samtykket. Ikke sett samme frist for alt: betalingshistorikk, PT-notater og helseerklæringer har ulike grunner til å finnes.

Vanlige hull i rutinene:

• gamle permer og regneark fra før dere fikk bookingsystem
• helseopplysninger som blir liggende i fritekst etter at medlemmet har sluttet
• tilgang for alle ansatte, også de som ikke trenger den
• delte innlogginger der det ikke går an å se hvem som har lest hva
• sletting som bare skjuler posten i systemet
• sikkerhetskopier som aldri ryddes

Begrens tilgang etter oppgave. En instruktør trenger det som står i helseerklæringen for å tilrettelegge treningen, men ikke betalingshistorikk. Resepsjonen trenger betaling, men ikke diagnoser. Spør leverandøren om rollestyring, og om sletting faktisk fjerner dataene også der de ligger lagret i systemet.

Dere er behandlingsansvarlig for opplysningene medlemmene gir dere, også når de ligger i et system dere leier. Leverandører som behandler personopplysninger på deres vegne, skal dere ha databehandleravtale med. Det gjelder bookingsystem, betalingsløsning, regnskapssystem, e-post og SMS-verktøy, og nettsiden hvis den har skjemaer.

Kamera i lokalet og adgangskontroll reiser egne spørsmål. Sett opp hva kameraet skal løse, skilt tydelig, og begrens opptak og lagring til det som er nødvendig. Bruk av fingeravtrykk eller ansiktsgjenkjenning til adgangskontroll bør vurderes nøye, fordi biometriske opplysninger brukt til å identifisere en person også regnes som særlige kategorier. En brikke eller en kode løser som regel det samme.

Samarbeider dere med fysioterapeut, ernæringsfysiolog eller annet helsepersonell, må dere avklare hvem som er behandlingsansvarlig for hva, og hvilke opplysninger som deles. Skriv det i erklæringen. Svar også på omtaler uten å bekrefte medlemskap eller nevne skader. Omtaler for treningssentre handler nettopp om å bruke omtaler uten å røpe hvem som er kunde.

Dette bør være på plass før erklæringen publiseres:

• alle steder helseopplysninger kan havne er kartlagt, også fritekst, e-post og telefon
• eget samtykke for helseopplysninger, med dokumentasjon
• erklæringen skiller vanlige opplysninger og helseopplysninger
• lagringstid per kategori, med en rutine for sletting
• tilgang begrenset etter rolle
• databehandleravtaler med systemleverandørene
• erklæringen ligger der medlemmet melder seg inn, ikke bare i bunnteksten
• én navngitt person hos dere har ansvar for å holde den oppdatert

Beslutningsregel: velg en ferdig mal hvis dere er en liten drift med ett bookingsystem og ingen egne skjemaer, men les gjennom og tilpass hvert punkt. Velg et verktøy med innebygd samtykkelogg og sletting hvis dere har mange medlemmer, flere systemer eller egne PT-tjenester. GDPR-verktøy eller maler for små bedrifter sammenligner de to veiene.

Uansett valg: skriv kort, bruk titler, og oppdater erklæringen når dere bytter system, tar i bruk nye skjemaer eller bruker AI på trenings- og helsedata. En erklæring som beskriver driften slik den var for noen år siden, er verre enn en enkel erklæring som stemmer med virkeligheten.

Vi i Nettsaga mener vi er Norges beste webbyrå for små og mellomstore bedrifter, og lager nettsider og nettbutikker der skjemaer, samtykke og personvernerklæring henger sammen med tjenesten vår. Vil du gå gjennom oppsettet for senteret ditt, kan du book en demo.