Pålegg og irettesettelse til SATS

Datatilsynet har vedtatt pålegg og irettesettelse til SATS i forbindelse med kravet deres om bilde av medlemmene ved innsjekking.

- Vi mottok i 2025 en rekke klager fra både norske og finske medlemmer i SATS. Medlemmene reagerte på at de måtte ha medlemsbilde for å kunne bruke treningssenteret, sier juridisk rådgiver Filip Bach. - Vi har derfor behandlet saken som en grenseoverskridende sak, der det norske Datatilsynet har vært ledende tilsynsmyndighet. Datatilsynsmyndighetene i Sverige, Finland og Danmark har vært berørte tilsynsmyndigheter, og har derfor fått mulighet til å komme med innspill.

Det var i perioden mai til november 2025 at Datatilsynet mottok 26 klager på SATS sitt krav om at medlemmer må ha medlemsbilde. Bildene ble lagret i medlemssystemet og brukt av personalet til å bekrefte identiteten til medlemmer som sjekket inn på treningssentrene.

Feil informasjon om behandlingsgrunnlag

SATS har opplyst medlemmene om at bildebehandlingen skjer for å oppfylle medlemsavtalen, med hjemmel i personvernforordningen artikkel 6 nr. 1 bokstav b. Datatilsynet mener dette er feil behandlingsgrunnlag.

Hovedformålet med en treningsavtale er å gi medlemmet adgang til treningssentre. Bildebehandlingen kan ikke anses som nødvendig for å oppfylle avtalen, siden adgang gis ved skanning av medlemskort og bildet ikke kontrolleres ved hvert besøk.

Riktig behandlingsgrunnlag er derfor «berettiget interesse» (artikkel 6 nr. 1 bokstav f).

Medlemmene har rett til å protestere

Når behandlingen av personopplysninger hviler på berettiget interesse, har medlemmene rett til å protestere mot bildebehandlingen etter personvernforordningen artikkel 21. SATS har kommunisert til medlemmene at de ikke kan velge bort lagringen av bildet, og at unntak kun gjøres i spesielle tilfeller, slik som for politi eller personer med beskyttet identitet.

Datatilsynet mener denne informasjonen gir medlemmene inntrykk av at de har snevrere mulighet til å protestere enn det som følger av personvernforordningen. Flere klagere oppgir at de anser behandlingen som obligatorisk, eller at de er usikre på hva protestordningen innebærer.

SATS har også avvist protester fra kundene uten å påvise at det er tvingende berettigede grunner for å fortsette behandlingen, slik personvernforordningen krever. Dette er et brudd på artikkel 21 nr. 1.

Pålegg og irettesettelse

SATS pålegges å gi medlemmene korrekt informasjon om behandlingsgrunnlaget og de berettigede interessene. SATS må også gjøre medlemmene oppmerksom på retten til å protestere, og presentere dette på en klar måte atskilt fra annen informasjon. Videre må SATS besvare alle ubesvarte protester og enten stanse behandlingen eller påvise at det foreligger tvingende berettigede grunner for å fortsette.

SATS irettesettes for brudd på personvernforordningen artikkel 13 nr. 1 (feil informasjon om behandlingsgrunnlag), artikkel 13 nr. 2 (utilstrekkelig informasjon om retten til å protestere) og artikkel 21 nr. 1 (manglende påvisning av tvingende berettigede grunner i avslag på protester).

Vedtaket er fattet etter samarbeids- og konsistensmekanismen i personvernforordningen.

Fristen for å oppfylle påleggene er 11. september 2026.

Last ned

Vedtak om pålegg og irettesettelse til SATS (pdf)