SATS-saken viser hvorfor personvern må bygges inn i idrettsteknologien

12 October 2026

Da Datatilsynet i august offentliggjorde pålegg og irettesettelse til SATS, handlet saken om fotografier brukt til medlemskontroll. Men avgjørelsen illustrerer en større utfordring for idrettsteknologibransjen: Et digitalt system må ikke bare kunne samle inn og bruke personopplysninger. Virksomheten som benytter systemet, må også kunne dokumentere hvorfor opplysningene behandles, informere brukerne og håndtere innsigelser. For leverandører av adgangskontroll, medlemsadministrasjon og treningsapper kan slike krav få direkte betydning for hvordan produktene utvikles.

Da Datatilsynet i august offentliggjorde pålegg og irettesettelse til SATS, handlet saken om fotografier brukt til medlemskontroll. Men avgjørelsen illustrerer en større utfordring for idrettsteknologibransjen: Et digitalt system må ikke bare kunne samle inn og bruke personopplysninger. Virksomheten som benytter systemet, må også kunne dokumentere hvorfor opplysningene behandles, informere brukerne og håndtere innsigelser. For leverandører av adgangskontroll, medlemsadministrasjon og treningsapper kan slike krav få direkte betydning for hvordan produktene utvikles. Av Håvard K. Bjor, styreleder i Norwegian Sport Tech. Nyhetsanalyse, 12. oktober 2026. <h2>Et medlemsbilde ble en GDPR-sak</h2> <a href="https://www.datatilsynet.no/regelverk-og-verktoy/lover-og-regler/avgjorelser-fra-datatilsynet/2026/palegg-og-irettesettelse-til-sats/">Datatilsynets omtale</a> av saken kom i august. Selve <a href="https://www.datatilsynet.no/contentassets/eae270ba69d844a3bf87f6a7edbfb4de/vedtak-om-palegg-og-irettesettelse---sats-asa.pdf">vedtaket</a> er datert 15. juli 2026; <a href="https://rett24.no/articles/datatilsynet-irettesetter-sats-for-krav-om-bilde-av-kundene">Rett24/NTB omtalte det 14. august</a>. Dette er altså ikke en ny tilsynsavgjørelse. Oktober-spørsmålet er hva den lærer produktutviklere og kjøpere av idrettsteknologi. Bakgrunnen var 26 klager mottatt fra mai til november 2025. Norge var ledende tilsynsmyndighet i den grenseoverskridende saken; Sverige, Danmark og Finland var berørte myndigheter. Irettesettelsen gjaldt artikkel 13 nr. 1, om feil informasjon om behandlingsgrunnlaget; artikkel 13 nr. 2, om utilstrekkelig informasjon om protestretten; og artikkel 21 nr. 1, om avslag på protester uten påviste tvingende berettigede grunner. SATS fikk pålegg og irettesettelse, ikke bot i denne avgjørelsen. Fristen for oppfølging var 11. september. Vedtaket beskriver også SATS’ reviderte rutiner for individuell vurdering av protester og anerkjenner selskapets vilje til korrigerende tiltak. Det dokumenterer ikke at et bestemt IT-system eller en programvareleverandør forårsaket bruddene. Tilsynet undersøkte heller ikke om bildebehandlingen oppfylte sikkerhetskravene. <h2>Datatilsynet forbød ikke medlemsbilder</h2> SATS argumenterte for at fotografiet var nødvendig for å oppfylle medlemsavtalen: Dersom andre kunne bruke medlemskapet, ville selskapet levere en annen tjeneste enn avtalt. Tilsynet skilte mellom avtalens kjernetjeneste og ekstra identitetskontroll. Adgang ble gitt med medlemskort eller QR-kode, og bildene ble ikke kontrollert ved hvert besøk. Bildebehandlingen var derfor ikke nødvendig for kontraktsoppfyllelse etter artikkel 6 nr. 1 bokstav b. Derimot anerkjente tilsynet SATS’ interesser i å forebygge misbruk og ivareta sikkerheten. Berettiget interesse etter artikkel 6 nr. 1 bokstav f var riktig grunnlag å vurdere. Det krever en legitim interesse, nødvendig behandling og en avveining mot medlemmenes rettigheter. Dette er ikke et forbud mot medlemsbilder, og samtykke er ikke alltid nødvendig. Vedtaket konkluderer uttrykkelig ikke med om SATS faktisk oppfyller alle vilkårene for berettiget interesse. Virksomheten må dokumentere vurderingen og oppfylle de øvrige pliktene. <h2>En brukerrettighet må fungere i praksis</h2> <a href="https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng">GDPR artikkel 21 nr. 1</a> gir rett til å protestere, av grunner knyttet til den enkeltes særlige situasjon, mot behandling basert på blant annet berettiget interesse. Virksomheten skal da ikke fortsette behandlingen med mindre den påviser tvingende berettigede grunner som går foran personens interesser, rettigheter og friheter, eller behandlingen gjelder å fastsette, gjøre gjeldende eller forsvare rettskrav. Protestretten er dermed ikke en ubetinget reservasjonsknapp, men heller ikke noe som kan avvises med et standardsvar. Den generelle interesseavveiningen erstatter ikke vurderingen av den konkrete protesten. Informasjon om retten skal dessuten gis klart og atskilt fra annen informasjon. I <a href="https://sandtro.no/artikkel.php?id=168">sin analyse 2. oktober</a> fremhever jurist Jan Sandtrø nettopp dette skillet. For et medlemssystem betyr det at én bruker kan trenge en annen kontrollrutine enn andre. Noen må ha ansvar for henvendelsen, beslutningen må begrunnes, og den må få virkning i driften. <h2>Fra personvernerklæring til produktdesign</h2> Tre nivåer må holdes fra hverandre: Virksomheten trenger et lovlig behandlingsgrunnlag. Den trenger rutiner som gjennomfører pliktene. Og teknologien må kunne støtte rutinene. Ingen av nivåene kan alene kompensere for de andre. De følgende eksemplene er generelle produktvalg, ikke beskrivelser av hendelser eller systemfeil hos SATS. Et adgangssystem kan bruke medlemskort, QR-koder eller visuell identitetskontroll. Løsningene har ulike databehov; færre bilder kan bety mindre lagring, men også behov for en annen kontrollprosess. En QR-kode er ikke automatisk anonym eller personvernvennlig: Innsjekkingslogger kan fortsatt identifisere medlemmer og kreve eget formål og lagringsregler. Når et medlem protesterer mot bildelagring, kan systemet støtte registrering av henvendelsen, begrenset tilgang til saksopplysninger, dokumentert vurdering og gjennomføring av beslutningen. En alternativ kontrollrutine kan være aktuell hvis bildebehandlingen skal opphøre. Produktet bør ikke automatisk stenge medlemmet ute bare fordi et bildefelt er tomt; virksomheten må kunne gjennomføre den vurderingen den faktisk har gjort. Bookingsystemet kan skille opplysninger som trengs for en timebestilling, fra data brukt til andre formål. Et digitalt medlemsbevis kan begrense hvilke opplysninger som vises. En treningsapp kan skille mellom tilgang til tjenesten og valgfrie analysefunksjoner. Brukerreisen må vise relevant informasjon der data samles inn, ikke bare lenke til en lang erklæring. Dette er mulige løsninger, ikke nye funksjonskrav fastsatt i SATS-vedtaket. Artikkel 25 om innebygd personvern og personvern som standardinnstilling krever egnede tekniske og organisatoriske tiltak, ikke ett bestemt grensesnitt. Et vanlig fotografi er heller ikke automatisk biometriske data; det beror på den konkrete tekniske behandlingen. Behandlingsansvarlig bestemmer formålet og de vesentlige midlene. En databehandler behandler opplysninger på dennes vegne. Leverandøren blir ikke automatisk ansvarlig for kundens valg av behandlingsgrunnlag, men har egne plikter i sin rolle. Bruker leverandøren data til egne formål, kan den være selvstendig behandlingsansvarlig. Rollefordelingen må vurderes konkret. Programvare alene garanterer ikke etterlevelse. <h2>SATS’ egne nettsider viser hvorfor tydelig informasjon er viktig</h2> NST kontrollerte de offentlige sidene 12. oktober. <a href="https://www.sats.no/legal/generelle-vilkar">Medlemsvilkårene</a>, merket sist oppdatert 1. august 2026, beskriver i punkt 2.2 at SATS normalt tar et bilde ved identitetsbekreftelse. De viser til berettiget interesse og protestretten. Datoen er før offentliggjøringen i august; den dokumenterer ikke når de konkrete formuleringene ble endret. <a href="https://www.sats.no/legal/personvernerklaring">Personvernerklæringen</a> skiller mellom medlemsadministrasjon basert på kontraktsoppfyllelse og fotografier basert på berettiget interesse. Samtidig sier en <a href="https://www.sats.no/kundeservice/medlemskap/ovrige-sporsmal/hvorfor-trenger-sats-et-bilde-av-meg-for-medlemskapet-mitt">kundeside datert 2. desember 2025</a> at alle medlemmer trenger innsjekkingsbilde. Det er ikke avklart om den eldre formuleringen gjenspeiler dagens praksis. Observasjonen dokumenterer verken fortsatt GDPR-brudd eller at påleggene ikke er fulgt. Den illustrerer hvorfor vilkår, kundeservice og produktinformasjon bør være samordnet. <h2>Kan personvern bli et konkurransefortrinn?</h2> For norske sportstech-leverandører kan tre mulige utviklinger bli relevante: Kunder kan etterspørre bedre dokumentasjon, foretrekke løsninger som trenger færre opplysninger, og verdsette støtte for brukerrettigheter. Dette er analyse, ikke dokumenterte markedseffekter av vedtaket eller garanterte nye inntekter. For en kjede på tvers av nordiske land kan felles dokumentasjon og tydelig ansvarsdeling redusere friksjon mellom sentre, kundeservice og leverandører. GDPR gir en felles europeisk ramme, men den konkrete behandlingen og arbeidsprosessene må fortsatt vurderes. <a href="https://www.edpb.europa.eu/public-consultations/guidelines-12024-on-processing-of-personal-data-based-on-article-61f-gdpr_en">EDPBs høringsmateriale om berettiget interesse</a> gir supplerende veiledning, ikke et nytt pålegg til sportstech-bransjen. Lærdommen er ikke at digitale identifikasjonssystemer bør slutte å bruke fotografier. Det er at funksjoner, behandlingsgrunnlag og rettigheter må henge sammen. Å håndtere data ansvarlig kan bli like viktig som å samle inn stadig mer. Kildebasert nyhetsanalyse. Bildet illustrerer digital adgangskontroll og viser ikke SATS’ programvare eller lokaler.