Rytterdata og GDPR: en guide til cykelhold

Når det gælder rytterdata på et cykelhold, handler databeskyttelse om tre spørgsmål: Hvad har du om hver rytter, på hvilket grundlag, og hvem kan se det? Efter EU's databeskyttelsesforordning (GDPR) er ture, wattfiler og bikefits personoplysninger. HRV (pulsvariabilitet) om morgenen, hvilepuls, sygdom, skader og fysioterapeutens noter er sandsynligvis helbredsoplysninger. Dem behandler GDPR som en særlig kategori med strengere regler. Denne guide er generel information til holdledere, trænere og ryttere og ikke juridisk rådgivning. Tal med en specialist i databeskyttelse om din egen situation.

Er rytterdata helbredsoplysninger efter GDPR?

Næsten alt, hvad et hold registrerer om en rytter, er personoplysninger, og noget af det er helbredsoplysninger. Sygdom, skader, menstruationscyklus og fysioterapeutens noter er helbredsoplysninger, og puls, HRV og søvn er det sandsynligvis.

Personoplysninger er enhver information om en identificeret eller identificerbar person. GDPR definerer helbredsoplysninger som personoplysninger om en persons fysiske eller mentale helbred, der giver information om personens helbredstilstand. Den britiske tilsynsmyndighed, Information Commissioner's Office (ICO), bruger samme definition i Storbritanniens udgave af GDPR. ICO nævner data fra fitnesstrackere blandt sine eksempler og påpeger, at helbredsoplysninger kan handle om tidligere, nuværende eller fremtidigt helbred.

Data	Som regel	Hvorfor det betyder noget
Ture med GPS-spor	Personoplysninger	Start- og slutpunkter kan vise, hvor en rytter bor
Watt, kadence, fart	Personoplysninger	Viser evner og træning; kommercielt følsomt for en professionel rytter
Puls, HRV, hvilepuls, søvn	Sandsynligvis helbredsoplysninger	Målinger af kroppens tilstand, meget som en fitnesstrackers
Sygdom, skader, medicin	Helbredsoplysninger	Handler per definition om helbredstilstand
Menstruationscyklus	Helbredsoplysninger	Blandt de mest følsomme data, et hold kan have
Kropsvægt og kropssammensætning	Behandl dem med samme omhu	Kan afsløre helbredstilstand, og ryttere har stærke holdninger til, hvem der ser dem
Bikefit-mål	Personoplysninger	En note som "sadel sænket efter knæoperation" er en helbredsoplysning
Noter fra fysioterapeut og læge	Helbredsoplysninger	Kliniske af natur

Det, du udleder af data, tæller også. Ifølge ICO er der tale om særlige kategorier af personoplysninger, når du bruger data til at udlede noget som en persons helbredstilstand. Det gælder, uanset hvor sikker eller usikker slutningen er. En parathedsscore, der antyder, at en rytter måske er ved at blive syg, kræver derfor samme omhu som selve sygdommen. Om menstruationscyklussen forklarer vores guide til træning og menstruationscyklus, hvordan du taler om den og registrerer den med omtanke.

Kræver det samtykke at bruge rytternes helbredsoplysninger?

Ikke altid. For et amatørhold eller en klub er rytterens udtrykkelige samtykke ofte den mest praktiske betingelse for at bruge helbredsoplysninger. Du skal have et lovligt grundlag efter artikel 6 i GDPR og en særskilt betingelse efter artikel 9, som ellers forbyder behandling af helbredsoplysninger. For professionelle ryttere, der er ansat af holdet, er samtykke måske ikke nok.

Samtykket skal være udtrykkeligt og gives til et eller flere bestemte formål (artikel 9, stk. 2, litra a). Et samtykke tæller kun, hvis det er frivilligt, specifikt, informeret og utvetydigt (artikel 4, nr. 11). Det Europæiske Databeskyttelsesråd (EDPB) udgiver officiel vejledning om GDPR. I sine retningslinjer om samtykke forklarer rådet, hvad det betyder i praksis:

• Opdelt. Forskellige formål kræver hvert sit samtykke. Cykler og bikefits, ture og træning samt helbredsnoter er forskellige spørgsmål.
• Aktivt. Felter, der er krydset af på forhånd, er ikke et gyldigt samtykke. Rytteren sætter selv hvert flueben.
• Ikke en betingelse. Hvis en plads på holdet afhænger af samtykke til data, som holdet ikke har brug for, taler det imod, at samtykket er frivilligt (artikel 7, stk. 4).
• Kan trækkes tilbage. En rytter kan når som helst trække sit samtykke tilbage, og det skal være lige så let at trække det tilbage som at give det (artikel 7, stk. 3).

Professionelle ryttere er en anden sag, når de er ansat af deres hold. EDPB siger, at en medarbejders samtykke til det meste af den behandling, der sker på arbejdspladsen, næppe er frivilligt, fordi medarbejderen er afhængig af arbejdsgiveren. Et professionelt hold kan så have brug for en anden betingelse i artikel 9. Det kan for eksempel være forpligtelser efter arbejdsretten (artikel 9, stk. 2, litra b) eller arbejdsmedicin under faglig tavshedspligt (artikel 9, stk. 2, litra h, og stk. 3). Her er en specialist i databeskyttelse pengene værd.

Hvem på et cykelhold bør se en rytters data?

Hver person på holdet skal kun se de data om en rytter, som personens arbejde kræver. GDPR kræver, at personoplysninger er "tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt" i forhold til formålet (artikel 5, stk. 1, litra c).

På et hold bliver det et spørgsmål til hver rolle: Hvad har denne person brug for at vide for at kunne gøre sit arbejde?

• En mekaniker har brug for cykler og bikefit-mål, ikke HRV eller noter om sygdom.
• En sportsdirektør, der planlægger udtagelsen, skal vide, at en rytter ikke kan køre løb, men behøver ikke kende diagnosen.
• En træner har brug for ture, watt og parathed, ikke fysioterapeutens fortrolige noter.
• En fysioterapeut har brug for bikefit-historikken og det kliniske billede, ikke hver eneste træningsfil.
• Holdkammerater har ikke brug for noget af det, medmindre rytteren selv vælger at dele.

Delte mapper og ét fælles login til hele holdet kan aldrig bestå den test. Det kan en tavle i holdbussen med alles vægt heller ikke. Den praktiske løsning er software, der giver adgang efter rolle, og hvor rytteren kan se, hvem der ser hvad. Vores artikel om software til cykelhold gennemgår, hvad hver rolle typisk har brug for.

Opbevaringsbegrænsning er den anden halvdel: Gem ikke personoplysninger længere, end formålet kræver (artikel 5, stk. 1, litra e). Beslut på forhånd, hvad der sker, når en rytter forlader holdet. Enten sletter du rytterens data, eller også gemmer du kun det, du har brug for af en bestemt grund, som resultater eller et spørgsmål om kontrakten. Samtidig holder du op med at modtage nye data fra rytteren.

Hvilke rettigheder har ryttere efter GDPR?

Ryttere kan bede om at se deres data, få en kopi og få dem slettet, og de kan når som helst trække samtykket tilbage. Bygger behandlingen på samtykke eller en kontrakt og sker automatisk, kan de også tage de data, de selv har leveret, med et andet sted hen. Et hold bør normalt svare inden for en måned.

Fristen kan forlænges med yderligere to måneder, hvis anmodningerne er komplekse eller mange, og hvis du giver rytteren besked inden for den første måned (artikel 12, stk. 3).

• Indsigt (artikel 15). En rytter kan spørge, om du har oplysninger om vedkommende, og få en kopi af dem.
• Dataportabilitet (artikel 20). Når behandlingen bygger på samtykke eller en kontrakt og sker automatisk, kan rytteren få de data, rytteren selv har leveret, i et struktureret, almindeligt anvendt og maskinlæsbart format og tage dem med et andet sted hen. For ture er den originale FIT-fil det naturlige svar.
• Sletning (artikel 17). En rytter kan bede dig slette sine data, for eksempel når rytteren trækker sit samtykke tilbage, og intet andet giver grund til at gemme dem. Der er undtagelser, som data du har brug for i forbindelse med retskrav eller for at opfylde en retlig forpligtelse.
• Tilbagetrækning af samtykke (artikel 7, stk. 3). Det, du gjorde før, er stadig lovligt, men den behandling, der byggede på samtykket, stopper.

En rytter, der skifter hold om vinteren, bruger de rettigheder i praksis, også selv om rytteren aldrig nævner en eneste artikel. Gør det let og ryddeligt at forlade holdet.

Fra hvilken alder kan børn selv give samtykke efter GDPR?

Når en onlinetjeneste bygger på samtykke og tilbydes direkte til børn, kan et barn efter GDPR selv give samtykke fra 16 år. Hvert medlemsland må sænke alderen til helt ned til 13 år, og under den alder skal en forælder give eller godkende samtykket. Tjek, hvilken alder der gælder i dit land, før rytterne opretter konti.

Mange klubber træner ryttere, der er et godt stykke under 18 år, og data om børn kræver ekstra omhu. Alderen og betingelserne står i artikel 8 i GDPR.

I praksis bør en klub forklare forældre og ryttere sammen, hvad der registreres, hvem der ser det, og hvorfor. Hold listen kort. Hold vægt og kropssammensætning ude af alt, der deles, undgå offentlige ranglister over unge rytteres tal, og send spørgsmål om helbred videre til familiens læge. Vores guide til juniortræning gennemgår, hvilke tal der hjælper unge ryttere, og hvilke der er bedre at lade ligge.

Hvad skal et cykelhold tjekke, før det tager software i brug?

Før rytternes data kommer ind i noget software, skal holdet indgå en databehandleraftale, kende underdatabehandlerne og vide, hvor dataene sendes hen. Holdet skal også have en plan for sikkerhedsbrud og overveje en konsekvensanalyse.

De fleste hold bruger færdig software i stedet for at bygge den selv. Softwarevirksomheden er så som regel databehandler, det vil sige, at den behandler personoplysninger på holdets vegne (artikel 4, nr. 8). Holdet er fortsat den dataansvarlige og har ansvaret.

• Indgå en databehandleraftale. En databehandlers behandling skal være reguleret af en kontrakt, der fastlægger, hvad der behandles, om hvem, hvorfor og hvor længe (artikel 28, stk. 3).
• Kend underdatabehandlerne. En databehandler må ikke bruge en anden databehandler uden forudgående skriftlig godkendelse fra den dataansvarlige (artikel 28, stk. 2). Udbydere af hosting og AI er typiske underdatabehandlere.
• Vid, hvor dataene sendes hen. Overførsler til lande uden for EU og EØS kræver et overførselsgrundlag, for eksempel en afgørelse fra Europa-Kommissionen om tilstrækkeligt beskyttelsesniveau eller Kommissionens standardbestemmelser om databeskyttelse (artikel 45 og 46). Hosting i EU gør det enklere, men AI-funktioner kan stadig sende tekst andre steder hen, så spørg.
• Hav en plan for sikkerhedsbrud. Et brud på persondatasikkerheden skal anmeldes til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter, at du er blevet opmærksom på det (artikel 33). Undtagelsen er et brud, der sandsynligvis ikke udgør en risiko for rytterne.
• Overvej en konsekvensanalyse. ICO nævner hardware og software, der overvåger fitness eller helbred, blandt sine eksempler på behandling, der sandsynligvis indebærer en høj risiko. Her kan en konsekvensanalyse vedrørende databeskyttelse (DPIA) være nødvendig.

En tjekliste til cykelholdet

• Skriv ned, hvad du har om hver rytter, hvor det ligger, og hvem der kan se det.
• Markér helbredsoplysningerne: HRV, hvilepuls, søvn, sygdom, skader, vægt, menstruationscyklus og kliniske noter.
• Skriv retsgrundlaget ned for hver anvendelse, og få rådgivning, hvis dine ryttere er ansatte.
• Bed om samtykke del for del, uden felter krydset af på forhånd, og gem den præcise ordlyd.
• Giv hver rolle kun det, dens arbejde kræver, og afskaf fælles logins.
• Hold vægt og helbred væk fra delte skærme og opslagstavler.
• Inddrag forældrene ved børn og unge ryttere, og tjek aldersgrænsen for samtykke i dit land.
• Indgå databehandleraftaler med alle softwareudbydere, og vid, hvor dataene er hostet.
• Beslut, hvad der sker med en rytters data, når rytteren stopper, og fortæl det, før rytteren starter.
• Øv dig i at besvare en anmodning om indsigt inden for en måned, også med de originale filer fra turene.

I Velograph, den platform denne blog hører til, viser et holds invitation hver del i sit eget felt, og der er ikke sat flueben ved noget på forhånd. Holdet kan bede om noter, der kan indeholde helbredsoplysninger, men aldrig kræve dem. Hvert svar gemmes med den ordlyd, rytteren så, og Velograph hostes i EU, i Frankfurt. Det samme valg del for del gælder, når en bikefitter eller et hold scanner en rytters bikefit-pas: Rytteren svarer på sin egen telefon, før noget bliver delt.

Videre læsning

• Guidelines 05/2020 on consent under Regulation 2016/679 (på engelsk), European Data Protection Board, 2020.
• What is special category data? (på engelsk), Information Commissioner's Office, 2024.
• Special category data: a guide to lawful basis (på engelsk), Information Commissioner's Office, 2024.