Datatilsynet har gitt treningskjeden Sats pålegg og irettesettelse etter flere klager på kravet om at medlemmene må ha innsjekkingsbilde. Sats har krevd bilde av medlemmene siden 2004, men håndhevet dette strengere fra august 2025 ved at medlemmer uten bilde ble utestengt. Bildet tas i resepsjonen, lagres i medlemssystemet og vises på skjermen når medlemmet sjekker inn, slik at det kan kontrolleres hvem som kommer. De fleste klagene kom via det finske datatilsynet, og siden Sats har hovedkontor i Norge, har Datatilsynet behandlet saken som ledende tilsynsmyndighet etter samarbeidsmekanismen. Det betyr også at vedtaket ikke kan påklages til Personvernnemnda, men bare bringes inn for domstolene.
Sats mente at bildet var nødvendig for å oppfylle medlemsavtalen etter GDPR artikkel 6(1)(b), fordi Sats ellers ville levere en annen tjeneste enn den som var avtalt dersom andre enn medlemmet kunne bruke medlemskapet. Datatilsynet var ikke enig i dette, siden hovedformålet med avtalen er å gi medlemmene tilgang til treningssenteret, og tilgang gis ved skanning av medlemskort eller QR-kode i appen, og bildet kontrolleres ikke ved hvert besøk. Også det at Sats hadde unntak fra kravet for bl.a. politi og personer med beskyttet identitet, viste at bildet ikke var nødvendig for å oppfylle avtalen. Tilsynet pekte også på at et motsatt resultat ville gi en uheldig presedens, siden for eksempel enhver leverandør av medlemskap eller billetter vil da kunne hevde at bilde av kunden er nødvendig for å oppfylle avtalen.
Riktig grunnlag var derfor etter Datatilsynets mening berettiget interesse etter GDPR artikkel 6(1)(f), og tilsynet var enig i at Sats' interesse i å hindre misbruk av medlemskap og ivareta sikkerheten på sentrene veier tyngre enn ulempen for medlemmene. Datatisynet gikk altså langt i å bekrefte interessen til Sats for grunnlaget, men understreker likevel at vedtaket ikke avgjør om Sats faktisk oppfyller vilkårene, og at Sats selv må dokumentere vurderingen (en såkalt "LIA-vurdering", se verktøy her. Sats hadde også anført berettiget interesse subsidiært, men mente at grunnlag i berettiget interesse alene ville skape usikkerhet, fordi medlemmene da kunne reservere seg mot bruk av bilde ved å protestere etter GDPR artikkel 21 og bruke dette til å omgå identitetskontrollen. Sats informerte derfor medlemmene om at det ikke var mulig å velge bort bildet fordi behandlingen ikke bygget på avtale, og da ikke samtykke eller berettiget interesse. Datatilsynet minnet om at protestretten ikke er absolutt, siden den registrerte må vise til sin særlige situasjon, og at det finnes andre måter å utføre identitetskontroll på.
Sats får irettesettelse for å ha opplyst medlemmene om feil behandlingsgrunnlag uten å informere om de berettigede interessene etter GDPR artikkel 13(1), for ikke å ha gitt tilstrekkelig informasjon om retten til å protestere etter GDPR artikkel 13(2), og for å ha avvist protester uten å påvise tvingende berettigede grunner etter GDPR artikkel 21(1).
Vedtaket fra tilsynet er interessant siden det inneholder flere avklaringer om protester ved å presisere at det ikke er formkrav til en protest, og at virksomheten ved behandlingen av en protest bare kan be om ytterligere opplysninger for å bekrefte identiteten dersom det er rimelig tvil om hvem som protesterer, jf. GDPR artikkel 12(6) (vedtaket viser til artikkel 12(4), men det må være en feil). At den registrerte ikke har utdypet sin særlige situasjon, er ikke i seg selv grunn til å avvise protesten. Sats kan heller ikke avvise protester bare ved å vise til den generelle interesseavveiningen etter GDPR artikkel 6(1)(f), siden en protest krever en konkret vurdering av den enkeltes særlige situasjon, og det er Sats som må påvise tvingende berettigede grunner etter GDPR artikkel 21(1). Informasjonen om protestretten skal gis klart og atskilt fra annen informasjon etter GDPR artikkel 21(4), og Datatilsynet mener det er tvilsomt om et punkt i personvernerklæringen er nok, uten at dette ble endelig avklart. Informasjonen om protestretten bør derfor heller stå sammen med informasjonen om selve bildebehandlingen.
Sats opplyste i svaret på varselet at rutinene var endret, blant annet ved at protester vurderes individuelt og at formkravene revurderes, men fikk likevel pålegg om å rette informasjonen og besvare alle ubesvarte protester. Vedtaket er ikke til hinder for at Sats fortsetter å ta og lagre innsjekkingsbilder, forutsatt at påleggene etterleves og behandlingen faktisk oppfyller vilkårene for berettiget interesse etter GDPR artikkel 6(1)(f). Protester må imidlertid vurderes konkret ut fra det enkelte medlemmets særlige situasjon. For å fortsette behandlingen til tross for en protest må Sats påvise at de har tvingende berettigede grunner som går foran medlemmets personvern, jf. GDPR artikkel 21(4).