RGPD salle de sport : le guide de conformité 2026

Une salle de sport concentre presque tous les points de friction du RGPD sur quelques centaines de mètres carrés : un contrôle d’accès parfois biométrique, des questionnaires d’aptitude qui révèlent l’état de santé, des caméras dans les zones de pratique, un logiciel de gestion des abonnements hébergé chez un prestataire, et une base de prospects relancée par SMS et par email. Dans les audits que je mène auprès d’exploitants de salles et de réseaux de fitness, je retrouve systématiquement les mêmes angles morts. Or c’est précisément ce cocktail — données sensibles, biométrie, vidéo, marketing direct — que la CNIL surveille de près. Voici ce qu’il faut mettre en place concrètement.

Pourquoi une salle de sport cumule les risques RGPD

Trois caractéristiques expliquent pourquoi ce secteur mérite une vigilance particulière.

La présence de données de santé. Dès qu’une salle fait remplir un questionnaire d’aptitude, demande un certificat médical, enregistre une contre-indication ou adapte un programme à une pathologie (dos, cœur, grossesse), elle traite une donnée qui révèle l’état de santé. Ces données relèvent de l’Art. 9(1) du RGPD : ce sont des données sensibles dont le traitement est interdit par principe, sauf à s’appuyer sur une exception de l’Art. 9(2) — en pratique le consentement explicite de l’adhérent (Art. 9(2)(a)).

La tentation de la biométrie. Beaucoup d’exploitants veulent sécuriser l’accès 24/7 par empreinte digitale ou reconnaissance de la paume. C’est le sujet le plus mal maîtrisé du secteur, et le plus risqué : la donnée biométrique destinée à identifier une personne est elle aussi une donnée de l’Art. 9(1), et la CNIL applique un test de proportionnalité très strict.

Un modèle économique nourri au marketing direct. Prospection des leads issus de la séance d’essai, relances d’abonnements, offres de parrainage, SMS de réengagement : la salle de sport vit de sa base de contacts. Chaque canal a ses règles, et la CNIL sanctionne régulièrement la prospection non conforme.

À ces trois points s’ajoute une réalité de terrain : le secteur emploie beaucoup de personnel jeune, en rotation rapide, sur des logiciels SaaS partagés. La base légale de chaque traitement est rarement documentée, et le registre est le plus souvent inexistant.

Le contrôle d’accès biométrique : à éviter dans presque tous les cas

C’est le point sur lequel je fais le plus revenir les exploitants. L’empreinte digitale ou le gabarit de la main pour ouvrir un tourniquet paraît pratique et moderne. Juridiquement, c’est une fausse bonne idée.

La logique de la CNIL est constante : la biométrie ne se justifie que si un niveau de sécurité élevé est réellement nécessaire et qu’aucun moyen moins intrusif ne permet d’atteindre le même objectif. Or, pour contrôler l’entrée d’une salle de sport, un badge, un QR code nominatif ou une carte d’abonné remplissent parfaitement la fonction. Le badge est le moyen « moins intrusif » qui rend la biométrie disproportionnée — le même raisonnement que la CNIL a tenu pour refuser la reconnaissance faciale à l’entrée de lycées, où le contrôle par badge suffisait.

Concrètement, si vous déployez un accès biométrique pour vos adhérents :

• vous traitez des données de l’Art. 9 sans exception solide (le consentement d’un client dans une relation contractuelle déséquilibrée est fragile) ;
• vous devez de toute façon réaliser une analyse d’impact préalable, car le traitement à grande échelle de données biométriques figure sur la liste des traitements à haut risque ;
• vous vous exposez à une mise en demeure en cas de contrôle.

Ma recommandation en conseil est simple : pour l’accès des adhérents, on retient le badge ou le QR code, jamais la biométrie. Si un besoin de sécurité exceptionnel existe (accès à un local sensible réservé à quelques salariés), il se traite au cas par cas, avec AIPD, et non par défaut sur toute la clientèle.

Les questionnaires d’aptitude et données de santé

La séance d’essai et l’inscription s’accompagnent souvent d’un questionnaire de santé (type PAR-Q) ou de la demande d’un certificat médical. C’est légitime au regard de la responsabilité de l’exploitant, mais cela impose un cadre précis.

La base légale. Pour ces données de santé, la seule base réaliste est le consentement explicite (Art. 9(2)(a)) : un consentement libre, spécifique, éclairé, matérialisé (case à cocher dédiée, formulation claire sur l’usage). Il doit être distinct du consentement général à l’abonnement.

La minimisation. Ne collectez que ce qui sert réellement à sécuriser la pratique. Un coach n’a pas besoin de connaître un diagnostic détaillé ; savoir qu’il existe une contre-indication cardiaque ou une limitation articulaire suffit à adapter la séance. Le principe de minimisation de l’Art. 5(1)© impose de résister à la tentation du questionnaire exhaustif.

La confidentialité interne. Les réponses de santé ne doivent être accessibles qu’aux personnes qui en ont besoin (le coach référent), pas à l’ensemble de l’équipe d’accueil. Cela suppose une gestion fine des habilitations dans votre logiciel.

La conservation. Un certificat médical ou un questionnaire d’aptitude n’a plus de raison d’être conservé une fois l’adhérent parti et le délai de contestation écoulé. J’y reviens plus bas, mais retenez qu’une donnée de santé qui traîne des années dans un espace partagé est une non-conformité caractérisée.

La vidéosurveillance dans les zones de pratique

Les caméras sont fréquentes : sécurité des biens, prévention des vols dans les vestiaires, surveillance des espaces libre-service la nuit. Le RGPD ne l’interdit pas, mais l’encadre.

La base légale est en général l’intérêt légitime de l’exploitant (Art. 6(1)(f)) : sécurité des personnes et des biens. Encore faut-il respecter la proportionnalité. Quelques règles non négociables :

• Aucune caméra dans les vestiaires, douches, sanitaires, ni orientée vers ces espaces. C’est une atteinte à l’intimité que la CNIL sanctionne durement.
• Champ limité aux zones réellement à risque (entrée, réception, zones de matériel de valeur), pas un filmage permanent des adhérents en train de s’entraîner sans nécessité.
• Information visible : panneaux à l’entrée et dans les zones filmées, mentionnant la finalité, le responsable de traitement, la durée de conservation et les droits des personnes.
• Durée de conservation courte : un mois maximum en pratique, sauf incident précis justifiant une extraction.

Le régime détaillé, y compris l’articulation avec le Code de la sécurité intérieure quand des caméras filment la voie publique, est développé dans mon guide sur la vidéosurveillance en entreprise.

Le marketing et la prospection des adhérents

C’est le nerf de la guerre commerciale d’une salle, et une source récurrente de plaintes.

Prospects (séance d’essai, formulaire web). L’envoi d’emails ou de SMS commerciaux à un prospect qui n’est pas encore client suppose son consentement préalable (opt-in), conformément au régime de la prospection électronique. Une case pré-cochée ne vaut pas consentement.

Adhérents actifs. Vous pouvez relancer un client existant sur des produits ou services analogues à ceux qu’il a souscrits (dispense de consentement pour le client, mais information et droit d’opposition simple obligatoires, avec lien de désinscription à chaque envoi).

Anciens adhérents. Une base d’anciens clients ne se prospecte pas indéfiniment. Au-delà d’un délai raisonnable (souvent apprécié à trois ans après le dernier contact) sans réactivation, le contact doit sortir de la base active. Les principes de conformité de la prospection sont détaillés dans mon guide email marketing et RGPD.

Un point d’attention propre au fitness : les programmes de parrainage. Faire remplir à un adhérent le numéro de téléphone d’un ami pour lui envoyer une offre, c’est collecter une donnée d’un tiers sans base légale. Mieux vaut un mécanisme où c’est l’adhérent qui transmet lui-même l’offre.

Le logiciel de gestion : un sous-traitant à encadrer

Aucune salle ne gère ses abonnements à la main. Logiciel de gestion des membres, plateforme de réservation de cours, terminal de paiement, outil d’emailing, application mobile : autant de prestataires qui, techniquement, traitent vos données pour votre compte. Ce sont des sous-traitants au sens de l’Art. 28 du RGPD.

Pour chacun, vous devez disposer d’un contrat (ou de clauses de traitement des données) prévoyant notamment les instructions du responsable de traitement, la confidentialité, la sécurité (Art. 32), le sort des données en fin de contrat et l’encadrement des transferts hors UE. Beaucoup d’exploitants découvrent en audit que leur logiciel héberge les données aux États-Unis sans qu’aucune garantie de transfert n’ait été vérifiée. C’est exactement le type de cartographie et de suivi contractuel que Legiscope automatise, pour éviter de gérer à la main un registre des sous-traitants qui se périme dès qu’on change d’outil.

Durées de conservation : le tableau à cadrer

La conservation « au cas où » est la non-conformité la plus fréquente du secteur. Voici des ordres de grandeur défendables, à ajuster à votre situation :

• Données d’abonné actif : toute la durée de la relation contractuelle.
• Données après résiliation : archivage intermédiaire limité à la durée des obligations légales et des délais de prescription (typiquement les pièces comptables 10 ans ; les données de gestion courante bien moins).
• Questionnaire de santé / certificat médical : suppression rapide après la fin de l’abonnement, dès que le risque de contestation est éteint.
• Images de vidéosurveillance : un mois maximum.
• Prospects non convertis : trois ans après le dernier contact.

Le raisonnement complet sur la construction d’une politique de conservation est développé dans mon article sur les durées de conservation des données.

Ce qu’il faut retenir

• La biométrie pour l’accès des adhérents est à proscrire : un badge ou un QR code est le moyen moins intrusif qui rend l’empreinte digitale disproportionnée aux yeux de la CNIL.
• Les questionnaires de santé relèvent de l’Art. 9 : consentement explicite distinct, minimisation stricte, accès limité au coach, suppression rapide en fin d’abonnement.
• La vidéosurveillance est possible mais bornée : jamais dans les vestiaires, champ limité, information visible, conservation d’un mois.
• La prospection suit le régime de l’opt-in pour les prospects et de l’opposition pour les clients existants ; les bases d’anciens adhérents ne se relancent pas indéfiniment.
• Chaque logiciel est un sous-traitant Art. 28 à encadrer par contrat, avec vérification des transferts hors UE.

FAQ

Une salle de sport peut-elle utiliser l’empreinte digitale pour l’accès ?

En pratique non, pour l’accès de la clientèle. La donnée biométrique relève de l’Art. 9 du RGPD et la CNIL considère qu’elle est disproportionnée dès lors qu’un moyen moins intrusif — badge, QR code, carte d’abonné — permet le même contrôle d’accès. Un déploiement biométrique généralisé vous exposerait à une mise en demeure.

Le questionnaire de santé à l’inscription est-il autorisé ?

Oui, mais il traite des données sensibles. Il faut un consentement explicite et distinct (Art. 9(2)(a)), ne collecter que le strict nécessaire pour adapter la pratique, réserver l’accès aux personnes concernées et supprimer ces données rapidement après le départ de l’adhérent.

Combien de temps conserver les données d’un adhérent qui a résilié ?

Les données de gestion courante doivent quitter la base active peu après la fin de la relation. Seules les pièces nécessaires aux obligations légales (comptabilité, preuve en cas de litige) sont archivées, sur des durées limitées par ces obligations. Un questionnaire de santé, lui, n’a pas vocation à être conservé une fois l’abonnement terminé.

Faut-il un DPO pour une salle de sport ?

La désignation n’est obligatoire que dans les cas de l’Art. 37, notamment le suivi régulier et systématique à grande échelle ou le traitement à grande échelle de données sensibles. Un réseau de salles traitant à grande échelle des données de santé peut y être tenu ; une salle indépendante rarement. Même sans obligation, désigner un référent conformité reste une bonne pratique.

---

Cet article a une vocation informative et ne constitue pas un conseil juridique individualisé. Thiébaut Devergranne est docteur en droit, plus de 20 ans d’expérience en protection des données. Pour aller plus loin, téléchargez notre checklist d’audit RGPD et adaptez-la à votre établissement.