RGPD et protection des données pour une salle de sport

✍️ Par la Rédaction Magicfit · ⏱️ Lecture 23 min · 📅 Publié le 23 janvier 2025

Licence de marque · Conformité et données

Une salle de sport collecte chaque jour des données personnelles : identité, coordonnées bancaires, fréquentation, parfois des informations proches de la santé. Le RGPD encadre chacune de ces opérations, quelle que soit la taille du club. Ce guide fait le tour des obligations concrètes, sur des sources officielles lues pour l’occasion.

Transparence : les clubs Magicfit sont exploités en licence de marque. Cet article a une portée générale : ses règles valent pour toute salle de sport, sous enseigne ou indépendante. Il ne remplace pas un conseil juridique personnalisé.

1. Pourquoi une salle de sport est concernée

Une salle de sport collecte des données dès la première visite : nom, coordonnées, coordonnées bancaires pour le prélèvement de l’abonnement, parfois des objectifs ou des informations sur la condition physique. Elle les conserve, les consulte, les transmet à ses prestataires. Autant d’opérations qui, au sens du Règlement général sur la protection des données (RGPD), constituent des traitements de données personnelles.

Service Public Entreprendre le rappelle sans ambiguïté : le RGPD s’applique « à toute entreprise, quelle que soit sa taille et son secteur d’activité », dès lors qu’elle est établie dans l’Union européenne ou que son activité cible directement des résidents européens (fiche F24270, vérifiée le 26 avril 2024). Une salle de quartier est donc concernée au même titre qu’une grande enseigne.

La notion de donnée personnelle est large. La même fiche cite le nom, le prénom, l’adresse, le numéro de téléphone, l’adresse mail, la photo, l’empreinte, la donnée de géolocalisation ou l’identifiant en ligne. Peu importe que l’information soit publique ou confidentielle, et peu importe son support : formulaire papier, clé USB, disque dur ou caméra.

Un traitement, lui, désigne « toute opération portant sur des données personnelles » : collecte, enregistrement, conservation, modification, consultation, diffusion ou effacement. Les fichiers papier sont concernés au même titre que les fichiers informatiques. Un cahier de rendez-vous posé sur le comptoir de l’accueil relève donc des mêmes règles qu’un logiciel de gestion des abonnements.

Un club traite aussi les données de son équipe. Service Public Entreprendre souligne que dès qu’une entreprise emploie du personnel, la gestion de la paie, le recrutement et les contrats de travail sont des traitements de données des salariés : l’employeur est donc « systématiquement » concerné par le RGPD, en plus des données de ses membres.

Ce guide fait le tour des obligations, dans l’ordre où elles se posent au quotidien d’un club : les principes, les données collectées, l’information et le consentement, les droits des membres, la documentation, la sécurité, l’image, la prospection et les sanctions. Il s’appuie sur des sources officielles lues pour l’occasion, et ne remplace pas l’avis d’un avocat ou d’un délégué à la protection des données.

2. Les principes du RGPD appliqués au club

Service Public Entreprendre résume les principes qu’un traitement doit respecter. Il doit d’abord être licite, c’est-à-dire fondé sur l’une des six bases légales prévues par le RGPD, « notamment le consentement de la personne concernée, l’exécution d’un contrat ou le respect d’une obligation légale ». Pour un club, la gestion de l’abonnement repose en général sur le contrat signé avec le membre.

Le traitement doit ensuite être transparent : la personne est informée de la collecte, de sa finalité et de ses droits. Il doit avoir une finalité définie à l’avance, comme la gestion des abonnements, le suivi de la relation client ou la paie, et les données ne doivent pas être utilisées d’une manière incompatible avec cette finalité.

Vient le principe de minimisation : « seules les données strictement nécessaires à la réalisation de l’objectif peuvent être collectées ». La fiche donne un exemple parlant : une société n’a pas à collecter le numéro de téléphone de ses clients si elle ne fait de prospection que par mail. Pour une salle, un formulaire d’inscription se relit à cette aune, champ par champ.

Le traitement doit aussi être temporaire. La durée de conservation est définie dès la mise en place du dispositif ; une fois l’objectif atteint, les informations ne sont plus nécessaires et doivent être supprimées. Pour un club, cela suppose de décider, pour chaque catégorie de données, ce qu’il advient du dossier d’un membre après la fin de son abonnement.

Enfin, le traitement doit être sécurisé, avec des mesures proportionnées aux risques : mots de passe, connexion chiffrée, sauvegardes. Le Code pénal rappelle l’enjeu : conserver des données personnelles au-delà de la durée prévue est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende, hors finalités historiques, statistiques ou scientifiques (art. 226-20).

Qui répond de ces principes ? Selon Service Public Entreprendre, le représentant légal de l’entreprise, qu’il soit chef d’entreprise, gérant ou président, est désigné « responsable du traitement ». C’est lui qui détermine les finalités et les moyens des traitements. Dans une salle de sport, la conformité n’est donc pas l’affaire du seul logiciel : elle engage la personne qui dirige l’entreprise exploitante.

3. Les données d’un club, de la plus courante à la plus sensible

Un club manipule plusieurs familles de données, qui n’appellent pas toutes les mêmes précautions. Le tableau ci-dessous les classe à partir des exemples et des catégories citées par les sources lues ; le niveau de précaution indiqué est une aide à l’organisation, pas une qualification juridique.

Les données bancaires et les données de fréquentation sont courantes, mais elles exposent le membre en cas de fuite. Service Public Entreprendre cite parmi les risques à apprécier l’accès illégitime à des données, leur modification non désirée et leur disparition. Un fichier d’abonnés avec leurs coordonnées de prélèvement est typiquement le genre de fichier dont la divulgation causerait un préjudice réel.

Les données touchant à la santé demandent une vigilance à part. Bpifrance Création range « les données de santé, les données biométriques » parmi les catégories de données sensibles (« Le délégué à la protection des données », février 2026). Un questionnaire où le membre mentionne une pathologie, ou une note de coach sur une blessure, peut entrer dans cette catégorie.

Or, selon Service Public Entreprendre, tout traitement portant sur des données sensibles est en principe interdit, sauf exceptions, et le recueil du consentement y est « toujours obligatoire ». Pour un club, la question à se poser est donc double : cette information est-elle vraiment nécessaire pour encadrer le membre ? Si oui, le consentement est-il recueilli de façon explicite, et la donnée protégée en conséquence ?

Les données biométriques méritent la même prudence. Un contrôle d’accès par empreinte, par exemple, traite une donnée que la fiche de Service Public Entreprendre cite parmi les données personnelles et que Bpifrance Création range parmi les données sensibles. Avant d’adopter un tel système, mieux vaut vérifier avec un conseil s’il est nécessaire, et si une solution moins intrusive, comme un badge, ne suffit pas.

Dernier cas : l’hébergement. Le Code de la santé publique impose un certificat de conformité à l’hébergeur de données de santé recueillies « à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social » (art. L1111-8). Une salle de sport qui envisage de stocker des informations de santé gagne à vérifier avec son conseil si son activité entre dans ce champ.

4. Informer les membres et recueillir leur consentement

L’information est la première obligation. Selon Service Public Entreprendre, elle est délivrée au moment de la collecte, quand les données sont recueillies auprès de la personne, ou dans un délai raisonnable ne dépassant pas un mois quand elles viennent d’un tiers. Elle doit être « concise, transparente, compréhensible et facilement accessible », en des termes clairs et simples.

Le contenu est fixé : identité et coordonnées du responsable du traitement, coordonnées du délégué à la protection des données le cas échéant, finalité, base légale, caractère obligatoire ou facultatif des réponses, destinataires, durée de conservation, droits de la personne, droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (Cnil), et éventuel transfert hors de l’Union européenne.

Sur un formulaire, la fiche admet un premier niveau d’information en bas du formulaire, avec un renvoi vers une page dédiée, au titre clair : « politique de confidentialité » ou « données personnelles ». Omettre cette information n’est pas anodin : selon Service Public Entreprendre, c’est une infraction punie d’une amende pénale de 1 500 euros pour un entrepreneur individuel et de 7 500 euros pour une société.

Le consentement, lui, n’est pas toujours nécessaire. La fiche précise que son recueil est obligatoire, « à moins que le traitement soit justifié par l’exécution d’un contrat ». La gestion de l’abonnement d’un membre repose donc sur le contrat ; en revanche, le consentement est toujours requis pour les données sensibles, pour la réutilisation des données à d’autres fins, pour les cookies non essentiels et pour la prospection électronique.

Quand il est requis, le consentement doit réunir quatre conditions. Il est libre : la personne a un vrai choix, sans conséquence négative en cas de refus. Il est éclairé : elle a reçu l’information nécessaire. Il est spécifique : elle peut consentir séparément à chaque finalité. Il est univoque : il résulte d’un acte délibéré, comme une case qu’elle coche elle-même.

Deux pratiques sont expressément exclues par Service Public Entreprendre : les cases de consentement cochées par défaut sont interdites, et le silence de la personne ne vaut pas consentement. Le club doit en outre « être en mesure de démontrer » que le consentement a été donné. Conserver la date, la finalité et la version du formulaire signé est la façon la plus simple d’en garder la preuve.

Le consentement se retire aussi facilement qu’il se donne. Si un membre a coché une case en ligne, il doit pouvoir revenir sur son choix d’un geste aussi simple, sans parcours compliqué ni saisie d’un mot de passe. Une fois le consentement retiré, le club cesse les traitements qui reposaient dessus ; ceux réalisés avant le retrait restent valables.

Le traitement de données sans consentement, quand celui-ci est obligatoire, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende pour un entrepreneur individuel, et de 1 500 000 euros pour une société, toujours selon la fiche F24270. Le Code pénal punit de même la collecte de données « par un moyen frauduleux, déloyal ou illicite » (art. 226-18).

5. Les droits des membres et la façon d’y répondre

Le RGPD donne à chaque personne des droits que le club doit pouvoir honorer : accès, rectification, effacement, portabilité et opposition. Service Public Entreprendre détaille chacun d’eux et les délais qui s’y attachent. Le tableau suivant en reprend l’essentiel, tel que la fiche F24270 le décrit.

Le droit d’accès est le plus fréquent. Le club répond dans un délai d’un mois, « y compris s’il ne dispose d’aucune donnée » sur le demandeur, et communique les éléments gratuitement, sous une forme compréhensible : un code interne doit être expliqué. Il peut refuser une demande en motivant sa décision, ou ne pas répondre à une demande manifestement abusive, par exemple répétitive.

Le droit à l’effacement n’est pas général. Selon la fiche, il s’applique quand les données ne sont plus nécessaires, quand la personne retire un consentement qui fondait seul le traitement, quand elle s’oppose sans motif légitime contraire, quand le traitement était illicite ou quand une obligation légale impose l’effacement. Un club peut donc devoir conserver certaines pièces pour respecter d’autres obligations.

La portabilité concerne les données que la personne a déclarées, comme son adresse mail, et celles que son activité a générées, comme un historique d’achats enregistré sur une carte. Elle ne vise que les traitements automatisés, pas les fichiers papier. Les données sont transmises gratuitement dans un format courant, et la Cnil recommande, selon Service Public Entreprendre, de prévoir une procédure interne.

Le droit d’opposition se traduit concrètement sur les formulaires. Lors d’une inscription, le membre doit pouvoir refuser la réutilisation de ses données à des fins de sollicitations commerciales, grâce à une case non cochée par défaut. La fiche est nette : la simple mention de ce droit dans les conditions générales « n’est pas suffisante ».

Dans une salle, ces demandes arrivent souvent par oral, à l’accueil, ou par un message rapide. Désigner une personne chargée de les recevoir, noter la date de chaque demande et la réponse apportée, et disposer de réponses types évite de laisser filer le délai d’un mois. Cette organisation simple démontre aussi la bonne foi du club en cas de réclamation.

6. Registre, sous-traitants, délégué et analyse d’impact

Le registre des activités de traitement recense les traitements de l’entreprise. Pour une entreprise de moins de 250 salariés, Service Public Entreprendre indique qu’il est obligatoire dès qu’elle procède à un traitement non occasionnel, comme la gestion de la paie ou des clients, à un traitement à risque comme la vidéosurveillance, ou à un traitement de données sensibles. Une salle de sport entre presque toujours dans l’un de ces cas.

Chaque traitement fait l’objet d’une fiche : identité du responsable et des sous-traitants, catégories de personnes et de données, finalités, destinataires, durée de conservation, description générale des mesures de sécurité et transferts hors de l’Union européenne. Le format est libre, papier ou électronique, pourvu qu’il soit écrit ; la Cnil met des modèles à disposition, précise la fiche.

Les sous-traitants occupent une place centrale dans un club : éditeur du logiciel de gestion, prestataire de paiement, hébergeur, outil d’envoi de messages. Le responsable du traitement ne doit faire appel qu’à des sous-traitants « présentant des garanties suffisantes », et conclure avec chacun un contrat qui fixe l’objet, la durée, la finalité, le type de données et les obligations des parties.

Ce contrat prévoit notamment la confidentialité, l’authentification des utilisateurs, la restitution et la destruction des données en fin de contrat, et les règles de notification des incidents. Le sous-traitant, de son côté, doit assurer un niveau de sécurité suffisant, aider le club à garantir les droits des personnes et tenir son propre registre, selon Service Public Entreprendre.

Le délégué à la protection des données (DPO) n’est obligatoire que dans des cas précis : suivi régulier et systématique à grande échelle des personnes, ou traitement à grande échelle de données sensibles. La notion de grande échelle s’apprécie au cas par cas. En dehors de ces cas, sa désignation est « encouragée », et Bpifrance Création la dit « fortement recommandée par la Cnil ».

Le DPO peut être interne ou externe, et exercer à temps partiel. Il informe et conseille, contrôle le respect du RGPD, sert de point de contact avec la Cnil et doit pouvoir travailler en toute indépendance. Pour une petite structure qui n’y est pas tenue, confier à une personne identifiée le suivi du registre et des demandes donne déjà une réalité quotidienne à la conformité.

L’analyse d’impact (AIPD) est obligatoire quand un traitement présente un risque élevé, notamment quand il remplit au moins deux critères d’une liste : évaluation ou profilage, décision automatique, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables comme les enfants, usage innovant. Elle se mène avant la mise en œuvre du traitement.

Le défaut de DPO quand il est obligatoire, comme l’absence d’analyse d’impact requise, expose selon Service Public Entreprendre à un rappel à l’ordre, à une injonction de mise en conformité, ou à une amende administrative pouvant atteindre 10 millions d’euros ou 2 % du montant annuel mondial des ventes de l’exercice précédent, le montant le plus élevé étant retenu.

7. Sécuriser les données au quotidien

La sécurité commence par un inventaire. Service Public Entreprendre demande de recenser les matériels, les logiciels, les canaux de communication, les supports papier et les locaux sur lesquels reposent les traitements. Dans un club, cela couvre l’ordinateur de l’accueil, le logiciel de gestion, la messagerie, le classeur des contrats et le bureau où ils sont rangés.

Vient ensuite l’appréciation des risques. Pour chaque traitement, le responsable identifie les sources de risque, humaines ou non, et estime leur gravité et leur vraisemblance, par exemple sur une échelle allant de négligeable à maximale. Il en déduit les mesures adaptées : contrôle d’accès, sauvegardes, traçabilité, sécurité des locaux, chiffrement ou anonymisation.

L’authentification est un point concret. La fiche recommande un identifiant unique par utilisateur et l’interdiction des comptes partagés entre plusieurs personnes. Si un compte partagé est incontournable, il faut une validation de la hiérarchie, une traçabilité des actions et un changement de mot de passe dès qu’une personne n’a plus besoin d’y accéder. Le mot de passe commun à toute l’équipe est à proscrire.

Les habilitations se gèrent par profil : chacun n’accède qu’aux données dont il a besoin pour sa mission. Un coach n’a pas besoin des coordonnées bancaires des membres ; l’accueil n’a pas besoin des fiches de paie. Les accès sont retirés dès qu’une personne change de poste ou quitte l’entreprise, et une revue des habilitations au moins une fois par an est recommandée.

Les postes de travail sont protégés : verrouillage automatique de session, pare-feu, antivirus à jour, mises à jour régulières des logiciels, effacement sécurisé avant de confier un poste à quelqu’un d’autre. Pour le matériel mobile, la fiche conseille le chiffrement des ordinateurs portables et des clés USB, et un VPN à authentification forte pour le travail à distance.

Les sauvegardes sont régulières, avec au moins une copie stockée sur un site extérieur et une copie isolée hors ligne. Les données qui ne servent plus au quotidien, mais qui n’ont pas atteint leur durée limite de conservation, sont archivées selon un processus défini, avec un accès exceptionnel. Le Code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le défaut des mesures de sécurité prescrites par le RGPD (art. 226-17).

La sensibilisation de l’équipe complète le dispositif. Le responsable du traitement informe les utilisateurs des enjeux, documente les procédures dans un langage clair et rédige une charte informatique annexée au règlement intérieur, précise Service Public Entreprendre. Un engagement de confidentialité, dont la Cnil propose un modèle, peut aussi être signé par les salariés qui accèdent aux données.

Le règlement intérieur lui-même n’est obligatoire qu’à partir de 50 salariés, selon une autre fiche de Service Public Entreprendre (F1905, vérifiée le 28 mai 2026). Une petite salle peut donc formaliser ses règles de confidentialité dans une note ou une charte remise à chaque membre de l’équipe. L’essentiel est que chacun sache ce qu’il peut consulter, et ce qu’il doit faire en cas d’incident.

En cas de violation de données, comme une divulgation non autorisée ou un accès irrégulier, le responsable doit être en mesure de prouver qu’il avait pris des mesures de sécurité adéquates, rappelle la fiche F24270. Préparer à l’avance une procédure écrite, qui dit qui prévient qui et dans quel ordre, évite d’improviser au moment où chaque heure compte.

8. Vidéoprotection, photos et image des membres

L’enregistrement de vidéosurveillance dans un magasin figure parmi les exemples de traitements de données cités par Service Public Entreprendre. Une caméra dans une salle de sport filme des personnes identifiables : elle relève donc du RGPD, et la fiche range ce type de dispositif parmi les traitements susceptibles de comporter un risque, qui imposent la tenue du registre.

Le Code de la sécurité intérieure ajoute ses propres règles. Il permet de mettre en œuvre des systèmes de vidéoprotection dans des lieux et établissements ouverts au public, afin d’y assurer la sécurité des personnes et des biens, lorsqu’ils sont particulièrement exposés à des risques d’agression ou de vol (art. L251-2). Les zones filmées et leur justification se pensent donc avant l’installation.

L’installation d’un tel système est subordonnée à une autorisation du représentant de l’État dans le département, et à Paris du préfet de police, après avis de la commission départementale de vidéoprotection (art. L252-1). Hors enquête judiciaire, les enregistrements sont détruits dans le délai maximal fixé par l’autorisation, qui ne peut excéder un mois (art. L252-5).

Les vestiaires, les douches et les espaces où l’intimité est en jeu appellent la plus grande retenue. Le Code civil pose un principe simple : « Chacun a droit au respect de sa vie privée » (art. 9). Avant de filmer un espace, le club se demande si la caméra est nécessaire, si un autre moyen suffirait, et comment il informera les personnes filmées.

Les photos prises pendant un cours ou un événement suivent la même logique. Une photo est une donnée personnelle selon Service Public Entreprendre, et sa diffusion sur un site ou un réseau social est un traitement. La réutilisation de données pour une autre finalité que celle d’origine exige un nouveau consentement : l’accord donné pour l’abonnement ne couvre pas la publication de l’image du membre.

La bonne pratique consiste à demander un accord écrit et spécifique avant toute publication, en précisant le support, et à permettre au membre de le retirer aussi facilement qu’il l’a donné. Pour une photo de groupe, chacune des personnes reconnaissables est concernée. Flouter un visage ou choisir un cadrage qui ne permet pas d’identifier les participants évite bien des difficultés.

Les mineurs demandent une attention redoublée. Les enfants figurent parmi les « personnes vulnérables » dont le traitement des données compte parmi les critères d’une analyse d’impact, selon Service Public Entreprendre. Pour un club qui accueille des adolescents, associer les parents à toute décision touchant à l’image ou aux données de leur enfant est la règle de prudence la plus sûre.

9. Prospection, cookies et marketing local

La prospection par courrier électronique ou par SMS obéit à une règle de principe. Le Code des postes et des communications électroniques interdit la prospection directe au moyen de courriers électroniques ou de systèmes automatisés utilisant les coordonnées d’une personne physique « qui n’a pas exprimé préalablement son consentement » à recevoir ces messages (art. L34-5).

La loi prévoit une exception utile aux clubs. La prospection par courrier électronique est autorisée si les coordonnées ont été recueillies auprès de la personne à l’occasion d’une vente ou d’une prestation de services, si elle porte sur des produits ou services analogues fournis par la même entreprise, et si le destinataire peut s’y opposer simplement, sans frais, à la collecte puis à chaque message.

Dans tous les cas, chaque message indique des coordonnées valables pour demander l’arrêt des envois, ne dissimule pas l’identité de l’expéditeur et porte un objet en rapport avec le service proposé (art. L34-5). En pratique, un lien de désinscription qui fonctionne dans chaque envoi, et la suppression rapide des personnes qui l’utilisent, sont les deux gestes de base.

Le parrainage, fréquent dans le secteur, pose une question particulière : les coordonnées du filleul sont transmises par un tiers. Service Public Entreprendre rappelle que, en cas de collecte indirecte, la personne doit être informée dans un délai raisonnable ne dépassant pas un mois, et que la réutilisation des données pour une nouvelle finalité demande un nouveau consentement. Le formulaire de parrainage se conçoit en conséquence.

Le site internet du club est souvent le premier point de collecte. Selon la fiche F31228 de Service Public Entreprendre, vérifiée le 13 octobre 2026, l’entreprise doit recenser les cookies et autres traceurs qu’elle utilise, identifier leur origine et leur finalité, informer les internautes et recueillir leur consentement quand il est nécessaire.

Les traceurs strictement nécessaires au fonctionnement du site, comme ceux qui maintiennent une connexion ou mémorisent un choix de langue, peuvent être utilisés sans accord. Les traceurs publicitaires nécessitent en principe un consentement préalable, recueilli avant leur dépôt. Certains traceurs de mesure d’audience peuvent être exemptés, mais seulement à des conditions précises.

Le bandeau de consentement doit permettre un choix réel : accepter, refuser ou choisir les finalités. « Le refus doit être aussi simple que l’acceptation », et la simple poursuite de la navigation ne vaut pas consentement. L’internaute doit aussi pouvoir modifier ses choix à tout moment, par exemple grâce à un lien accessible depuis chaque page du site.

Les services tiers intégrés au site comptent aussi : un lecteur vidéo, un bouton de réseau social ou un module de réservation peuvent déposer leurs propres cookies, précise la fiche. Un club qui ajoute un outil de prise de rendez-vous ou une vidéo de présentation vérifie donc ce que cet outil dépose, et l’intègre à son bandeau si nécessaire.

10. Les sanctions, et comment s’y préparer

Les sanctions sont de deux natures. Les sanctions administratives relèvent de la Cnil : rappel à l’ordre, injonction de mise en conformité, amende. Les sanctions pénales relèvent du juge : le Code pénal punit notamment les traitements opérés sans les formalités prévues par la loi (art. 226-16), sans les mesures de sécurité prescrites (art. 226-17) ou avec une conservation excessive (art. 226-20).

Les montants cités dans ce guide sont des plafonds fixés par les textes, pas des sanctions habituelles. Ils disent surtout l’importance que le législateur attache à la protection des données. Pour une salle de sport, le risque le plus concret tient souvent à la confiance : un fichier d’abonnés perdu ou un message envoyé avec toutes les adresses visibles se sait vite dans un quartier.

Les procédures naissent souvent d’une réclamation. Service Public Entreprendre rappelle que toute personne dont les données sont collectées doit être informée de son droit d’introduire une réclamation auprès de la Cnil, et la Cnil peut recevoir les plaintes relatives à la prospection directe (Code des postes et des communications électroniques, art. L34-5). Un membre bien informé et vite servi a rarement besoin de se plaindre.

La meilleure défense est documentaire. Un registre tenu à jour, des contrats de sous-traitance signés, des mentions d’information claires, des preuves de consentement datées, des procédures écrites et des demandes traitées dans les délais permettent de démontrer la bonne foi et l’organisation du club. C’est le sens du principe de responsabilité qui traverse tout le RGPD.

Pour s’organiser, une méthode en quelques temps suffit souvent. D’abord recenser les traitements et ouvrir le registre. Puis relire chaque formulaire à la lumière de la minimisation, et corriger les mentions d’information. Ensuite vérifier les contrats avec les prestataires et les accès de l’équipe. Enfin fixer les durées de conservation et planifier une revue annuelle.

Des outils publics accompagnent cette démarche. Service Public Entreprendre signale l’autodiagnostic EvalRGPD, qui mesure en ligne le niveau de conformité d’une entreprise, et renvoie vers les modèles de registre, d’engagement de confidentialité et de mentions d’information publiés par la Cnil. Un avocat ou un délégué à la protection des données valide ensuite les choix propres au club.

11. Le cas Magicfit : une conformité propre à chaque club

Les clubs Magicfit sont exploités en licence de marque ; le réseau compte 10 clubs. Selon le document d’information précontractuel, remis à chaque candidat, la licence apporte l’usage de la marque Magicfit et une zone exclusive de 20 minutes, avec une redevance uniquement fixe : aucune n’est calculée en pourcentage des recettes du club.

La licence de marque comprend aussi une identité visuelle : la charte graphique Magicfit.

Selon ce même document, la licence ne prévoit ni formation de l’exploitant, ni transmission de savoir-faire, ni aide au financement. Chaque club est exploité par une entreprise indépendante : d’après la règle rappelée par Service Public Entreprendre, son représentant légal est responsable des traitements de son entreprise, et c’est à lui de mettre en œuvre les mesures décrites dans ce guide.

Ce que chaque contrat prévoit pour un outil commun, et la répartition des rôles qui en découle, se lit dans le document d’information précontractuel et dans le projet de contrat. Un exploitant les fait relire par son avocat sur ce point comme sur les autres, avant toute signature, pendant le délai légal.

Dans tous les clubs, les membres sont encadrés par des coachs diplômés d’État, qui suivent une formation continue de 24 heures par an, et chaque club a un médecin référent. Certains clubs accueillent des ostéopathes et des coachs en activité physique adaptée (APA), et le réseau travaille avec des professionnels de santé partenaires.

Ces services font circuler des informations parfois proches de la santé. Pour l’exploitant, c’est une raison de plus de cartographier précisément qui recueille quoi, pour quelle finalité, et qui y accède. L’Abonnement Illimité sans engagement est valable dans tous les clubs de la même enseigne (Magicfit, Magicfit City, Magicfit Hit), pas d’une enseigne à l’autre.

Sources

1. Service Public Entreprendre (DILA). Obligations en matière de protection des données personnelles (RGPD), fiche F24270, vérifiée le 26 avril 2024, lu le 5 novembre 2026. Service-public.fr (Entreprendre) — Obligations en matière de protection des données personnelles (RGPD)
2. Service Public Entreprendre (DILA). Gérer les cookies et autres traceurs sur le site internet d’une entreprise, fiche F31228, vérifiée le 13 octobre 2026, lu le 5 novembre 2026. Service-public.fr (Entreprendre) — Gérer les cookies et autres traceurs sur le site internet d’une entreprise
3. Service Public Entreprendre (DILA). Règlement intérieur d’une entreprise, fiche F1905, vérifiée le 28 mai 2026, lu le 5 novembre 2026. Service-public.fr (Entreprendre) — Règlement intérieur d’une entreprise
4. Bpifrance Création. Le délégué à la protection des données, publié en février 2026, lu le 5 novembre 2026. https://bpifrance-creation.fr/encyclopedie/gerer-lentreprise/obligations-juridiques-administratives/delegue-a-protection-donnees
5. Code des postes et des communications électroniques, article L34-5, codes.droit.org, édition du 10 octobre 2026, lu le 5 novembre 2026 ; seul Légifrance fait foi. Codes.droit.org — Code des postes et des communications électroniques (PDF)
6. Code de la sécurité intérieure, articles L251-2, L252-1 et L252-5, codes.droit.org, édition du 15 octobre 2026, lu le 5 novembre 2026 ; seul Légifrance fait foi. Codes.droit.org — Code de la sécurité intérieure (PDF)
7. Code pénal, articles 226-16, 226-17, 226-18 et 226-20, codes.droit.org, édition du 20 octobre 2026, lu le 5 novembre 2026 ; seul Légifrance fait foi. Codes.droit.org — Code pénal (PDF)
8. Code civil, article 9, codes.droit.org, édition du 18 octobre 2026, lu le 5 novembre 2026 ; seul Légifrance fait foi. Codes.droit.org — Code civil (PDF)
9. Code de la santé publique, article L1111-8, codes.droit.org, édition du 1er novembre 2026, lu le 5 novembre 2026 ; seul Légifrance fait foi. Codes.droit.org — Code de la santé publique (PDF)

Sources lues et vérifiées le 5 novembre 2026