RGPD coach sportif : le protocole pour protéger vos clients

Depuis le 25 mai 2018, le RGPD s’applique au coach sportif indépendant : dès que vous enregistrez un nom, un téléphone ou un bilan, vous traitez des données personnelles. Dans une recherche « rgpd coach sportif », le point critique est le bilan : douleur, pathologie, traitement, grossesse ou limitation peuvent constituer des données de santé, une catégorie particulièrement protégée. Vous devez donc limiter les informations recueillies, choisir une base légale, informer vos clients, fixer des durées de conservation et encadrer vos logiciels.

Ce sujet s’inscrit dans un système administratif plus large : notre guide sur la gestion de l’activité d’un coach sportif aide à organiser les tâches récurrentes. Ici, l’objectif est plus précis : repartir avec un protocole RGPD applicable à vos dossiers clients, même si vous travaillez seul.

1. Identifiez les données réellement sensibles de votre bilan

Le RGPD ne protège pas seulement les informations médicales écrites par un médecin. La CNIL considère comme donnée de santé toute information qui révèle, même indirectement, l’état de santé physique ou mentale d’une personne. Le contexte compte donc beaucoup.

Une case « objectif : perdre 5 kg » n’est pas automatiquement une donnée de santé. En revanche, les éléments suivants peuvent le devenir :

• douleur au dos, tendinite, ancienne fracture ou opération ;
• traitement en cours, allergie, contre-indication ou limitation fonctionnelle ;
• grossesse, période post-partum ou trouble alimentaire ;
• diagnostic communiqué par le client, compte rendu ou certificat médical ;
• mesures et observations qui permettent de déduire une condition physique ou médicale.

Votre première règle est la minimisation : ne demandez pas le diagnostic si vous avez seulement besoin de connaître une contrainte d’exercice. « Quels mouvements devez-vous éviter ? » peut être plus pertinent que « Quelle est votre pathologie ? ». Ne stockez pas non plus une copie du dossier médical si une information synthétique et utile à la séance suffit.

Le coach est généralement responsable du traitement

Si vous choisissez le formulaire, le logiciel, les finalités et les personnes qui accèdent au dossier, vous êtes le responsable du traitement. Le fait d’utiliser une application ne transfère pas cette responsabilité. Le prestataire qui héberge ou traite vos données sur vos instructions est généralement un sous-traitant.

Créez un registre simple, même sur une page : catégorie de données, finalité, base légale, destinataires, durée de conservation, outil utilisé et mesures de sécurité. L’exception qui dispense parfois les très petites structures de registre ne vise pas les traitements réguliers présentant un risque ou portant sur des catégories particulières comme la santé. Pour un coach qui remplit un bilan de santé à chaque nouveau client, tenir ce registre est la position prudente et opérationnelle.

2. Choisissez la bonne base légale : deux conditions, pas une seule

Pour les données ordinaires, l’article 6 du règlement (UE) 2016/679 prévoit une base légale : contrat, obligation légale, consentement, intérêt légitime ou autre cas prévu par le texte. Les données de santé relèvent en plus de l’article 9. Il faut donc franchir deux verrous : une base de l’article 6 et une exception autorisant le traitement de données de santé.

Pour un coach sportif indépendant qui recueille volontairement des informations de santé afin d’adapter son accompagnement, le consentement explicite est souvent la voie la plus lisible. Il doit être libre, spécifique, informé et prouvable. Une signature générale au bas d’un contrat ne suffit pas si elle ne distingue pas clairement l’accord portant sur les données de santé.

Le formulaire à mettre en place

1. Présentez d’abord la finalité : évaluer la faisabilité de l’accompagnement et adapter les séances.
2. Demandez uniquement les informations nécessaires, avec des champs facultatifs quand la réponse n’est pas indispensable.
3. Ajoutez une case distincte, non pré-cochée, portant sur le traitement des informations de santé.
4. Indiquez l’identité du coach, les outils utilisés, les destinataires, la durée prévue et les droits du client.
5. Conservez la preuve de la version présentée et de l’accord donné, sans conserver davantage de données médicales que nécessaire.

Vous pouvez partir d’une formulation à adapter : « J’accepte que [nom du coach] traite les informations de santé que je fournis, uniquement pour évaluer la compatibilité de l’accompagnement et adapter les séances. Je peux retirer mon consentement à tout moment en écrivant à [adresse]. » Cette phrase ne remplace pas une notice complète. Elle sépare simplement l’accord santé du contrat et des communications commerciales.

Le consentement n’est pas un moyen de rendre obligatoire une information inutile. Si le client refuse de répondre, vous devez pouvoir expliquer concrètement ce que vous ne pouvez pas évaluer ou sécuriser. Ne demandez jamais un accès global à un dossier médical pour vous couvrir : cela augmente votre responsabilité sans améliorer nécessairement votre décision.

3. Fixez une durée de conservation défendable

Le RGPD ne donne pas une durée universelle du type « cinq ans pour tous les bilans ». La durée dépend de la finalité. La CNIL recommande de définir une durée de conservation, puis de supprimer ou d’archiver les données lorsqu’elles ne sont plus nécessaires.

Voici une grille de départ pour un coach indépendant. Les durées concernant les données de santé sont des règles de gestion à documenter, pas des délais légaux automatiques.

Les repères de 3 ans pour la prospection et de 10 ans pour les documents comptables ne doivent pas être mélangés avec le dossier de santé. Le premier vient des recommandations de la CNIL sur la prospection ; le second est rappelé par Entreprendre.Service-Public.fr. Une facture peut donc rester archivée alors que le bilan de santé doit déjà avoir été supprimé.

Chaque mois, faites une revue des clients dont l’accompagnement est terminé. Exportez uniquement ce qui doit l’être, supprimez les champs de santé des outils inutiles et videz la corbeille du service utilisé. Une donnée pseudonymisée n’est pas forcément anonyme : si vous pouvez retrouver la personne avec une autre table, elle reste une donnée personnelle.

4. Contrôlez vos sous-traitants avant de leur confier un bilan

Votre responsabilité ne s’arrête pas lorsque le formulaire est envoyé vers un logiciel. Faites la liste de tous les services qui voient ou hébergent les données : réservation en ligne, stockage cloud, messagerie, visioconférence, paiement, sauvegarde, signature électronique et outil de suivi client.

Pour chaque prestataire, vérifiez les éléments suivants dans les conditions contractuelles ou l’annexe de traitement :

• le prestataire agit-il sur vos instructions et décrit-il précisément les données traitées ?
• le contrat prévoit-il la confidentialité, la sécurité, l’assistance en cas de demande d’un client et la notification d’une violation ?
• les données sont-elles hébergées dans l’Union européenne ou un transfert hors UE est-il encadré par un mécanisme valide ?
• les sous-traitants ultérieurs sont-ils identifiés et pouvez-vous vous opposer à un changement important ?
• pouvez-vous récupérer puis supprimer les données à la fin du contrat ?

L’article de la CNIL sur les sous-traitants rappelle que l’article 28 du RGPD impose un encadrement contractuel et des garanties suffisantes. Un abonnement bon marché ne constitue pas une garantie de conformité. À l’inverse, un outil installé en France n’est pas automatiquement conforme : il faut aussi examiner ses accès, ses sauvegardes, ses sous-traitants et ses usages secondaires.

Le paiement mérite une distinction. Un prestataire de paiement peut être responsable de ses propres traitements liés à la lutte contre la fraude ou aux obligations financières, tout en étant votre sous-traitant pour une autre opération. Ne cochez donc pas une case « conforme RGPD » sans lire la répartition des rôles.

5. Organisez les droits des clients et les incidents

Un client peut demander l’accès à ses données, leur rectification, leur effacement ou la limitation d’un traitement. Il peut aussi s’opposer à la prospection et, dans certains cas, demander la portabilité. Ces droits ne sont pas tous absolus : une obligation de conservation comptable peut empêcher l’effacement d’une facture, par exemple.

La réponse doit intervenir au plus tard dans le délai d’un mois prévu par l’article 12 du RGPD. En cas de demande complexe, ce délai peut être prolongé de 2 mois, à condition d’en informer le client pendant le premier mois. La demande peut arriver par email ; ne renvoyez pas systématiquement vers un formulaire supplémentaire.

Le traitement d’une demande en quatre étapes

1. Notez la date de réception, l’identité du demandeur et le droit invoqué.
2. Vérifiez raisonnablement l’identité si la demande expose des informations sensibles ; ne demandez pas une copie de pièce d’identité par réflexe.
3. Recherchez les données dans chaque outil, y compris les sauvegardes accessibles, puis distinguez santé, facturation et prospection.
4. Répondez par écrit en listant les actions réalisées et les éventuels refus justifiés par une obligation légale.

Préparez également un protocole de violation : téléphone perdu, compte piraté, email envoyé au mauvais destinataire ou export partagé par erreur. Contenez l’incident, changez les accès, identifiez les données concernées et notez les heures. Si la violation présente un risque pour les personnes, la CNIL indique qu’une notification doit être faite dans les 72 heures après sa découverte, lorsque cela est applicable. Un risque élevé peut aussi imposer d’informer directement les clients. Même lorsqu’aucune notification n’est requise, conservez une trace de l’analyse.

6. Le protocole RGPD coach sportif en 7 jours

Ne cherchez pas à produire un dossier de 50 pages. Voici une progression courte, reproductible à chaque changement d’outil ou d’offre. Elle constitue une méthode de gestion, pas une certification juridique.

1. Jour 1 : exportez la liste de vos données. Notez où se trouvent les bilans, emails, réservations, factures et sauvegardes. Marquez séparément les données de santé.
2. Jour 2 : réduisez le formulaire. Supprimez les questions dont vous ne pouvez pas expliquer l’utilité et remplacez les diagnostics par des contraintes pratiques lorsque cela suffit.
3. Jour 3 : rédigez la notice d’information et le consentement explicite séparé. Ajoutez votre identité, votre adresse de contact, les finalités, les outils, les durées et les droits.
4. Jour 4 : auditez les prestataires. Téléchargez leurs conditions de traitement, vérifiez les transferts hors UE et confirmez la possibilité d’export et de suppression.
5. Jour 5 : sécurisez les accès : mot de passe unique, double authentification quand elle existe, verrouillage automatique des appareils, mises à jour et sauvegarde contrôlée.
6. Jour 6 : créez trois modèles d’email : demande d’accès, demande d’effacement et notification interne d’incident. Inscrivez la date limite de réponse d’un mois dans votre suivi.
7. Jour 7 : testez le parcours avec un faux client. Demandez où sont ses données, simulez un export, puis vérifiez qu’une suppression n’efface pas par erreur vos pièces comptables.

À l’issue de ces sept jours, inscrivez dans votre registre une règle de revue mensuelle et une revue fournisseur annuelle. Le point important n’est pas d’afficher un logo de conformité : c’est de pouvoir expliquer, pour chaque donnée, pourquoi vous la collectez, qui la reçoit et quand vous la supprimez.

Un outil de gestion peut faciliter la séparation des informations, l’export ou la suppression, mais il ne choisit pas votre base légale et ne vérifie pas à votre place la pertinence d’une question médicale. Avant d’y intégrer des bilans, contrôlez ses fonctions de gestion des données et des fonctionnalités, demandez ses documents contractuels et n’activez que les champs nécessaires. La règle de décision est simple : si un prestataire ne vous permet pas d’identifier les accès, la durée, l’export et la suppression, n’y stockez pas vos données de santé.