Guide · Conformité
RGPD et coach sportif : ce qu’il faut vraiment mettre en place
Suivre un client, c’est presque toujours traiter des données de santé. Voici où se situe la ligne, ce que la loi exige concrètement, et ce qui coince en pratique.
En résumé
Un coach qui note une blessure, collecte des photos de progression ou suit un cycle menstruel traite des données de santé au sens de l’article 9 du RGPD. Leur traitement est interdit par principe, sauf consentement explicite du client.
En pratique, cela suppose un registre des traitements, une information écrite remise avant la collecte, un contrat avec chaque outil utilisé, des durées de conservation définies et appliquées, et la capacité de restituer ou d’effacer un dossier sur demande.
L’hébergement certifié HDS n’est pas juridiquement obligatoire pour un coach indépendant — mais c’est le moyen le plus simple de satisfaire l’obligation de sécurité de l’article 32.
Vos données de suivi sont-elles des données de santé ?
Pas toutes, et c’est la première nuance à poser. Le RGPD définit la donnée de santé comme celle qui révèle une information sur l’état de santé d’une personne. Un poids isolé ou un nombre de pas relève plutôt du bien-être : pris seuls, ils ne disent rien d’un état physiologique.
La bascule se produit dès que la donnée est interprétée pour caractériser cet état, ou qu’elle est associée à un élément qui, lui, ne laisse aucun doute. Voici ce qui fait entrer un dossier de coaching dans le champ de l’article 9 sans discussion possible :
- Une blessure, une pathologie ou une contre-indication notée dans le dossier
- Un traitement médical ou une allergie renseignés au moment du bilan
- Des photos de progression, qui révèlent la morphologie et parfois une pathologie
- Un suivi du cycle menstruel — santé reproductive, la catégorie la plus sensible
- Un antécédent de trouble du comportement alimentaire
- Un certificat médical de non contre-indication conservé dans vos fichiers
Autrement dit : la question n’est pas de savoir si vous êtes concerné, mais quand vous l’êtes devenu. Un questionnaire de bilan initial suffit généralement à y basculer dès le premier client.
La règle de l’article 9 : interdit, sauf exception
Le RGPD ne se contente pas d’encadrer les données de santé, il en interdit le traitement par principe. Dix exceptions permettent d’y déroger, et une seule est réellement praticable pour un coach : le consentement explicite de la personne concernée.
L’exception qui couvre la médecine préventive est parfois invoquée à tort. Elle est réservée aux professionnels soumis au secret professionnel — un coach sportif n’en est pas un, et ne peut donc pas s’en prévaloir.
Un consentement valable est libre, spécifique, éclairé et univoque. Libre signifie que le refus ne doit pas priver le client de la prestation qu’il a achetée. Spécifique signifie un consentement par finalité : celui qui couvre le suivi de l’entraînement ne couvre pas la publication d’une photo avant/après, ni le suivi d’un cycle menstruel. Et il doit pouvoir être retiré aussi facilement qu’il a été donné.
Dernier point, celui qu’on oublie : la charge de la preuve pèse sur vous. Vous devez être en mesure de démontrer que le consentement a été recueilli, donc de l’horodater et de le conserver. Un accord donné oralement en début d’accompagnement ne se prouve pas.
Les 7 obligations concrètes
Elles s’appliquent quel que soit votre statut. Le RGPD ne prévoit aucun seuil de chiffre d’affaires ni d’effectif : un auto-entrepreneur avec trois clients est responsable de traitement au même titre qu’une salle de sport.
- 01
Tenir un registre des traitements
Art. 30Un tableau qui liste, pour chaque traitement : la finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité. L'exemption prévue pour les structures de moins de 250 salariés tombe dès qu'on traite des données sensibles de façon régulière.
Beaucoup de coachs indépendants croient l'exemption acquise parce qu'ils travaillent seuls. Elle ne s'applique pas à eux.
- 02
Informer vos clients par écrit
Art. 13Qui traite les données, pourquoi, sur quelle base légale, combien de temps, qui d'autre y a accès, et quels droits le client peut exercer. Cette information doit être remise avant la collecte, pas au moment où le client réclame son dossier.
Une mention noyée au milieu du contrat de coaching ne suffit pas : l’information doit être distincte et lisible.
- 03
Recueillir un consentement explicite et le prouver
Art. 7 et 9.2.aLibre, spécifique, éclairé, univoque. Une case pré-cochée ne vaut rien. Le consentement doit pouvoir être retiré aussi facilement qu'il a été donné, et vous devez être en mesure de démontrer qu'il a été donné — donc de le horodater et de le conserver.
Un consentement global « j'accepte le suivi » ne couvre pas une finalité aussi particulière que le suivi du cycle menstruel : elle exige son propre consentement, refusable sans perdre l'accès au reste.
- 04
Sécuriser les données
Art. 32Chiffrement en transit et au repos, accès limité aux seules personnes qui en ont besoin, journalisation des consultations, sauvegardes testées. Le texte demande des mesures « appropriées au risque » : sur des données de santé, le curseur est haut.
- 05
Fixer et appliquer des durées de conservation
Art. 5.1.eUne durée par catégorie de données, définie à l'avance, annoncée au client et réellement appliquée. Conserver « au cas où » est en soi un manquement, et un écart entre la durée annoncée et la durée pratiquée en est un second.
Les factures obéissent à une autre règle : le code de commerce impose 10 ans. Elles se conservent à part, pas en gardant tout le dossier de suivi avec.
- 06
Encadrer chaque outil par un contrat de sous-traitance
Art. 28Tout prestataire qui voit passer les données de vos clients est un sous-traitant : hébergeur, messagerie, stockage de photos, outil de facturation, plateforme de visio. Chacun doit être couvert par un accord de traitement (DPA) que vous êtes capable de produire.
C'est l'obligation la plus souvent ignorée, alors que c'est la plus facile à contrôler : on vous demandera la liste de vos sous-traitants et les contrats correspondants.
- 07
Maîtriser les transferts hors Union européenne
Chapitre VUn outil américain implique un transfert de données hors UE. Il faut alors une base juridique — décision d'adéquation ou clauses contractuelles types — et une analyse du niveau de protection réellement offert dans le pays de destination.
Sur des données de santé, le plus simple reste de ne pas transférer du tout : un hébergement européen supprime la question au lieu de la documenter.
Et l’analyse d’impact (AIPD) ? Elle n’est pas systématique. Elle devient obligatoire lorsque le traitement présente un risque élevé, ce qui suppose généralement de croiser données sensibles, grande échelle et personnes vulnérables. Un coach indépendant suivant quelques dizaines de clients n’atteint pas cette échelle. Documentez tout de même le raisonnement qui vous conduit à cette conclusion : c’est exactement ce qu’on vous demandera de produire en cas de contrôle.
Quatre pratiques courantes qui posent problème
Aucune n’est illégale en soi. Le problème n’est jamais l’outil : c’est l’absence de contrat, de durée de conservation et de traçabilité autour de lui.
Photos de progression envoyées par messagerie grand public
Aucun contrat de sous-traitance adapté à des données de santé, aucune maîtrise de la durée de conservation, et les photos restent dans la galerie des deux téléphones — y compris après la fin de l'accompagnement.
Suivi client dans un tableur partagé par lien
Un lien de partage est un accès non tracé : vous ne pouvez pas dire qui a consulté quoi ni quand. C'est précisément ce que l'obligation de sécurité vous demande de pouvoir établir.
Dossiers clients dans un espace de stockage personnel
Le compte personnel mélange votre vie privée et les données de vos clients. Une compromission emporte les deux, et la séparation des finalités devient indémontrable.
Photos avant/après publiées sur les réseaux
Publier une transformation identifiable, c'est rendre publique une donnée de santé. Cela suppose un consentement écrit distinct de celui du suivi, retirable — et donc une publication que vous vous engagez à retirer.
HDS : obligatoire ou pas ?
L’obligation d’hébergement certifié HDS figure à l’article L1111-8 du code de la santé publique. Elle vise les données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Un coach sportif n’exerce aucune de ces activités.
La conclusion est nette : la certification HDS ne vous est pas imposée. Si un éditeur vous affirme le contraire pour vous vendre son abonnement, il vous raconte une histoire.
Cela ne signifie pas qu’elle soit sans intérêt. L’article 32 du RGPD vous impose des mesures de sécurité « appropriées au risque », et sur des données de santé le curseur est haut. Passer par un hébergeur certifié, c’est s’appuyer sur un audit déjà réalisé par un organisme tiers plutôt que d’avoir à démontrer soi-même chaque mesure. C’est un raccourci de preuve, pas une obligation.
Une précision de vocabulaire, enfin, qui vous évitera de reprendre une formulation fausse : c’est l’hébergeur qui détient la certification, jamais l’application. Une « application certifiée HDS » n’existe pas.
Ce que vous risquez réellement
Le plafond de 20 millions d’euros ou 4 % du chiffre d’affaires mondial est brandi partout et n’a aucun rapport avec la situation d’un indépendant. Le scénario réaliste est différent : un client dépose une plainte, la CNIL contrôle, une mise en demeure suit. Elle est fréquemment rendue publique, avec le nom de la structure.
La sanction financière n’intervient qu’en l’absence de mise en conformité, et la procédure simplifiée de la CNIL plafonne à 20 000 euros. Pour la plupart des coachs, le coût réel se situe ailleurs : dans la relation avec un client qui découvre que ses photos ont circulé sans cadre, et qui parle autour de lui.
La checklist de mise en conformité
Dix points. Aucun ne demande un juriste, tous demandent d’être écrits quelque part et tenus à jour.
- Rédiger le registre des traitements et le dater
- Remettre une notice d’information distincte avant la première collecte
- Recueillir un consentement explicite, horodaté et conservé
- Prévoir un consentement séparé pour les finalités les plus sensibles
- Lister tous les outils qui voient les données et récupérer leur DPA
- Vérifier où chaque outil héberge les données
- Fixer une durée de conservation par catégorie et l’appliquer
- Savoir exporter le dossier complet d’un client en moins d’un mois
- Savoir supprimer un dossier, y compris les photos et les sauvegardes
- Documenter pourquoi une analyse d’impact n’est pas nécessaire, si vous concluez qu’elle ne l’est pas
Questions fréquentes
Un coach sportif est-il concerné par le RGPD ?
Oui. Dès qu'un coach conserve le nom, l'e-mail ou le suivi d'un client, il traite des données à caractère personnel et devient responsable de traitement. Le statut d'auto-entrepreneur ou le fait de travailler seul ne change rien : le RGPD ne prévoit aucun seuil de chiffre d'affaires ni d'effectif pour s'appliquer.
Le poids et les mensurations d’un client sont-ils des données de santé ?
Pas automatiquement. Une mesure brute relève plutôt du bien-être. Elle devient une donnée de santé dès qu'elle est interprétée pour caractériser un état physiologique, ou dès qu'elle est associée à une blessure, une pathologie, un traitement, des photos corporelles ou un suivi de cycle. En pratique, un dossier de coaching complet contient presque toujours au moins un de ces éléments et bascule donc sous l'article 9 du RGPD.
Un coach sportif doit-il tenir un registre des traitements ?
Oui, dans la quasi-totalité des cas. L'exemption prévue à l'article 30 pour les structures de moins de 250 salariés cesse de s'appliquer dès que le traitement porte sur des données sensibles ou qu'il n'est pas occasionnel. Un suivi client régulier remplit les deux conditions, même pour un coach qui exerce seul.
Puis-je envoyer les photos de progression de mes clients par messagerie grand public ?
Rien ne l'interdit formellement, mais c'est difficile à défendre. Vous n'avez pas de contrat de sous-traitance adapté à des données de santé, pas de maîtrise de la durée de conservation, et les photos subsistent dans la galerie des deux téléphones après la fin de l'accompagnement. Si vous conservez cette pratique, il faut au minimum un consentement explicite qui la mentionne et une procédure de suppression que vous appliquez vraiment.
Un coach sportif est-il obligé d’utiliser un hébergeur certifié HDS ?
Non. L'obligation d'hébergement certifié HDS, prévue à l'article L1111-8 du code de la santé publique, vise les données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Un coach sportif n'exerce aucune de ces activités et n'est donc pas légalement tenu par cette certification. En revanche, l'article 32 du RGPD lui impose des mesures de sécurité appropriées au risque, et un hébergeur certifié est le moyen le plus simple de démontrer que cette obligation a été prise au sérieux. Attention à la formulation : c'est l'hébergeur qui détient la certification, jamais l'application.
Combien de temps puis-je conserver les données d’un ancien client ?
Le RGPD ne fixe pas de durée chiffrée : il exige une durée définie, justifiée par la finalité, annoncée au client et réellement appliquée. Une pratique défendable consiste à supprimer les données de suivi à la fin de l'accompagnement, en conservant éventuellement un court délai de réversibilité si le client peut revenir. Les factures obéissent à une règle distincte, le code de commerce imposant leur conservation pendant dix ans.
Ai-je besoin d’un délégué à la protection des données (DPO) ?
Presque jamais en tant que coach indépendant. La désignation d'un DPO n'est obligatoire que pour les autorités publiques, pour les organismes dont l'activité de base consiste en un suivi systématique à grande échelle, ou pour ceux qui traitent des données sensibles à grande échelle. Un coach suivant quelques dizaines de clients n'atteint pas cette échelle. Vous restez néanmoins tenu d'indiquer un point de contact à qui vos clients peuvent adresser leurs demandes.
Que risque concrètement un coach sportif qui n’est pas en conformité ?
Le plafond théorique de 20 millions d'euros ou 4 % du chiffre d'affaires mondial n'a aucun rapport avec la réalité d'un indépendant. Le scénario réaliste commence par la plainte d'un client, se poursuit par un contrôle puis une mise en demeure, souvent rendue publique avec le nom de la structure, et ne débouche sur une sanction financière qu'en l'absence de mise en conformité. La procédure simplifiée de la CNIL plafonne à 20 000 euros. Le risque principal reste réputationnel : la confiance d'un client dont les photos ont circulé sans cadre ne se récupère pas.
Ce guide est fourni à titre informatif et ne constitue pas un conseil juridique. Il reflète l’état du droit à sa date de publication. Pour une situation particulière, rapprochez-vous d’un avocat ou consultez les publications de la CNIL.