RGPD y marketing para gimnasios: lo que haces mal cada día y cuánto te puede costar
Tu gimnasio probablemente incumple el RGPD ahora mismo, y no por las razones que crees. No es el aviso de cookies de tu web: son el grupo de WhatsApp con los números de todos visibles, las fotos de socios en Instagram sin cesión firmada y la newsletter a la que añades cada lead sin preguntarle. Las multas de la AEPD a pymes por estas cosas van de 1.000 a 20.000€, y el sector fitness aparece en las resoluciones con más frecuencia de la que imaginas.
Aviso necesario antes de seguir: esto es orientación práctica de alguien que vive el marketing de gimnasios, no asesoría legal. Para tu caso concreto, un profesional. Pero la mayoría de los incumplimientos de un club no requieren abogado para detectarse: requieren leer este artículo y una tarde de trabajo.
Por qué el gimnasio es zona caliente de RGPD
Un gimnasio no maneja datos como una zapatería. Maneja datos de salud, y los datos de salud son categoría especial del artículo 9 del RGPD: el nivel máximo de protección.
Piénsalo: el PAR-Q de bienvenida pregunta por lesiones, medicación y condiciones cardíacas. La báscula de composición corporal guarda peso, grasa y masa muscular con histórico. El entrenador apunta "hernia L5, evitar peso muerto" en la ficha. Cada uno de esos datos está más protegido que un email o un teléfono, y tratarlos sin consentimiento explícito específico es de las infracciones que la AEPD sanciona con menos piedad.
La paradoja del sector: cuanto mejor servicio das (valoración inicial seria, seguimiento individualizado), más datos sensibles acumulas y más superficie de riesgo tienes. No es razón para dar peor servicio. Es razón para ordenar el papeleo.
Los pecados de cada día
La lista de lo que el marketing de gimnasio hace mal de forma rutinaria:
Añadir todo lead a la newsletter. Alguien pide precios por el formulario y a la semana recibe tu boletín mensual. El consentimiento para que le contestes una consulta no cubre el marketing recurrente: son finalidades distintas y necesitan casillas distintas.
El grupo de WhatsApp del club. Grupo de "Avisos GymX" con 200 socios donde cada uno ve el número de los otros 199. Eso es una cesión de datos personales entre socios sin consentimiento. Hubo una época en que esto se resolvía con listas de difusión; hoy se resuelve con WhatsApp por API, donde cada conversación es individual.
Fotos de socios en Instagram. La foto de la clase del sábado con caras reconocibles, subida sin cesión de imagen firmada. La imagen es dato personal. Una cláusula genérica en el contrato de alta no siempre basta, y desde luego no cubre a quien la firmó hace seis años para otra cosa.
Comprar listas de contactos. Ilegal directamente. No hay matiz: una base de datos de "aficionados al fitness de tu ciudad" comprada a un tercero no tiene consentimiento válido para que tú la uses. Es de las pocas prácticas donde la sanción es casi automática si hay denuncia.
Retener datos de bajas para siempre. El socio se fue en 2019 y sigue en tu base recibiendo la promo de enero. Los datos tienen ciclo de vida; "por si vuelve" no es una base legal.
Las bases legales en cristiano
El RGPD te exige una base legal para cada uso de datos. Para un gimnasio, tres cubren casi todo:
| Base legal | Qué cubre en tu club | ¿Necesita casilla? |
|---|---|---|
| Ejecución del contrato | Cobros, recibos, comunicaciones de servicio (cambio de horario, cierre por festivo, recordatorio de reserva) | No |
| Interés legítimo | Marketing a SOCIOS actuales sobre servicios similares a los que ya tienen, con opt-out fácil en cada envío | No, pero sí opt-out visible |
| Consentimiento explícito | Leads, newsletter, fotos, datos de salud, cesión a terceros | Sí, separada y no premarcada |
La distinción útil: a tu socio puedes contarle que abres clase de spinning sin pedirle permiso extra (interés legítimo, servicio similar). Al lead que solo pidió precios no puedes meterlo en nada recurrente sin su casilla marcada. Y los datos del PAR-Q no entran en ninguna de las dos primeras filas: salud es siempre consentimiento explícito, y jamás se usan para marketing.
El interés legítimo tiene trampa de autoengaño: no es "me interesa, luego es legítimo". Exige que el socio pudiera esperar razonablemente esa comunicación y que pueda librarse de ella en un clic. Si tu "baja" requiere llamar a recepción en horario de mañanas, no tienes interés legítimo, tienes una queja en formación.
El formulario de lead correcto
El formulario que cumple y convierte tiene esta estructura:
- Nombre y teléfono (los campos mínimos del embudo, que además convierten mejor).
- Texto informativo breve debajo: quién trata los datos, para qué, y enlace a la política completa.
- Casilla 1, necesaria para enviar: "He leído la política de privacidad y acepto que GymX me contacte para responder a mi solicitud".
- Casilla 2, opcional y NO premarcada: "Quiero recibir ofertas y novedades de GymX".
Dos casillas, no una. La primera cubre responder a lo que el lead pidió; la segunda cubre el marketing futuro. Premarcar la segunda invalida el consentimiento (lo dice el RGPD y lo confirmó el TJUE), y fusionarlas en una sola contamina las dos.
¿Pierde conversión la casilla extra? Algo, sí: quizá un 20-40% de los leads no marca la segunda. Tradeoff aceptable: los que la marcan son una base de marketing limpia y defendible, y a los que no la marcan igualmente puedes responderles su consulta, que es donde se cierra la venta de verdad. Una base pequeña y legal vale más que una grande y radiactiva, sobre todo cuando llegue el día de hacer campañas de reactivación, donde la base legal del lead propio es exactamente lo que te permite escribirle.
WhatsApp y RGPD
WhatsApp es canal válido para marketing de gimnasio con dos condiciones: consentimiento previo y opt-out que funcione.
Lo primero significa que la casilla 2 del formulario debe mencionar el canal o ser razonablemente amplia ("ofertas y novedades por email o WhatsApp"). Escribir por WhatsApp a un número que solo te dejaron "para que me llaméis" es terreno pantanoso.
Lo segundo es donde fallan casi todos: si el socio responde BAJA, la baja tiene que ejecutarse de verdad, en tu sistema, no en la memoria del recepcionista. Con el WhatsApp personal del club esto es imposible de garantizar; con la API de WhatsApp es un automatismo de una regla. Y de paso resuelves el problema del grupo: conversaciones individuales, sin números expuestos, con registro de consentimientos y bajas.
Detalle que se olvida: el silencio no es opt-in. Que el lead no se haya quejado de tus tres últimos mensajes no genera consentimiento retroactivo.
Los derechos que te van a ejercer
Tarde o temprano un ex-socio (a menudo uno enfadado) te enviará un email exigiendo "que borréis todos mis datos". El derecho de supresión existe y debes atenderlo en un mes, pero no significa borrarlo todo:
- Debes borrar: datos de marketing, fotos, ficha de entrenamiento, datos de salud, historial de conversaciones comerciales.
- Puedes (y debes) retener: facturas y datos de facturación durante los plazos fiscales y mercantiles, que en España van de 4 a 6 años. Obligación legal gana a derecho de supresión, pero solo para esos datos y solo para ese fin: el ex-socio retenido por Hacienda no puede recibir ni una promo más.
El derecho de acceso es el otro frecuente: "quiero saber qué datos tenéis de mí". Si tu respuesta honesta es "están repartidos entre el software, un excel, el móvil del entrenador y una carpeta", tienes un problema de arquitectura antes que un problema legal. Un software de gestión decente exporta la ficha completa en minutos; el resto del zoo, no.
Plazo para ambos: un mes, ampliable a tres si es complejo. Ignorar la solicitud es lo que convierte una molestia en denuncia.
Cuánto cuesta hacerlo mal
Las multas RGPD de titulares (20 millones, 4% de facturación) son para Google. Lo que recibe una pyme española está en otro rango, pero duele igual: las sanciones típicas de la AEPD a pequeños negocios van de 1.000 a 20.000€ según la infracción y la actitud del sancionado.
Casos reales del sector, anonimizados: un centro deportivo sancionado con varios miles de euros por publicar imágenes de un socio en redes sin consentimiento acreditable; un gimnasio multado por seguir enviando comunicaciones comerciales a un ex-socio que había solicitado la supresión de sus datos (la combinación supresión-ignorada más spam es de las que la AEPD castiga con menos dudas); y sanciones en el rango de 2.000-5.000€ por videovigilancia mal señalizada o que captaba zonas que no debía, el clásico absoluto de las resoluciones a centros deportivos.
El patrón de las denuncias: casi nunca vienen de inspecciones de oficio. Vienen de un ex-socio cabreado, un ex-empleado o un vecino. La probabilidad de denuncia se dispara justo cuando la relación acaba mal, que es exactamente cuando tus procesos de baja de datos se ponen a prueba.
Y la multa no es el único coste: el procedimiento consume horas y abogado, y la resolución es pública con el nombre de tu empresa.
El kit mínimo de cumplimiento
Una tarde de trabajo, no un máster:
- Registro de actividades de tratamiento. Un documento simple que liste qué datos tratas, para qué, con qué base legal y cuánto los guardas. Hay plantillas de la propia AEPD para pymes (Facilita RGPD). Dos horas.
- Textos legales en formularios. Las dos casillas del apartado anterior, en la web y en el papel de recepción. Una hora.
- Contratos de encargado de tratamiento con tus herramientas. Tu software de gestión, tu plataforma de email, tu proveedor de WhatsApp tratan datos por cuenta tuya y necesitas un DPA firmado con cada uno. Los proveedores serios lo tienen como anexo descargable; si uno no lo tiene, ya sabes algo de ese proveedor, y es un punto a revisar antes de cualquier migración de software. Una hora de descargas y firmas.
- Protocolo de baja de datos. Qué se borra, qué se retiene por obligación fiscal y quién lo ejecuta cuando llega la solicitud. Media página escrita vale más que la mejor intención. Una hora.
Con esas cuatro piezas no eres inexpugnable, pero pasas de "sanción casi segura si alguien denuncia" a "negocio diligente con incidencias menores", que es donde la AEPD modula las multas hacia abajo o archiva.
Lo que no debería consolarte: "nadie me ha denunciado todavía" no es una estrategia, igual que no lo es conducir sin seguro porque nunca has tenido un accidente. La parte buena es que el marketing legal y el marketing que funciona coinciden más de lo que parece: bases propias, consentimiento real, mensajes que la gente quiere recibir y bajas que se respetan. Es la misma higiene que hace que tus campañas conviertan.