RGPD et marketing pour les salles de sport : ce que vous faites mal chaque jour et ce que ça peut vous coûter
Votre salle de sport est probablement en infraction avec le RGPD en ce moment même, et pas pour les raisons que vous croyez. Ce n'est pas le bandeau de cookies de votre site : c'est le groupe WhatsApp où chaque membre voit le numéro des autres, les photos de membres sur Instagram sans cession d'image signée, et la newsletter dans laquelle vous ajoutez chaque lead sans lui demander. Les amendes de l'autorité espagnole de protection des données (AEPD) aux PME pour ces pratiques vont de 1 000 à 20 000€, et le secteur fitness apparaît dans les décisions bien plus souvent que vous ne l'imaginez.
Avertissement nécessaire avant de continuer : ceci est un éclairage pratique venant de quelqu'un qui vit le marketing des salles de sport, pas un conseil juridique. Pour votre situation spécifique, consultez un professionnel. Mais la plupart des manquements d'un club ne nécessitent pas d'avocat pour être identifiés : ils nécessitent de lire cet article et un après-midi de travail.
Pourquoi la salle de sport est une zone sensible RGPD
Une salle de sport ne gère pas des données comme un magasin de chaussures. Elle gère des données de santé, et les données de santé relèvent de l'article 9 du RGPD comme catégorie spéciale : le niveau de protection le plus élevé.
Réfléchissez-y : le questionnaire de santé d'accueil (PAR-Q) demande les blessures, médicaments et antécédents cardiaques. La balance de composition corporelle enregistre poids, masse grasse et masse musculaire avec un historique. Le coach note « hernie L5, éviter le soulevé de terre » dans la fiche membre. Chacun de ces éléments est plus protégé qu'une adresse email ou un numéro de téléphone, et les traiter sans consentement explicite spécifique est l'une des infractions que les autorités sanctionnent le plus fermement.
Le paradoxe du secteur : mieux vous servez vos membres (bilan initial sérieux, suivi individualisé), plus vous accumulez de données sensibles et plus votre surface de risque s'élargit. Ce n'est pas une raison de moins bien servir vos clients. C'est une raison de mettre votre documentation en ordre.
Les infractions du quotidien
Ce que le marketing des salles de sport fait mal de manière routinière :
Ajouter chaque lead à la newsletter. Quelqu'un demande des tarifs via le formulaire et, une semaine plus tard, reçoit votre bulletin mensuel. Le consentement pour répondre à une demande ne couvre pas le marketing récurrent, ce sont des finalités différentes qui nécessitent des cases à cocher différentes.
Le groupe WhatsApp du club. Un groupe « Infos GymX » avec 200 membres où chacun voit le numéro des 199 autres. C'est une communication de données personnelles entre membres sans consentement. Il fut un temps où les listes de diffusion réglaient ce problème ; aujourd'hui, la solution c'est WhatsApp par API, où chaque conversation est individuelle.
Les photos de membres sur Instagram. La photo du cours du samedi avec des visages reconnaissables, publiée sans cession d'image signée. L'image d'une personne est une donnée personnelle. Une clause générique dans le contrat d'adhésion ne suffit pas toujours, et elle ne couvre certainement pas quelqu'un qui l'a signée il y a six ans pour autre chose.
Acheter des listes de contacts. Directement illégal. Sans nuance : une base de données d'« amateurs de fitness dans votre ville » achetée à un tiers ne dispose pas de consentement valable pour que vous l'utilisiez. C'est l'une des rares pratiques où une plainte entraîne une sanction quasi automatique.
Conserver indéfiniment les données des anciens membres. Le membre est parti en 2019 et figure encore dans votre base en recevant la promo de janvier. Les données ont un cycle de vie ; « au cas où il reviendrait » n'est pas une base légale.
Les bases légales expliquées clairement
Le RGPD vous impose une base légale pour chaque utilisation des données. Pour une salle de sport, trois couvrent presque tout :
| Base légale | Ce qu'elle couvre dans votre club | Case à cocher nécessaire ? |
|---|---|---|
| Exécution du contrat | Prélèvements, reçus, communications de service (changement d'horaire, fermeture pour jour férié, rappel de réservation) | Non |
| Intérêt légitime | Marketing aux membres actuels sur des services similaires à ceux dont ils disposent déjà, avec désinscription facile dans chaque message | Non, mais opt-out visible obligatoire |
| Consentement explicite | Leads, newsletter, photos, données de santé, transmission à des tiers | Oui, séparée et non pré-cochée |
La distinction utile : vous pouvez informer votre membre de l'ouverture d'un cours de spinning sans lui demander d'autorisation supplémentaire (intérêt légitime, service similaire). Vous ne pouvez pas inclure le lead qui n'a demandé que des tarifs dans quoi que ce soit de récurrent sans sa case cochée. Et les données du PAR-Q n'entrent dans aucune des deux premières lignes : santé, c'est toujours consentement explicite, et ces données ne sont jamais utilisées pour du marketing.
L'intérêt légitime comporte un piège : ce n'est pas « ça m'intéresse, donc c'est légitime ». Il faut que le membre ait pu raisonnablement s'attendre à cette communication et qu'il puisse s'en désabonner en un clic. Si votre processus de désinscription implique d'appeler la réception pendant les horaires du matin, vous n'avez pas d'intérêt légitime, vous avez une plainte en gestation.
Le bon formulaire de lead
Le formulaire qui est conforme et qui convertit a cette structure :
- Nom et numéro de téléphone (les champs minimaux du tunnel, qui convertissent aussi mieux).
- Court texte informatif en dessous : qui traite les données, dans quel but, et lien vers la politique complète.
- Case 1, obligatoire pour envoyer : « J'ai lu la politique de confidentialité et j'accepte que GymX me contacte pour répondre à ma demande. »
- Case 2, facultative et NON pré-cochée : « Je souhaite recevoir des offres et des nouveautés de GymX. »
Deux cases, pas une. La première couvre la réponse à ce que le lead a demandé ; la seconde couvre le marketing futur. Pré-cocher la seconde invalide le consentement (le RGPD le dit, la CJUE l'a confirmé), et les fusionner en une seule contamine les deux.
La case supplémentaire fait-elle baisser la conversion ? Quelque peu, peut-être 20 à 40% des leads ne cocheront pas la seconde. Compromis acceptable : ceux qui la cochent constituent une base marketing propre et défendable, et ceux qui ne la cochent pas reçoivent quand même une réponse à leur demande, c'est là que la vente se conclut vraiment. Une base petite et légale vaut plus qu'une base grande et risquée, surtout quand viendra le moment des campagnes de réactivation, où disposer d'une base légale solide est exactement ce qui vous permet de les recontacter.
WhatsApp et RGPD
WhatsApp est un canal valide pour le marketing d'une salle de sport à deux conditions : consentement préalable et opt-out fonctionnel.
La première condition signifie que la case 2 du formulaire doit mentionner le canal ou être suffisamment large (« offres et nouveautés par email ou WhatsApp »). Écrire par WhatsApp à un numéro que quelqu'un vous a donné « pour que vous l'appeliez » est un terrain glissant.
La seconde est là où presque tout le monde échoue : si un membre répond STOP, la désinscription doit réellement s'effectuer dans votre système, pas dans la mémoire de l'hôte d'accueil. Avec le WhatsApp personnel du club, c'est impossible à garantir ; avec l'API WhatsApp, c'est une règle automatique. Et ça résout au passage le problème du groupe : conversations individuelles, numéros non exposés, avec enregistrement des consentements et désinscriptions.
Un détail qu'on oublie souvent : le silence n'est pas un opt-in. Le fait qu'un lead ne se soit pas plaint de vos trois derniers messages ne crée pas un consentement rétroactif.
Les droits qu'on va vous opposer
Tôt ou tard, un ex-membre (souvent mécontent) vous enverra un email exigeant que vous « supprimiez toutes ses données ». Le droit à l'effacement existe et vous devez y répondre dans un délai d'un mois, mais cela ne signifie pas tout supprimer :
- Vous devez supprimer : données marketing, photos, fiche d'entraînement, données de santé, historique des échanges commerciaux.
- Vous pouvez (et devez) conserver : factures et données de facturation pendant les délais fiscaux et commerciaux, qui en Espagne vont de 4 à 6 ans. L'obligation légale l'emporte sur le droit à l'effacement, mais uniquement pour ces données et uniquement à cette fin : l'ex-membre conservé pour raisons fiscales ne peut plus recevoir la moindre promotion.
Le droit d'accès est l'autre demande fréquente : « Je veux savoir quelles données vous avez sur moi. » Si votre réponse honnête est « elles sont dispersées entre le logiciel, un tableur, le téléphone du coach et un dossier », vous avez un problème d'organisation avant d'avoir un problème juridique. Un logiciel de gestion sérieux exporte le dossier complet en quelques minutes ; le reste du zoo, non.
Délai pour les deux : un mois, extensible à trois si c'est complexe. Ignorer la demande, c'est ce qui transforme un désagrément en plainte formelle.
Ce que ça coûte de mal faire les choses
Les amendes RGPD dont parlent les gros titres (20 millions, 4% du chiffre d'affaires) sont pour Google. Ce que reçoit une PME espagnole est d'un autre ordre, mais fait tout autant mal : les sanctions typiques de l'AEPD aux petites structures vont de 1 000 à 20 000€ selon l'infraction et l'attitude de la partie sanctionnée.
Des cas réels du secteur, anonymisés : un centre sportif condamné à plusieurs milliers d'euros pour avoir publié des images d'un membre sur les réseaux sans consentement vérifiable ; une salle de sport sanctionnée pour avoir continué à envoyer des communications commerciales à un ex-membre ayant demandé la suppression de ses données (la combinaison suppression-ignorée plus spam est l'une de celles que l'AEPD sanctionne sans hésiter) ; et des amendes dans la fourchette 2 000–5 000€ pour des caméras de surveillance mal signalées ou filmant des zones inappropriées, le classique absolu dans les décisions visant les centres sportifs.
Le schéma des plaintes : elles ne viennent presque jamais d'inspections d'office. Elles viennent d'un ex-membre en colère, d'un ex-employé ou d'un voisin. La probabilité d'une plainte monte en flèche précisément quand une relation se termine mal, c'est exactement le moment où vos processus de suppression de données sont mis à l'épreuve.
Et l'amende n'est pas le seul coût : la procédure consomme des heures et des honoraires d'avocat, et la décision est publique avec le nom de votre entreprise.
Le kit de conformité minimum
Un après-midi de travail, pas un master :
- Registre des activités de traitement. Un document simple listant quelles données vous traitez, dans quel but, sur quelle base légale et combien de temps vous les conservez. L'AEPD elle-même propose des modèles pour les PME (Facilita RGPD). Deux heures.
- Textes légaux dans les formulaires. Les deux cases du point précédent, sur votre site et sur le formulaire papier à l'accueil. Une heure.
- Contrats de sous-traitance avec vos outils. Votre logiciel de gestion, votre plateforme email, votre prestataire WhatsApp traitent tous des données pour votre compte, vous avez besoin d'un DPA signé avec chacun. Les prestataires sérieux le proposent en annexe téléchargeable ; si l'un ne l'a pas, vous apprenez quelque chose sur ce prestataire, à vérifier avant toute migration logicielle. Une heure de téléchargements et signatures.
- Protocole de suppression des données. Ce qui est supprimé, ce qui est conservé par obligation fiscale et qui l'exécute quand la demande arrive. Une demi-page rédigée vaut mieux que la meilleure des intentions. Une heure.
Avec ces quatre éléments, vous n'êtes pas invulnérable, mais vous passez de « sanction quasi certaine si quelqu'un se plaint » à « établissement diligent avec des incidents mineurs », c'est là que l'AEPD module les amendes à la baisse ou classe l'affaire.
Ce qui ne devrait pas vous rassurer : « personne ne m'a encore dénoncé » n'est pas une stratégie, tout comme conduire sans assurance parce qu'on n'a jamais eu d'accident. La bonne nouvelle, c'est que marketing légal et marketing efficace se rejoignent plus qu'on ne le croit : données propres, consentement réel, messages que les gens veulent recevoir et désabonnements respectés. C'est la même hygiène qui fait convertir vos campagnes.