RGPD et données des licenciés : le mode d'emploi du club sportif

Le RGPD, dans un club amateur, se résume souvent à deux réflexes : une case « j'accepte » ajoutée au bulletin d'inscription, et la conviction que « de toute façon, on est trop petits ». Les deux sont faux. Aucun seuil de taille n'existe dans le règlement européen, et la case unique est précisément le type de consentement que la CNIL juge irrecevable. Voici ce qui s'applique réellement à un club, dans l'ordre où un bureau peut s'en occuper.

Oui, votre club est concerné — y compris le classeur du club-house

Le règlement ne pose aucun seuil de budget, d'effectif ou de statut : le critère est le traitement de données personnelles. La CNIL vise explicitement les clubs sportifs dans son guide destiné aux associations, et précise que les fichiers papier sont concernés au même titre que les fichiers informatiques. Le classeur de fiches d'inscription rangé dans l'armoire est un traitement.

Deux points de cadrage utiles :

• Il n'y a plus rien à déclarer à la CNIL depuis le 25 mai 2018. En contrepartie, le club doit pouvoir démontrer sa conformité à tout moment.
• Le responsable de traitement est la personne morale, incarnée par son représentant légal — le président. Ce n'est pas le bénévole qui tient le tableur qui est en première ligne, c'est le club. Notre guide sur le bureau d'un club sportif revient sur cette responsabilité du représentant légal.

La bonne base légale n'est presque jamais le consentement

C'est l'erreur de raisonnement la plus répandue, et elle se retourne contre le club : fonder la gestion des adhésions sur le consentement ouvrirait aux adhérents un droit de retrait qui bloquerait le fonctionnement. L'article 6 du règlement offre six bases, et la CNIL indique lesquelles conviennent à une association :

• gestion des adhésions et des licences : exécution du contrat conclu entre le club et l'adhérent ou son représentant légal ;
• paie et déclarations sociales des salariés : obligation légale ;
• envoi d'informations par voie postale aux membres : intérêt légitime ;
• prospection électronique auprès de non-membres : consentement.

Le consentement reste donc réservé à trois cas : les photos, les données de santé et le démarchage électronique de personnes qui ne sont pas adhérentes.

Pour la newsletter interne, la CNIL est claire : un club peut écrire à ses membres par courriel dès lors qu'ils ont été informés de cet usage au moment de la collecte et qu'ils peuvent s'opposer à recevoir ces messages, via un lien de désinscription simple et gratuit dans chaque envoi. C'est un régime d'information et d'opposition, pas d'opt-in. En revanche, transmettre le fichier à une autre association pour du démarchage électronique exige, lui, un accord explicite donné dès la collecte.

Certificat médical et questionnaire de santé : ce que le club ne doit plus demander

C'est le conseil le plus immédiatement actionnable de cet article, et celui que la plupart des clubs n'ont pas encore appliqué.

Depuis la loi du 2 mars 2022, le certificat médical n'est plus exigé de plein droit des majeurs : chaque fédération décide de le requérir ou non selon la discipline. Pour les mineurs, le décret du 7 mai 2021 a instauré un questionnaire de santé rempli conjointement par l'enfant et les titulaires de l'autorité parentale. Et voici le point décisif : l'article D231-1-4-1 du code du sport prévoit que les parents attestent que chaque rubrique donne lieu à une réponse négative. À défaut, ils produisent un certificat médical.

Le seul document que la réglementation impose de produire est donc l'attestation. Le questionnaire renseigné ne figure pas parmi les pièces à transmettre : un club qui l'exige, le collecte ou le conserve traite des données de santé sans nécessité, en contradiction avec le principe de minimisation. Notre guide sur le certificat médical et le questionnaire de santé détaille les cas où un certificat reste obligatoire — notamment les disciplines à contraintes particulières, où il doit dater de moins d'un an.

Deux autres interdits fermes sur les données sensibles :

• le numéro de sécurité sociale et la copie de la carte Vitale n'ont pas à être demandés à un adhérent ; le club ne peut les traiter qu'en qualité d'employeur, pour ses salariés ;
• l'extrait de casier judiciaire ne peut pas être réclamé aux bénévoles ou salariés — la CNIL parle d'une interdiction de principe « que le consentement de la personne concernée ne lève pas ». Le contrôle d'honorabilité des encadrants passe par le circuit administratif dédié, comme l'explique notre guide sur l'encadrement bénévole et l'honorabilité.

En stage ou en séjour, en revanche, collecter les allergies alimentaires est légitime, après accord écrit du représentant légal, avec un accès restreint et une suppression à la fin du séjour.

Le registre : obligatoire, malgré ce qu'on lit partout

« Le registre est facultatif en dessous de 250 membres » : cette phrase contient deux erreurs. D'abord, le seuil de l'article 30 du règlement vise 250 employés, pas 250 licenciés — un club de 400 adhérents sans salarié est donc « sous le seuil ». Ensuite et surtout, la dérogation tombe dès qu'une seule des trois conditions est remplie : traitement non occasionnel, ou portant sur des données sensibles, ou présentant un risque. Un fichier d'adhérents tenu toute l'année, avec des attestations de santé, en coche deux.

La position de la CNIL est explicite : l'obligation « concerne tous les organismes, publics comme privés et quelle que soit leur taille », la dérogation étant « limitée à des cas très particuliers ». Ce n'est pas théorique : en 2024, deux sociétés de moins de 250 salariés ont été sanctionnées pour absence de registre.

La bonne nouvelle est que la CNIL publie un modèle de registre simplifié au format tableur, conçu pour les petites structures. Pour un club moyen, comptez quatre à six fiches : adhérents et licences, bénévoles et encadrants, comptabilité et cotisations, communication, site internet et photos, et le cas échéant salariés. Chaque fiche indique la finalité, les catégories de données, qui y accède, à qui elles sont communiquées, la durée de conservation et les mesures de sécurité.

Non, vous n'avez pas besoin d'un délégué à la protection des données

L'article 37 n'impose un DPO que dans trois cas : organisme public, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles. Un club amateur ne relève d'aucun des trois, et la CNIL le confirme pour le sport : « ce n'est a priori pas une obligation ». Elle l'encourage sans l'imposer — et rappelle qu'un DPO peut être mutualisé, ce qui est une piste concrète au niveau d'un comité départemental ou d'une ligue.

Même logique pour l'analyse d'impact : quelques attestations de santé ne la déclenchent pas.

Photos des licenciés : la case unique ne vaut rien

Dès qu'une image permet d'identifier un sportif, sa captation et sa diffusion constituent un traitement de données personnelles, qui s'ajoute au droit à l'image. La CNIL demande d'informer les sportifs de chacune des utilisations prévues, de recueillir l'autorisation préalable de l'intéressé ou de son représentant légal, de limiter l'usage à la finalité annoncée et d'adapter la durée de conservation.

Concrètement, sont irrecevables : la case pré-cochée, la case unique couvrant « toute utilisation », l'autorisation dont le refus empêcherait l'adhésion, et l'autorisation sans durée. Ce qui fonctionne : des cases distinctes par support — site du club, réseaux sociaux, affiche et presse locale, trombinoscope interne — non pré-cochées, révocables, datées, et signées par le titulaire de l'autorité parentale pour un mineur. La CNIL signale une vigilance particulière sur la publication de photographies de mineurs.

À l'inverse, la publication des résultats sportifs relève d'un régime plus souple : information préalable et droit d'opposition simple, par exemple une case sur le formulaire d'engagement en compétition.

Enfin, une question de minimisation que la CNIL pose littéralement aux clubs : la photographie de l'adhérent est-elle indispensable si aucun trombinoscope n'est constitué ?

Votre club est sous-traitant de sa fédération — et il lui faut un contrat

C'est la partie la plus mal comprise, et elle se règle en un appel. La répartition des rôles est la suivante :

• la fédération est responsable de traitement pour le formulaire de demande de licence ;
• le club est responsable de traitement pour son propre bulletin d'adhésion ;
• le club est sous-traitant de la fédération quand il collecte et saisit, pour son compte, les données du formulaire fédéral.

La CNIL en tire une conséquence directe : « un contrat de sous-traitance devra être passé entre la fédération et le club ». Il prend souvent la forme d'un accord-cadre fédéral. La question à poser à sa fédération — existe-t-il un tel accord, et où le récupérer ? — n'est pratiquement jamais posée, alors qu'elle se verse ensuite au registre. Notre guide sur l'affiliation à une fédération sportive explique ce que recouvre par ailleurs cette relation.

Deuxième conséquence : formulaire de licence et bulletin d'adhésion sont deux documents distincts. La CNIL relève que les formulaires remis aux familles collectent fréquemment des données qui ne sont pas nécessaires à la délivrance de la licence.

À distinguer enfin des prestataires du club — hébergeur du site, outil d'emailing, logiciel de gestion choisi par le club — qui sont ses propres sous-traitants et supposent un contrat de sa part.

Qui a le droit de voir quoi, dans et hors du club

À l'intérieur du club, la CNIL donne un exemple précis : les informations relatives au paiement des cotisations ne doivent être accessibles qu'aux personnes chargées de leur suivi, « ni à l'ensemble des adhérents, ni même à l'ensemble des personnes en charge des entraînements ». L'entraîneur n'a pas à savoir qui est à jour.

À l'extérieur, deux refus sont opposables :

• la mairie ne peut pas exiger la liste nominative des adhérents, ni conditionner une subvention à sa transmission ; elle peut demander le budget et les comptes ;
• un adhérent ne peut obtenir la liste des autres membres que si les statuts le prévoient expressément et si la communication a un lien direct avec l'activité. Sans clause statutaire, pas d'annuaire diffusable. Notre guide sur la création d'une association sportive revient sur la rédaction des statuts.

Corollaire pratique : les envois collectifs se font en copie cachée. Un courriel en copie visible divulgue toutes les adresses des adhérents à tous — ce qui constitue une violation de données.

Répondre aux demandes : un mois, et surtout ne pas ignorer

Les adhérents disposent des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Deux limites protègent le club : la portabilité ne concerne que les données fournies par la personne, traitées de façon automatisée, sur la base du consentement ou du contrat — les dossiers papier en sont exclus. Et l'opposition suppose d'invoquer des raisons particulières ; elle peut être refusée lorsque le traitement repose sur une obligation légale.

Le délai de réponse est d'un mois, extensible à trois en cas de complexité à condition d'en informer la personne dans le premier mois. Le plus simple est de créer une adresse de contact dédiée.

Ce délai n'est pas un détail. Sur les 83 sanctions prononcées par la CNIL en 2025, le défaut de coopération figure parmi les tout premiers manquements, à égalité avec les défauts de sécurité et le non-respect des droits des personnes. Pour un club, le risque réel n'est pas d'avoir un registre imparfait : c'est de ne pas répondre à un adhérent, puis de ne pas répondre à la CNIL.

En cas de fuite : 72 heures

La CNIL donne trois exemples de violation de données qui sont exactement les trois scénarios d'un club : le courriel envoyé aux mauvais destinataires, l'ordinateur ou la clé USB perdus, la publication involontaire d'un fichier en ligne.

La conduite à tenir comporte trois niveaux :

• toujours consigner l'incident dans un registre interne des violations, même sans notification — il est vérifié en cas de contrôle ;
• s'il existe un risque, notifier la CNIL dans les 72 heures ;
• si le risque est élevé, informer également les personnes concernées.

Pour un club, la présence de mineurs et de données de santé fait mécaniquement monter le niveau de risque : un fichier de licenciés mineurs divulgué se notifie.

Ce que la recherche dit de cette charge

Il faut être honnête sur un point : il n'existe pas d'étude académique portant spécifiquement sur le RGPD dans les associations sportives. En revanche, deux travaux éclairent le contexte.

L'enquête européenne coordonnée par Ørnulf Seippel et publiée en 2023 dans le Journal of Global Sport Management (voir l'étude), menée auprès de plus de 30 000 clubs sportifs dans neuf pays, hiérarchise les difficultés déclarées : le recrutement et la fidélisation des dirigeants bénévoles arrivent en deuxième position, cités par 26,9 % des clubs, juste derrière la disponibilité des équipements et devant la situation financière. Les auteurs montrent aussi que la capacité de planification réduit significativement ces problèmes. Traduction : la conformité pèse sur le maillon déjà le plus tendu du club, et se traite mieux par un minimum de formalisation que par l'improvisation.

Le travail de Peter Ehnold et de son équipe publié en 2021 dans Sport, Business and Management (voir l'étude), fondé sur 787 clubs allemands et autrichiens, montre que les outils numériques servent d'abord à la communication (93,7 % des clubs) et à la transmission des données d'adhérents aux fédérations (82,1 %). Autrement dit, la question de la sous-traitance fédérale n'a rien de théorique : elle concerne déjà quatre clubs sur cinq.

En résumé

• Le RGPD s'applique quelle que soit la taille du club, et aux fichiers papier comme aux fichiers informatiques.
• La base légale des adhésions est l'exécution du contrat, pas le consentement.
• Le questionnaire de santé d'un mineur n'a pas à être transmis au club : seule l'attestation de réponses négatives est requise.
• Ni le numéro de sécurité sociale ni l'extrait de casier judiciaire ne peuvent être demandés.
• Le registre des traitements est en pratique obligatoire ; la CNIL fournit un modèle simplifié.
• Aucun délégué à la protection des données n'est obligatoire pour un club amateur.
• L'autorisation d'image doit être granulaire, non pré-cochée, datée et révocable.
• Un contrat de sous-traitance doit exister entre le club et sa fédération : demandez-le.
• Une demande d'adhérent se traite en un mois ; l'ignorer est le vrai risque.