|
Données de santé, mineurs, plateformes : la CNIL durcit les contrôles en 2026. Voici les six chantiers structurants pour un coach sportif en ligne. |
Introduction
Un coach sportif en ligne traite, sans toujours en avoir conscience, certaines des données les plus sensibles du Règlement général sur la protection des données : poids, mesures, antécédents médicaux, photos de progression, journaux alimentaires.
À ces données s'ajoutent fréquemment celles de mineurs, dès lors que la clientèle inclut des sportifs de moins de dix-huit ans.
La CNIL a annoncé un plan de contrôle prioritaire pour 2026 ciblant les acteurs du sport, justifié par la multiplication des fuites de données et la sensibilité accrue des informations traitées. Les coachs indépendants et les plateformes de coaching en ligne ne sont pas directement nommés, mais la doctrine est claire : les mêmes exigences leur seront appliquées.
Je détaille ici les six chantiers structurants qui transforment une activité de coaching en ligne en activité conforme, opposable en cas de contrôle, et défendable en cas de violation.
1. Reconnaître que la quasi-totalité de vos données sont des données de santé
L'article 4, point 15, du RGPD vise toute information relative à l'état physique ou mental d'une personne, y compris les données qui révèlent indirectement cet état.
Or, sauf erreur de ma part, un journal alimentaire, des photos de progression, un bilan corporel ou une fiche d'antécédents médicaux entrent presque toujours dans cette définition.
La conséquence est lourde : ces traitements relèvent du régime renforcé de l'article 9 du RGPD, qui interdit en principe le traitement, sauf à recueillir un consentement explicite ou à pouvoir invoquer une autre exception strictement listée.
Cette qualification doit être assumée dans la documentation et dans les formulaires de collecte.
2. Cartographier les traitements et tenir un registre
L'article 30 du RGPD impose la tenue d'un registre des activités de traitement à tout responsable de traitement qui manipule des données sensibles, ce qui est presque systématique pour un coach.
Le registre liste les finalités (suivi nutritionnel, gestion de la facturation, prospection, gestion des plaintes), les catégories de données, les durées de conservation, les destinataires et les mesures de sécurité.
Il est exigible dès le premier jour de contrôle, et son absence constitue une non-conformité documentaire immédiate.
À mon sens, le registre tenu sérieusement est aussi le meilleur outil de pilotage : il oblige à clarifier ce qui est réellement traité et ce qui devrait l'être autrement.
3. Recueillir un consentement explicite, séparé des conditions générales
L'article 7 du RGPD exige un consentement libre, spécifique, éclairé et univoque. Pour les données de santé, j'estime qu'une case dédiée, distincte de l'acceptation des conditions générales, mentionnant la finalité précise et la possibilité de retrait à tout moment, est la seule rédaction réellement opposable.
Le consentement noyé dans les CGV est, en pratique, juridiquement fragile et régulièrement écarté par la CNIL.
La rédaction des cases et le parcours utilisateur doivent être conçus comme des actes contractuels, pas comme une simple case à cocher en bas de page.
4. Sécuriser techniquement les données
L'article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Pour un coach indépendant, cela passe au minimum par le chiffrement des supports de stockage, une politique de mots de passe robuste, l'utilisation d'outils professionnels distincts des outils personnels, la gestion fine des accès, la désactivation des comptes inactifs et la suppression effective des données après la fin de la prestation.
Pour une plateforme, l'enjeu s'élargit à la sécurité des sous-traitants, qui doivent eux-mêmes documenter leur conformité dans le contrat prévu à l'article 28 du RGPD.
5. Définir des durées de conservation et préparer la violation à 72 heures
Les données ne peuvent être conservées au-delà de ce qui est nécessaire à la finalité. Je recommande une distinction nette entre la base active (pendant la prestation et trois mois après pour clôturer la relation), l'archivage intermédiaire (jusqu'à la prescription civile ou fiscale applicable) et la suppression effective.
L'article 33 du RGPD impose la notification à la CNIL dans les 72 heures de toute violation présentant un risque pour les droits et libertés des personnes.
Un cloud piraté, un ordinateur volé ou un fichier client exposé entrent dans ce périmètre.
À défaut de procédure interne écrite et de modèle de notification prêt, le délai est presque toujours dépassé, ce qui constitue une faute autonome distincte de la violation elle-même.
6. Encadrer les mineurs et documenter la politique d'information parentale
Pour les clients mineurs, le consentement doit être recueilli auprès des titulaires de l'autorité parentale lorsque le mineur a moins de quinze ans.
Au-delà, le mineur peut consentir lui-même, en information conjointe avec les parents.
Toute photo, bilan corporel ou journal alimentaire d'un mineur appelle une vigilance renforcée : minimisation, anonymisation lorsque c'est possible, suppression à la majorité si la finalité n'est plus active.
À mon sens, un coach qui suit des mineurs doit documenter expressément sa politique d'information parentale et la procédure de retrait.
A noter : Au-delà de la conformité juridique, la qualité de la documentation RGPD est devenue un argument commercial auprès de clients de plus en plus attentifs à la confidentialité de leurs données.
Erreurs fréquentes
• Considérer que les données traitées ne sont pas des données de santé, et ainsi s’afrranchir des dispositions de l'article 9 du RGPD.
• Noyer le consentement RGPD dans les conditions générales, sans case séparée.
• Ne pas tenir de registre des traitements ou en tenir un superficiel.
• Ne pas avoir préparé la procédure de notification à 72 heures.
• Ne pas distinguer la base active, l'archivage intermédiaire et la suppression effective.
Checklist
1. Cartographier l'ensemble des traitements et tenir un registre à jour.
2. Refondre les formulaires de collecte pour intégrer un consentement explicite séparé.
3. Chiffrer les supports et mettre en place une politique de mots de passe robuste.
4. Définir des durées de conservation par catégorie de données.
5. Rédiger une politique de confidentialité conforme et la rendre accessible.
6. Signer des contrats de sous-traitance avec tous les outils utilisés (CRM, hébergeur, messagerie, application de suivi).
7. Préparer une procédure interne de gestion des violations.
8. Mettre en place un processus pour traiter les demandes d'exercice des droits.
9. Adapter les pratiques aux clients mineurs.
10. Documenter la conformité dans un dossier centralisé.
Conclusion
Le RGPD n'est pas un risque théorique pour un coach sportif en ligne : c'est le seul terrain sur lequel la CNIL peut sanctionner directement, lourdement et publiquement. Le plan de contrôle 2026 sur le secteur sportif rappelle que la maturité de l'écosystème va devoir progresser rapidement. Pour les coachs et plateformes qui prennent les devants, la conformité devient un actif commercial autant qu'une obligation légale.
|
Romain BRIERE Avocat au barreau de Grasse romain.briere@avocat.fr Prendre rendez-vous · https://consultation.avocat.fr/avocat-antibes/romain-briere-51790.html |
Sources et références
• Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD), articles 4, 5, 6, 7, 9, 13, 14, 28, 30, 32, 33, 35 et 83.
• Loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
• Communiqué CNIL « Contrôles prioritaires 2026 ».
• Fiches pratiques CNIL « Données de santé » et « Mineurs et protection des données ».
Pas de contribution, soyez le premier