Quelles données clients tombent sous RGPD pour un coach sportif ?

Pratiquement toutes : données identifiantes (nom, email, téléphone), données de santé (poids, mesures, photos de progrès, anamnèse médicale, habitudes), données de paiement (si gérées directement), communications chat. Les données de santé sont particulièrement protégées par l'art. 9 RGPD — requièrent base juridique explicite (consentement) et mesures de sécurité majeures. Pour coachs qui travaillent avec mineurs, le niveau de protection est encore plus haut.

Puis-je continuer à utiliser WhatsApp pour communiquer avec les clients ?

Techniquement oui, mais avec implications RGPD floues. WhatsApp est hébergé hors UE (Meta/USA), le traitement données passe par serveurs américains, et la conformité avec le traitement de données de santé françaises est discutable. Pour coachs avec peu de clients adultes consentants, le risque est bas. Pour coachs avec mineurs, athlètes pros, ou volume élevé, le risque de contestation est réel. Solution propre : chat in-app intégré dans plateforme avec hébergement EU (FitSuite EU-hosted, PT Distinction UK).

Quelle information donner au client ?

Information qui inclue : (1) Responsable du traitement (vous, avec coordonnées), (2) Types de données collectées et finalités (gestion coaching, communication, facturation), (3) Base juridique (consentement explicite pour données de santé), (4) Durées de conservation (typiquement 10 ans pour facturation, 5 ans pour données de santé après fin de relation), (5) Droits du client (accès, rectification, suppression, portabilité), (6) Éventuels transferts hors UE (ex : si vous utilisez des outils USA). Templates gratuits disponibles en ligne sur le site CNIL ou adaptables via comptable/juriste (€100-300 unique).

Quel risque si je ne suis pas conforme RGPD ?

Sanctions théoriques jusqu'à 4% du CA annuel ou €20 millions (pour violations art. 9). En pratique, pour petits coachs indépendants français sans dommages prouvés au client, les sanctions effectives sont beaucoup plus basses (€500-5.000 pour violations administratives). Le vrai risque principal n'est pas les sanctions mais les procès civils de clients qui utilisent la non-conformité RGPD comme levier légal en cas d'autre différend (ex : paiement).

Dois-je nommer un DPO (Délégué à la Protection des Données) ?

Pour coachs sportifs indépendants avec peu de clients, non — le DPO est obligatoire pour administrations publiques, sujets qui font traitement systématique à grande échelle, ou traitement de données sensibles à grande échelle. La 'grande échelle' est interprétée comme des centaines/milliers de sujets. Un coach avec 30-100 clients n'est pas 'grande échelle'. Au-dessus de 500-1000 clients réguliers, il vaut la peine de consulter un juriste pour évaluation.

RGPD Coach Sportif en Ligne : le Guide Pratique 2026

RGPD est l'une de ces obligations que beaucoup de coachs sportifs ignorent jusqu'au premier problème. Puis ça devient urgent. Ce guide vous dit ce qu'il faut vraiment faire pour être conforme RGPD comme coach sportif en ligne en France en 2026, sans la sur-complication des textes juridiques et sans l'alarmisme des vendeurs de services "RGPD-in-a-box".

La vérité est au milieu : le RGPD pour coachs indépendants est gérable avec 4-6 heures de setup initial et puis quelques révisions annuelles. Mais il faut le faire.

Réponse directe

Pour un coach sportif en ligne indépendant en France en 2026 :

Information confidentialité à remettre au client avant la collecte de données (template gratuit sur cnil.fr ou personnalisé avec juriste €100-300)
Consentement explicite pour données de santé (poids, mesures, photos, anamnèse) — pas seulement pour les données identifiantes
Hébergement EU des données clients — outils EU-hosted (FitSuite, PT Distinction, Nutrium) ou évaluation RGPD pour outils USA (Trainerize, MyFitnessPal)
Procédure de suppression données sur demande client (répondre sous 30 jours)
Conservation documentée pour 10 ans (facturation) et 5 ans après fin de relation (données coaching)

Pour coachs avec mineurs ou athlètes pros, le niveau de protection est plus haut. Pour coachs avec 500+ clients, il vaut la peine de consulter un juriste dédié.

Les données que vous collectez (et qui tombent sous RGPD)

Pour un coach sportif en ligne, les données clients typiques se divisent en trois catégories :

Données identifiantes : nom, prénom, email, téléphone, adresse, numéro fiscal (pour facturation). Protection RGPD standard.

Données de santé (art. 9 RGPD) : poids, mesures corporelles, photos de progrès, anamnèse médicale, pathologies déclarées, habitudes alimentaires, cycle menstruel (si pertinent), tests fitness. Protection RGPD renforcée — requièrent consentement explicite.

Données de paiement : données carte ou coordonnées bancaires. Si gérées directement, protection renforcée (généralement déléguées à Stripe/PayPal qui ont leurs propres protections).

Les données de santé sont le point critique. Pratiquement toutes les données qu'un coach collecte comme partie normale du travail (poids, photos, anamnèse) tombent sous l'art. 9 RGPD. Cela signifie qu'il faut des bases juridiques explicites pour le traitement — le consentement générique "j'accepte la privacy policy" ne suffit pas.

Les 5 étapes pour être conforme

Étape 1 — Information confidentialité

Document que le client lit avant de vous donner des données. Doit inclure :

Responsable du traitement : vous, avec nom, SIRET, adresse, email, téléphone
Types de données collectées : identifiantes + santé + paiement
Finalités : exécution coaching, communication, facturation, éventuel envoi newsletter
Base juridique : contrat (pour coaching) + consentement explicite (pour données de santé)
Durées de conservation : 10 ans (facturation, obligation fiscale), 5 ans après fin relation (données coaching)
Droits du client : accès, rectification, suppression, portabilité, opposition, réclamation à la CNIL
Éventuels transferts hors UE : si vous utilisez outils USA (Trainerize, MyFitnessPal), doit être déclaré + indication des Standard Contractual Clauses
Sous-traitant : le fournisseur de la plateforme coaching que vous utilisez (FitSuite SRL pour FitSuite, ABC Fitness Solutions pour Trainerize, etc.)

Templates gratuits disponibles sur le site de la CNIL. Pour personnalisation, comptable ou juriste (€100-300 unique).

Étape 2 — Consentement explicite pour données de santé

L'information se remet ; le consentement se recueille. Pour les données de santé il faut consentement explicite — pas implicite ("j'accepte la privacy"), mais explicite ("je consens au traitement de mes données relatives à la santé pour les finalités de coaching").

Modalités acceptées :

Case à cocher séparée dans le formulaire d'onboarding ("Je consens au traitement des données de santé")
Signature sur formulaire papier ou numérique
Confirmation explicite via email tracé

Important : le consentement doit être granulaire. Si vous collectez à la fois données de santé et consentement pour newsletter marketing, ce sont deux consentements séparés.

Étape 3 — Hébergement EU des données clients

Les données clients doivent être sur serveurs avec protections RGPD adéquates. Trois situations :

Hébergement EU (situation propre) : plateformes avec serveurs en territoire européen + DPA publique. Exemples : FitSuite (EU-hosted by design), PT Distinction (UK, RGPD-compliant), Nutrium (Portugal). Pour celles-ci, la charge de conformité est minimale.

Hébergement USA avec SCC (situation gérable) : plateformes USA qui appliquent Standard Contractual Clauses pour le transfert données hors UE. Exemples : Trainerize, MyFitnessPal Pro, Practice Better. Pour celles-ci, doit être déclaré dans l'information + vérifier les SCC + évaluer le risque (majeur pour mineurs et athlètes).

Hébergement USA sans SCC claires (situation risquée) : certains outils mineurs n'ont pas de DPA publique ou SCC explicites. Pour données de santé, non recommandé.

WhatsApp tombe dans la troisième catégorie — le traitement données passe par serveurs Meta/USA sans DPA claire pour usage B2C professionnel. Pour coachs avec clients adultes consentants, le risque est bas ; pour mineurs et athlètes pros, le risque augmente significativement.

Étape 4 — Procédure de suppression données

Le client a le droit de demander la suppression de ses données. Vous devez :

Répondre sous 30 jours à la demande
Supprimer les données partout où elles sont conservées (plateforme coaching, email, système facturation, copies locales)
Documenter la suppression (date, confirmation à l'utilisateur)
Exception : les données avec obligation légale de conservation (factures, 10 ans) NE SE suppriment PAS. Elles sont maintenues mais pas utilisées pour finalités différentes de la conservation fiscale.

Procédure pratique : document "Politique de gestion demandes" avec les étapes à faire. Email dédié pour recevoir les demandes (ex : [email protected]). Template de réponse prêt.

Étape 5 — Registre des traitements

Pour coachs indépendants avec clients réguliers, le registre des traitements est recommandé même s'il n'est pas toujours obligatoire. Document interne qui liste :

Quelles catégories de données vous traitez
Pour quelles finalités
Avec quels outils
Pour combien de temps
À qui elles sont communiquées

Outil : fichier Excel ou Word simple, mis à jour annuellement. La CNIL le demande en cas d'inspection.

Erreurs fréquentes des coachs débutants

Erreur 1 — "Accepter la privacy" générique

Faire signer au client un consentement générique type "J'accepte les conditions et la privacy" ne suffit pas pour données de santé. Il faut consentement explicite, granulaire, séparé pour les différentes finalités.

Erreur 2 — Hébergement USA sans déclaration

Utiliser Trainerize ou MyFitnessPal sans déclarer dans l'information que les données passent par serveurs USA et sans SCC explicites. En cas de réclamation, c'est une violation RGPD exposée.

Erreur 3 — Photos de progrès sans consentement spécifique

Les photos de progrès sont données biométriques/santé particulières. Il faut consentement explicite pour la collecte, et consentement supplémentaire séparé si vous voulez les utiliser dans contenus marketing (même anonymisées).

Erreur 4 — WhatsApp comme canal principal pour mineurs

Pour coachs qui travaillent avec mineurs (sous 15 ans — la transposition française RGPD aligne à 15 ans pour consentement), la communication via WhatsApp a implications de protection du mineur spécifiques. Les plateformes coaching dédiées avec chat in-app gèrent mieux cet aspect.

Erreur 5 — Pas de procédure de réponse à demandes RGPD

Le client demande "je veux supprimer mes données". Vous avez 30 jours pour répondre et supprimer. Si vous n'avez pas procédure prête, vous vous trouvez en panique et risque de violation du délai.

La plateforme adaptée réduit drastiquement la charge

Trois choses qu'une plateforme coaching avec hébergement EU + RGPD by design vous économise :

Hébergement EU built-in : pas de Standard Contractual Clauses, pas d'évaluation de transfert données hors UE. FitSuite, PT Distinction, Nutrium ont hébergement EU par défaut.

DPA publique et signable : le Data Processing Agreement est disponible, signé, archivé. En cas d'inspection, vous le montrez.

Fonctions RGPD intégrées : suppression données sur demande, export données pour portabilité, log des accès, consentement granulaire en phase d'onboarding client.

Pour coachs qui utilisent FitSuite ou plateformes similaires, la charge RGPD est réduite à 20% de celle qui serait avec outils USA + workarounds. Vaut la considération du coût : différence pricing €0-30/mois entre options EU et USA, mais différence charge administrative significative.

En résumé

Pour coachs sportifs en ligne indépendants en France en 2026, être RGPD-compliant requiert : information confidentialité structurée, consentement explicite pour données de santé, hébergement EU pour les données clients, procédure de suppression documentée, registre des traitements pour coachs avec clients réguliers.

La charge est gérable avec 4-6 heures de setup initial (comptable ou juriste, €100-300) + révision annuelle. Les plateformes coaching EU-hosted avec RGPD by design (FitSuite, PT Distinction, Nutrium) réduisent drastiquement la complexité — l'opposé des outils USA qui requièrent SCC et évaluations de transfert.

Pour coachs avec mineurs, athlètes pros, ou plus de 500 clients, la consultation juridique dédiée est recommandée. Pour la plupart des coachs indépendants avec 20-150 clients adultes, l'autosuffisance avec bons outils est réaliste.

FitSuite a hébergement EU by design, DPA publique, consentement granulaire en onboarding, suppression données intégrée, export pour portabilité. À partir de €50/mois sur le plan standard.

RGPD Coach Sportif en Ligne : Guide Pratique 2026