Cuestionarios médicos en gimnasios: datos de salud del socio y RGPD

Q: ¿Puede un gimnasio pedir un cuestionario médico al socio en el alta?

Sí, pero el cuestionario médico debe estar justificado por una finalidad concreta vinculada a la seguridad del socio durante la práctica deportiva y al deber de diligencia del centro, y debe limitarse a la información estrictamente necesaria. Los datos obtenidos son datos de salud (categoría especial, art. 9 RGPD) y exigen una doble base jurídica: la base general del art. 6 RGPD (ejecución del contrato de socio o interés legítimo del centro en evitar daños) y una excepción del art. 9.2 RGPD que permita el tratamiento de categorías especiales (típicamente consentimiento explícito del socio o, en supuestos puntuales, interés vital cuando la información puede ser determinante en una urgencia). El centro debe informar con transparencia, custodiar el cuestionario con medidas reforzadas, restringir el acceso al personal con función directa y conservarlo solo durante el tiempo necesario.

Q: ¿Cuál es la base jurídica para tratar los datos de salud del socio en un gimnasio?

Los datos de salud son categoría especial del art. 9 RGPD y su tratamiento requiere doble base: una del art. 6 RGPD (ejecución del contrato del socio, interés legítimo del centro en prevenir daños o cumplimiento de obligaciones de seguridad) y una excepción del art. 9.2 RGPD que levante la prohibición general. Las excepciones aplicables en un gimnasio son típicamente: el consentimiento explícito del socio (art. 9.2.a) para que el centro custodie y consulte la información del cuestionario al diseñar entrenamientos o resolver incidencias, y el interés vital del socio o de otra persona física (art. 9.2.c) cuando una situación de urgencia requiere acceder a información médica relevante sin esperar a un consentimiento previo. La prestación efectiva del servicio (gestión deportiva ordinaria) se apoya en el contrato (art. 6.1.b); la capa adicional del dato de salud necesita el consentimiento explícito documentado, separado de la firma del contrato general.

Q: ¿Quién en el gimnasio puede acceder al cuestionario médico del socio?

El acceso debe limitarse al personal con función directa sobre la prestación del servicio que motive el tratamiento: típicamente el técnico deportivo o entrenador asignado, el responsable de sala que diseña la rutina, el monitor de la clase a la que el socio se ha apuntado y el responsable médico-deportivo del centro si lo hay. No deben acceder ni la recepción general, ni el personal de limpieza, ni el equipo administrativo o de marketing. El centro debe documentar el listado de perfiles autorizados, formar a esas personas en la confidencialidad reforzada de la información, establecer medidas técnicas de control (carpetas restringidas, software de gestión con permisos por rol, claves individuales) y registrar de manera trazable los accesos cuando el sistema lo permita. La política de seguridad del centro debe describir expresamente este punto.

Q: ¿Durante cuánto tiempo puede conservar el gimnasio el cuestionario médico del socio?

Solo mientras la información tenga utilidad operativa real y, en su caso, hasta los plazos necesarios para la defensa frente a posibles reclamaciones derivadas de incidencias durante la práctica deportiva. Como criterio general, mientras el socio esté en activo el cuestionario debe estar disponible y actualizarse periódicamente (revisión anual o tras incidencias); tras la baja del socio, debe pasar a un archivo de acceso muy restringido durante el plazo civil aplicable (art. 1964 Código Civil, cinco años desde que pudo exigirse el cumplimiento) y eliminarse después de forma segura. El consentimiento explícito original puede ser retirado por el socio en cualquier momento; en ese caso, el centro debe valorar si puede seguir prestando ciertas modalidades de servicio (entrenamiento personalizado con riesgo, programas específicos) o si debe reconducir la actividad a una modalidad estándar.

Muchos gimnasios, boxes de CrossFit, estudios de pilates y centros de entrenamiento personal incorporan en el alta del socio un cuestionario médico inicial (también llamado PAR-Q, cuestionario de aptitud física, ficha de condición o similar). El objetivo es razonable: conocer lesiones previas, contraindicaciones para ciertos ejercicios, patologías crónicas relevantes para la actividad, alergias y medicación que pudiera ser determinante en una urgencia. Pero esa información son datos de salud: categoría especial del art. 9 RGPD, sujeta a un régimen reforzado.

Esta guía explica cómo tratar legalmente el cuestionario médico del socio: bases jurídicas, consentimiento explícito, custodia segura, acceso restringido y plazos de conservación, conforme al RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018).

El cuestionario médico como categoría especial del art. 9 RGPD

Aunque el formulario lo cumplimente el propio socio, sin intervención de profesionales sanitarios, la información resultante son datos de salud a efectos del art. 4.15 RGPD: información relativa a la salud física o mental que revela información sobre su estado. El régimen es el del art. 9 RGPD: la prohibición general de tratamiento, salvo que aplique alguna de las excepciones tasadas del art. 9.2.

Esto activa la doctrina de la doble base jurídica: cualquier tratamiento de datos del art. 9 requiere apoyarse simultáneamente en una base del art. 6 RGPD y en una excepción del art. 9.2. No basta con una sola.

La doble base jurídica aplicable

Escenario	Base del art. 6	Excepción del art. 9.2
Cuestionario general en el alta	Ejecución del contrato del socio o interés legítimo del centro (6.1.b/6.1.f)	Consentimiento explícito (9.2.a)
Información médica para urgencias	Interés legítimo del centro (6.1.f)	Interés vital del socio (9.2.c)
Entrenamiento personal de socio con patología	Ejecución del contrato del servicio personalizado (6.1.b)	Consentimiento explícito (9.2.a)
Reclamación o defensa jurídica	Interés legítimo del centro (6.1.f)	Reclamaciones (9.2.f)

El escenario más habitual (cuestionario en el alta para guiar entrenamientos y prevenir daños) se apoya típicamente en ejecución del contrato del socio + consentimiento explícito. El consentimiento debe ser específico, separado del consentimiento general del alta, libre, informado e inequívoco, y debe poder revocarse con la misma facilidad con la que se otorgó (art. 7.3 RGPD).

Cómo recoger el consentimiento explícito correctamente

Las prácticas que en otros contextos (matrícula educativa, alta hotelera, contrato laboral) podrían bastar, aquí no son suficientes. Buenas prácticas operativas:

Casilla específica desmarcada en el formulario online o en el cuestionario en papel, separada de la firma general del contrato. La redacción debe ser clara: "Consiento expresamente que [nombre del centro] trate la información médica facilitada para diseñar mis entrenamientos, asistirme ante una incidencia y custodiarla en mi ficha de socio".
Información previa: antes de la casilla, una cláusula breve que explique qué datos se piden, para qué, quién accederá, durante cuánto tiempo y cómo retirar el consentimiento.
Granularidad: si el centro quiere usar la información también para fines distintos del entrenamiento personal del socio (estadísticas internas anonimizadas, programas específicos, contacto comercial sobre servicios médicos asociados), debe pedirse un consentimiento adicional separado.
Documentación: el centro debe poder demostrar que el consentimiento se prestó (firma, registro electrónico, fecha) ante una eventual reclamación o inspección.
Revocación operativa: el socio debe poder retirar el consentimiento en cualquier momento, en recepción o a través de la app, sin penalizaciones.

Un "acepto los términos generales" del alta no sirve como consentimiento explícito del art. 9.2.a para los datos del cuestionario médico.

Interés vital: cuándo aplica de verdad

La excepción del art. 9.2.c RGPD (interés vital del interesado o de otra persona física) está pensada para situaciones donde la persona no está en condiciones de prestar consentimiento (inconsciencia, urgencia médica) y la información puede ser determinante para preservar su vida o salud. En un gimnasio, esto se traduce en escenarios concretos:

Una incidencia en sala (mareo, caída, pérdida de conciencia) donde el técnico necesita saber si el socio tiene una patología cardíaca conocida, alergia grave o medicación crítica antes de la llegada de los servicios de emergencia.
Comunicación al equipo médico de emergencia, una vez personado, de la información relevante que el centro custodia.

El interés vital no es una base permanente para custodiar el cuestionario: legitima el acceso y la comunicación en la urgencia, pero la custodia previa y ordinaria se apoya en el consentimiento explícito del socio. El centro debe describir esta articulación con claridad en su documentación interna.

Custodia segura del cuestionario médico

Las medidas técnicas y organizativas deben ser reforzadas respecto del estándar general del centro:

Soporte físico: si el cuestionario está en papel, armario cerrado con llave, acceso restringido al personal autorizado, política de "mesas limpias" y destrucción mediante destructora cuando vencen los plazos.
Soporte digital: software de gestión con permisos granulares por rol, cifrado en reposo, copia de seguridad cifrada, registros de acceso (logs) cuando el sistema lo permita.
Personal autorizado: lista cerrada de perfiles con acceso (técnico asignado, responsable de sala, monitor de clase, responsable médico-deportivo si lo hay). No deben acceder recepción general, limpieza, marketing ni administración pura.
Prohibición operativa de transmitir el cuestionario por WhatsApp, email no cifrado o canales personales del personal.
Formación específica al personal autorizado sobre la confidencialidad reforzada de la información y los protocolos de uso.
Contratos con proveedores del software de gestión que incluyan medidas adecuadas para datos del art. 9 RGPD y, en su caso, garantías para transferencias internacionales (Data Privacy Framework cuando el proveedor es estadounidense).

"El cuestionario médico del socio no es un trámite de papelería: es un dato de salud que la ley protege con un régimen reforzado. Pedirlo en una hoja firmada junto al contrato general, dejarlo en una carpeta abierta en recepción y consultarlo en voz alta no es un detalle administrativo. Es un incumplimiento con consecuencias."

Mario P. Talamillo · Socio director, Certix®

Plazos de conservación

El cuestionario debe conservarse solo mientras tenga utilidad operativa real y, en su caso, hasta los plazos necesarios para la defensa frente a posibles reclamaciones derivadas de incidencias durante la práctica deportiva. Criterios prácticos:

Socio activo: cuestionario disponible y actualizado periódicamente (revisión anual o tras incidencia relevante).
Tras la baja del socio: archivo bloqueado de acceso muy restringido durante el plazo civil aplicable (art. 1964 Código Civil, cinco años desde que pudo exigirse el cumplimiento) y eliminación segura tras vencer.
Revocación del consentimiento: el centro debe valorar si puede seguir prestando determinadas modalidades (entrenamiento personalizado con riesgo) o reconducir a actividad estándar. La revocación no afecta a la licitud del tratamiento previo (art. 7.3 RGPD).
Anonimización: si el centro quiere conservar estadística interna sobre tipos de patologías para diseñar oferta, debe anonimizar de forma irreversible.

Errores frecuentes a evitar

Pedir el cuestionario en el alta sin cláusula informativa específica.
Confundir la firma del contrato general con el consentimiento explícito del art. 9.2.a.
Dejar los cuestionarios en papel a la vista en recepción.
Compartir información médica del socio por WhatsApp entre monitores.
Conservar los cuestionarios indefinidamente "por si acaso", sin política de bloqueo y destrucción.
No diferenciar el papel del personal autorizado del resto de la plantilla.
No actualizar el cuestionario tras una incidencia relevante (lesión, cirugía).

Checklist del cuestionario médico

Cláusula informativa específica antes del cuestionario, separada del contrato general.
Consentimiento explícito del art. 9.2.a con casilla específica desmarcada.
Descripción del tratamiento en el RAT con bases jurídicas correctas (doble base).
Lista cerrada de perfiles con acceso autorizado.
Medidas técnicas reforzadas (armario cerrado o software con permisos por rol y cifrado).
Formación específica al personal autorizado.
Procedimiento documentado de revocación del consentimiento.
Política de conservación y bloqueo tras la baja del socio.
Procedimiento para incidencias y acceso de emergencia (interés vital).
Contratos del art. 28 RGPD con proveedores del software de gestión adecuados a datos del art. 9.

Preguntas frecuentes

¿Puede un gimnasio pedir un cuestionario médico al socio en el alta?

Sí, justificado por la seguridad del socio y limitado a la información necesaria. Son datos del art. 9 RGPD que exigen doble base: art. 6 (contrato o interés legítimo) y art. 9.2 (consentimiento explícito o interés vital). El centro debe informar con transparencia, custodiar con medidas reforzadas y restringir el acceso al personal con función directa.

¿Cuál es la base jurídica para tratar los datos de salud del socio?

Doble base: art. 6 (ejecución de contrato del socio, interés legítimo) y art. 9.2 (consentimiento explícito del socio o interés vital en urgencias). El consentimiento debe ser específico y separado del general del alta. El interés vital cubre el acceso en la urgencia, no la custodia ordinaria.

¿Quién en el gimnasio puede acceder al cuestionario médico del socio?

Solo el personal con función directa: técnico asignado, responsable de sala, monitor de la clase, responsable médico-deportivo si lo hay. No deben acceder recepción general, limpieza, marketing ni administración pura. Listado documentado, formación específica y permisos por rol en el software.

¿Durante cuánto tiempo puede conservar el gimnasio el cuestionario médico?

Mientras el socio esté en activo, disponible y actualizado periódicamente. Tras la baja, archivo bloqueado durante el plazo civil aplicable (art. 1964 CC, cinco años) y eliminación segura tras vencer. La revocación del consentimiento no afecta a la licitud del tratamiento previo.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.

¿Quieres ordenar el tratamiento de los datos de salud de tus socios?

En Certix te asignamos un experto en cumplimiento del sector deportivo. Análisis individualizado del cuestionario, cláusulas y custodia.

Hablar con un experto