Un gimnasio, centro deportivo, box de CrossFit, estudio de pilates o sala de entrenamiento personal es responsable del tratamiento de datos personales desde el primer socio dado de alta. Identificativos, datos de contacto, datos económicos (domiciliación SEPA o tarjeta), datos de uso del centro (registros de acceso, reservas de clases), en muchos casos datos de salud aportados en el cuestionario inicial y, cuando hay app o web, también datos de comportamiento digital. Sobre todo ello se aplica el RGPD, con independencia del tamaño del centro.
Esta guía explica la documentación mínima proporcional que cualquier centro deportivo debería tener disponible desde el primer día, así como las opciones de control de acceso de socios compatibles con la normativa, conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la LSSICE (Ley 34/2002) cuando el centro tiene presencia digital.
Los tratamientos típicos de un gimnasio
La mayoría de centros deportivos se resumen en cinco o seis tratamientos:
| Tratamiento | Datos típicos | Base jurídica |
|---|---|---|
| Alta y gestión del socio | Nombre, DNI/NIE, contacto, fecha nacimiento, contrato, modalidad de cuota. | Ejecución de contrato (6.1.b) |
| Control de acceso | Identificador del socio (RFID, PIN, QR, app), fecha y hora de entrada. | Ejecución de contrato (6.1.b) |
| Facturación y cobro | Datos para emisión de facturas, IBAN, tarjeta, recibos SEPA. | Obligación legal (6.1.c) + contrato (6.1.b) |
| Reservas de clases y citas | Reservas, asistencia, listas de espera, entrenamientos personales. | Ejecución de contrato (6.1.b) |
| Marketing y comunicaciones | Newsletter, promociones, leads de la web, antiguos socios. | Consentimiento o interés legítimo (6.1.a/6.1.f) + art. 21 LSSICE |
| Personal técnico y monitores | Datos laborales, nómina, titulaciones (TAFAD, INEF, federaciones). | Contrato laboral + obligación legal (6.1.b + 6.1.c) |
Cuando el centro toma datos de salud del socio en el alta (cuestionario médico, lesiones previas, contraindicaciones para ciertos ejercicios), se activa un tratamiento adicional sujeto al art. 9 RGPD que se trata en una guía específica.
Documentación mínima proporcional
Un gimnasio pequeño o mediano cumple razonablemente con estos bloques documentales, sin sobredimensionar:
- Registro de Actividades del Tratamiento (RAT): una página, cinco o seis entradas, con la información del art. 30.1 RGPD.
- Cláusulas informativas: una para el alta del socio mayor de edad, otra para el alta de socio menor (entregada a los padres o tutores), una para candidatos a personal técnico y la política de privacidad de la web.
- Hoja de consentimientos diferenciados en el alta para tratamientos opcionales: imagen del socio en redes y web del centro, comunicaciones comerciales futuras, cesión a empresas relacionadas (mejor evitarla; si existe, documentarla con claridad), uso de la app móvil opcional.
- Contratos del art. 28 RGPD con proveedores tecnológicos relevantes: software de gestión de socios, sistema de control de acceso, pasarela de pago, plataforma de reservas y app móvil, herramienta de email marketing, gestoría externa.
- Política de seguridad operativa: una o dos páginas con las medidas reales (contraseñas individuales del personal, doble factor, copia de seguridad cifrada, control de altas y bajas de personal con acceso a sistemas, bloqueo automático de equipos de recepción).
- Protocolo de brechas: dos párrafos con quién evalúa, en qué casos hay que notificar a la AEPD en menos de 72 horas y cómo.
- Política de cookies en la web del centro, si tiene presencia online.
- Cartelería de videovigilancia en accesos si existen cámaras (tema tratado en guía específica).
- Custodia segura de los cuestionarios médicos firmados por los socios, con acceso restringido al personal con función directa.
Control de acceso de socios: opciones compatibles con el RGPD
El sistema de control de acceso es uno de los puntos de mayor sensibilidad técnica del gimnasio. La clave es elegir opciones que identifiquen al socio sin recurrir a tratamientos que la normativa restringe severamente. Las soluciones razonables son:
- Tarjeta de proximidad RFID: tarjeta que el socio porta y acerca al lector de la entrada o del torno. El lector identifica el número de socio, valida si la cuota está al corriente y registra el acceso. Es la opción clásica, robusta y bien entendida por los socios.
- Llavero de proximidad: misma tecnología que la tarjeta, en formato más compacto. Suele ofrecerse como complemento o sustitutivo del carnet.
- Código PIN personal: el socio introduce un PIN numérico en un teclado en la entrada. Compatible cuando el centro busca minimizar elementos físicos a portar.
- Código QR generado por la app móvil del gimnasio: el socio abre su app, muestra el código QR temporal y el lector valida. Especialmente útil para centros con varias sedes o para socios que prefieren no llevar tarjeta física.
- App móvil con identificador del socio: la propia app valida la entrada mediante un identificador interno o token, sin necesidad de tarjeta ni QR visible.
Estas opciones tratan únicamente datos identificativos ordinarios (número de socio, fecha y hora del acceso, en algún caso el modelo del dispositivo desde el que se accedió a la app) bajo la base jurídica del art. 6.1.b RGPD (ejecución del contrato de socio). No requieren bases jurídicas reforzadas ni evaluaciones de impacto adicionales más allá de las medidas de seguridad razonables sobre el sistema y el registro.
Cláusula informativa en el alta: lo que debe contener
La cláusula del art. 13 RGPD se entrega en el momento del alta, idealmente integrada en el documento contractual o como anexo firmado, y debe contener:
- Identidad del responsable (el gimnasio, con CIF y dirección) y datos de contacto del Delegado de Protección de Datos si se ha designado.
- Finalidades concretas: gestión del socio, control de acceso, reservas, facturación, comunicaciones administrativas del servicio y, si procede, evaluación de la condición física en el alta.
- Bases jurídicas: ejecución del contrato de socio para la gestión, obligación legal para la facturación, consentimiento expreso para marketing y para imagen.
- Destinatarios habituales: gestoría externa, plataforma de gestión, pasarela de pago, autoridades fiscales cuando aplique.
- Transferencias internacionales si las herramientas usadas operan fuera del EEE (típicamente sí cuando se utilizan soluciones estadounidenses como Stripe, Google Workspace, Mailchimp o algunos CRM deportivos). Verificar adhesión al Data Privacy Framework.
- Plazos de conservación por bloque (contractuales, fiscales, civiles).
- Derechos del socio y vía para ejercerlos.
- Mención al derecho a reclamar ante la AEPD.
Contratos con proveedores tecnológicos: el punto débil habitual
El gimnasio moderno depende típicamente de varios proveedores SaaS: software de gestión de socios (Trainingym, Provis, Resasports, Mindbody, Glofox y similares), sistema integrado de control de acceso (torno, lector RFID, app), pasarela de pago, plataforma de email marketing y, cada vez más, app móvil propia del centro. Cada uno de ellos es encargado del tratamiento (art. 28 RGPD) y requiere contrato firmado.
Puntos críticos al contratar:
- DPA (Data Processing Agreement) firmado y archivado.
- Verificación de transferencias internacionales (Data Privacy Framework para proveedores estadounidenses).
- Procedimiento de devolución o exportación de los datos del socio al cesar el servicio del proveedor, para que el centro pueda cumplir sus plazos legales propios; la destrucción por parte del proveedor solo procede tras la devolución.
- Cláusulas sobre subencargados (qué empresas adicionales acceden a los datos por la cadena del proveedor).
- Medidas técnicas y organizativas razonables: cifrado en reposo y en tránsito, registros de acceso, copia de seguridad.
"En un gimnasio, el RGPD bien aplicado se traduce en un alta clara, una cláusula informativa entregada y firmada, un sistema de acceso proporcionado al servicio y unos contratos firmados con cuatro o cinco proveedores tecnológicos. No hace falta un manual de cien páginas: hace falta un sistema que se respete cada día y un proveedor que conozca el sector."
Mario P. Talamillo · Socio director, Certix®
Imagen del socio y redes sociales del centro
La publicación de imágenes de socios en redes sociales del gimnasio (Instagram, TikTok, web, cartelería interna) requiere atención específica:
- Aplica el régimen del derecho a la propia imagen (LO 1/1982) además del RGPD.
- Consentimiento por escrito, específico, revocable, separado del documento general del alta.
- Distinguir tipos de uso: imagen institucional del centro, retos y eventos puntuales, testimonios, contenido en clases grupales.
- En menores de edad: consentimiento parental obligatorio.
- Mantener una lista de socios excluidos (revocaciones, oposiciones expresas) y un procedimiento operativo para que el responsable de redes la consulte antes de publicar.
Checklist mínimo del gimnasio
- RAT con los tratamientos reales (alta, control de acceso, facturación, reservas, marketing, personal).
- Cláusulas informativas para socio mayor, socio menor (a padres) y personal técnico.
- Hoja de consentimientos diferenciados en el alta.
- Contratos del art. 28 RGPD con software de gestión, sistema de control de acceso, pasarela de pago, app o plataforma de reservas, email marketing y gestoría externa.
- Sistema de control de acceso compatible (tarjeta RFID, llavero, PIN, código QR de app o app móvil) descrito en el RAT.
- Política de seguridad operativa adaptada al tamaño.
- Protocolo de brechas y plantilla de notificación a la AEPD.
- Política de privacidad y de cookies en la web, con banner LSSICE correcto.
- Protocolo de gestión de imagen del socio con lista de excluidos y procedimiento de revocación.
- Política de conservación por bloque y procedimiento de bloqueo y destrucción segura.
- Custodia restringida de los cuestionarios médicos de los socios.
Preguntas frecuentes
¿Qué documentación mínima de protección de datos necesita un gimnasio desde el primer socio?
RAT con los tratamientos identificados, cláusula informativa del art. 13 RGPD en el alta, contratos del art. 28 RGPD con proveedores tecnológicos (gestión de socios, control de acceso, pasarela de pago, app), política básica de seguridad, protocolo de brechas, política de cookies y cartelería de videovigilancia si existen cámaras.
¿Qué sistema de control de acceso de socios es compatible con el RGPD en un gimnasio?
Son compatibles los sistemas que identifican al socio mediante algo que porta o conoce: tarjeta RFID, llavero de proximidad, código PIN personal, código QR generado por la app del gimnasio o app móvil con identificador interno. Tratan datos identificativos ordinarios bajo la base del art. 6.1.b RGPD (ejecución de contrato).
¿Necesita un gimnasio pequeño con pocos socios cumplir el RGPD igual que una gran cadena?
Sí, con alcance documental proporcional. El RGPD aplica con independencia del tamaño; lo que varía es la extensión. Los principios (licitud, transparencia, minimización, conservación) son los mismos. La AEPD ha sancionado centros pequeños por falta de información en el alta o ausencia de contratos con proveedores tecnológicos.
¿Puede el gimnasio conservar los datos del socio tras la baja?
Sí, durante los plazos justificados: facturación (Código de Comercio 6 años, LGT 4 años), contractuales y civiles (5 años art. 1964 CC). Marketing solo mientras dure el consentimiento. La política diferenciada por bloque y el bloqueo de los datos tras el cierre de la relación son la herramienta para gestionarlo limpiamente.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Quieres ordenar el cumplimiento RGPD de tu gimnasio sin sobredimensionarlo?
En Certix te asignamos un experto en cumplimiento del sector deportivo. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto