Un club amateur qui suit le bien-être quotidien de ses joueurs, leur statut de disponibilité ou leurs indicateurs de charge traite, sans toujours le savoir, des données de santé au sens de l'article 9 du RGPD. La CNIL a jugé le sujet assez fréquent pour publier un espace dédié au sport amateur hors contrat et des outils pédagogiques spécifiques. Pourtant la plupart des clubs découvrent cette obligation trop tard, au moment où un joueur ou un parent pose la question.
Ce que le RGPD range dans les données de santé
Un questionnaire de bien-être quotidien (sommeil, énergie, état musculaire), un statut de disponibilité, un score composite comme un FormScore, ou une alerte automatique générée à partir de ces indicateurs : tout cela constitue une donnée de santé au sens de l'article 9 du RGPD, même sans diagnostic médical et même dérivée d'un simple questionnaire. Le principe de l'article 9.1 est une interdiction par défaut du traitement de ces données, levée uniquement par des exceptions précises, dont le consentement explicite du joueur (article 9.2.a).
Ce consentement doit répondre à des critères stricts, rappelés par la CNIL pour les sportifs : libre, spécifique, éclairé, et surtout non conditionné à la pratique. Si le refus de répondre au questionnaire de bien-être empêche un joueur de s'entraîner ou de jouer, le consentement n'est juridiquement pas valable, quelle que soit la mention en bas d'un formulaire.
Le piège du consentement implicite
La confusion la plus fréquente dans les clubs amateurs consiste à traiter la connexion à une application comme une preuve de consentement généralisé. Ce n'est pas le cas pour les données de santé : le consentement à l'utilisation d'un outil numérique et le consentement au traitement de données de bien-être sont deux choses distinctes. Un joueur peut accepter d'utiliser l'application de son club pour consulter son planning ou ses statistiques GPS, sans que cela ne vaille consentement pour le traitement de ses données de santé.
Concrètement, un club doit pouvoir démontrer que chaque joueur a explicitement consenti au traitement de ses données de bien-être et de disponibilité, séparément du reste, et qu'il peut retirer ce consentement à tout moment sans conséquence sur sa participation sportive. Pour un joueur mineur, ce consentement relève du ou des représentants légaux, ce qui suppose un circuit de recueil différent de celui d'un joueur majeur.
L'assistant IA change la donne, pas les règles
L'arrivée d'un assistant IA dans le suivi de charge ajoute une couche à sécuriser : les données transmises à un modèle d'intelligence artificielle externe pour générer une alerte ou une recommandation restent des données de santé, et leur transfert doit respecter les mêmes exigences de minimisation et de sécurité que n'importe quel autre traitement.
Chez Euphron, les données transmises à l'assistant Phros passent par une pseudonymisation systématique avant tout appel à l'API : chaque joueur est désigné par un identifiant opaque, stable le temps de la requête, sans lien reconstituable côté fournisseur du modèle. Le texte libre tapé par le staff est également filtré pour neutraliser les noms écrits en clair. Le transfert vers les États-Unis (l'hébergeur du modèle) est encadré par des Clauses Contractuelles Types et un engagement de zéro rétention des données côté fournisseur.
Durées de conservation et droits des joueurs
Le RGPD impose une durée de conservation limitée à la finalité du traitement. Pour un joueur qui quitte le club, un délai de conservation court (souvent fixé à trois mois dans les DPA que nous rédigeons pour nos clients) permet de finaliser le suivi d'une blessure en cours avant suppression définitive. Passé ce délai, les données doivent être effacées ou anonymisées, sauf obligation légale contraire.
Chaque joueur conserve, à tout moment, ses droits d'accès, de rectification, d'opposition et d'effacement sur ses propres données. Pour les indicateurs générés automatiquement (un FormScore, une alerte de risque), le joueur a également le droit de demander une explication intelligible de la logique ayant produit ce résultat, et une intervention humaine avant toute décision qui l'affecterait significativement.
Ce qu'un club doit vérifier avant de signer avec un outil numérique
Avant d'adopter un outil de suivi de charge ou de bien-être, un club a intérêt à vérifier quatre points très concrets : où sont hébergées les données (idéalement en France ou dans l'UE), qui a accès aux données de santé au sein du staff, comment le consentement des joueurs est recueilli et peut être retiré, et ce que devient exactement une donnée transmise à un assistant IA. Un prestataire sérieux doit pouvoir répondre à ces quatre questions sans détour, avec un accord de sous-traitance (DPA) conforme à l'article 28 du RGPD annexé au contrat.
Pour voir concrètement comment un assistant IA exploite ces données dans un club, lisez les usages concrets de Phros dans un club amateur comment Phros lit vos documents (GPS, tests, médical, feuilles de match) et comment Phros, l'assistant IA, accompagne le staff d'un club amateur.
Pour les autres démarches administratives d'un club, lisez aussi notre guide des subventions pour un club sportif.
Un exemple concret au moment des licences : pour le questionnaire de santé, la fédération demande une attestation, jamais les réponses. Le détail pour le football, le basket, le handball et le rugby est dans notre guide certificat médical ou questionnaire de santé en 2026-2027.
Questions fréquentes
Un club amateur non professionnel est-il concerné par le RGPD ? Oui, sans exception ni seuil de taille. La CNIL l'a rappelé explicitement : le statut associatif ou bénévole d'un club ne change rien à ses obligations en tant que responsable de traitement dès qu'il collecte des données de joueurs.
Le consentement donné à l'inscription au club suffit-il pour les données de bien-être ? Non. Le consentement à l'adhésion ou à l'utilisation d'une application ne vaut pas consentement spécifique au traitement de données de santé. Ce dernier doit être recueilli séparément, de façon libre et non conditionnée à la pratique sportive.
Faut-il un délégué à la protection des données (DPO) pour un club amateur ? Pas dans la plupart des cas. Le DPO est obligatoire pour les organismes publics ou les structures qui traitent des données sensibles à grande échelle et de façon systématique, ce qui ne concerne pas un club de quelques dizaines ou centaines de licenciés gérant son suivi sportif courant.
Que devient une donnée de bien-être transmise à un assistant IA ? Elle doit être pseudonymisée avant tout envoi, transmise dans le cadre d'un accord garantissant l'absence de réutilisation pour l'entraînement des modèles, et encadrée par les mécanismes de transfert appropriés si l'hébergeur du modèle est situé hors de l'Union européenne.
Euphron ne pose aucun diagnostic et ne remplace aucun professionnel de santé. Pour aller plus loin sur la structuration de votre suivi de charge, notre guide ACWR, GPS et RPE et notre article sur le questionnaire de bien-être joueur détaillent les indicateurs concernés par ces obligations.
Les traitements et compléments donnés aux joueurs relèvent eux aussi des données de santé : pour la règle antidopage qui les encadre (liste de l'AMA, AUT), voir notre guide antidopage 2027 pour les staffs.