RGPD en salas de fitness: datos de socios, biometría, control de accesos y videovigilancia

Un gimnasio recopila muchos más datos personales de los que su gestor suele imaginar, y el incumplimiento más frecuente está en el control de accesos biométrico. Nombres, direcciones, datos bancarios, declaraciones de salud, registros de paso de tarjeta, imágenes de videovigilancia y datos de rendimiento procedentes de máquinas conectadas quedan todos ellos bajo el Reglamento General de Protección de Datos, Reglamento (UE) 2016/679. Las sanciones alcanzan el 4 % del volumen de negocio anual mundial o 20 millones de euros, la cifra que sea mayor. Esta guía recorre las obligaciones prácticas de un gestor de club, con especial atención a las trampas de la biometría y del equipamiento conectado.

El RGPD se aplica de forma directa en toda la Unión Europea. Cada Estado miembro cuenta además con su propia autoridad de control y con una normativa nacional de desarrollo que precisa aspectos como la videovigilancia o los plazos de conservación contable, de modo que conviene contrastar esos puntos concretos con la autoridad de control y la legislación aplicables en su país.

Las obligaciones esenciales

Para un gimnasio, los deberes principales son: un registro de actividades de tratamiento conforme al artículo 30; una base jurídica identificada para cada tratamiento (contrato, consentimiento, interés legítimo u obligación legal); información clara en el momento de la recogida; respeto de los derechos del socio de acceso, rectificación, supresión, portabilidad, oposición y limitación; medidas de seguridad proporcionadas al riesgo; notificación de las violaciones de seguridad a la autoridad de control en un plazo de 72 horas; y contratos escritos con todos los encargados del tratamiento.

Las cinco categorías de datos que maneja un gimnasio

Los datos de categoría especial exigen el consentimiento explícito o alguna de las condiciones tasadas del artículo 9.2, además de las medidas de seguridad más exigentes disponibles.

Control de accesos biométrico: donde la mayoría de los clubes incumple

Muchos clubes utilizan la huella dactilar o el reconocimiento facial o de la palma para el acceso de los socios, con un argumento de comodidad: no hay tarjeta que perder. En la gran mayoría de los casos, esa práctica no es conforme.

El razonamiento es el de proporcionalidad del artículo 5. La biometría no está justificada para el simple control de acceso a un gimnasio, porque una tarjeta, un carné de socio o un usuario con contraseña cumplen la misma función sin tratar datos biométricos. El consentimiento por sí solo no salva la situación si la biometría es el único método de acceso ofrecido: debe existir siempre una alternativa no biométrica disponible a petición, sin coste adicional y sin merma del servicio. Cuando la biometría esté realmente justificada, el almacenamiento debería ser local, en un soporte que conserve el propio socio, y no centralizado en un servidor, ya que una base central de plantillas biométricas multiplica el daño de una brecha. Una evaluación de impacto relativa a la protección de datos conforme al artículo 35 es obligatoria antes de cualquier tratamiento biométrico sistemático.

En la práctica: un club que use la huella dactilar como único método de acceso, sin alternativa, sin evaluación de impacto documentada y sin consentimiento explícito formalizado, no es conforme. Las consecuencias van desde el requerimiento formal, que puede hacerse público, hasta la multa administrativa. Pasar a una tarjeta RFID o a un identificador resuelve el problema de raíz.

Software de gestión de socios y contratos de encargo

La mayoría de los clubes utiliza una plataforma de gestión para reservas, facturación y accesos. Esos proveedores son encargados del tratamiento en el sentido del artículo 28, y el gestor sigue siendo el responsable del tratamiento. La ausencia o la insuficiencia del contrato de encargo es uno de los incumplimientos que con más frecuencia se detectan en las inspecciones del sector deportivo.

El contrato debe constar por escrito y fijar la duración, la finalidad, las medidas de seguridad y el destino de los datos al terminar la relación. Compruebe dónde están los servidores: si los datos salen del Espacio Económico Europeo se exigen garantías adicionales, habitualmente cláusulas contractuales tipo. Mantenga un registro de accesos que indique qué personal del encargado puede acceder a los datos, limitado a lo estrictamente necesario. Por último, el contrato debe obligar al encargado a notificarle cualquier brecha con la rapidez suficiente para que usted pueda cumplir su propio plazo de 72 horas.

Videovigilancia en un gimnasio

La videovigilancia se sitúa bajo un doble marco: el RGPD para los datos personales captados y la normativa nacional de videovigilancia de espacios abiertos al público. En varios Estados miembros, cubrir con cámaras zonas abiertas al público, como una recepción accesible sin ser socio, exige además una autorización o una declaración administrativa previa: verifique el régimen aplicable antes de instalar.

El resto de reglas son estrictas y fáciles de incumplir. La señalización en el acceso debe indicar que existe videovigilancia, su finalidad, el plazo de conservación, el responsable y cómo ejercer los derechos. La conservación debe limitarse a un plazo corto, fijado en 30 días en varios regímenes nacionales, salvo que un incidente concreto justifique conservar las imágenes para un procedimiento en curso. Los vestuarios, los aseos y las duchas no deben grabarse nunca, sin excepción. La grabación permanente de los puestos de trabajo del personal, incluidos la recepción y los puestos de los técnicos, está prohibida tanto por la normativa laboral como por la de protección de datos. Mantenga un registro de visionados que recoja quién vio qué, cuándo y por qué.

Datos de salud y equipamiento conectado

Los datos de salud son de categoría especial tanto si proceden de un certificado médico como de un cuestionario de autoevaluación o de una banda de frecuencia cardíaca. La base jurídica debe ser sólida, el acceso debe restringirse al personal autorizado mediante un área separada del software, la conservación debe ser proporcionada (habitualmente la duración de la relación más el plazo legal de conservación de contratos aplicable en su país) y la base de datos debe estar cifrada en reposo y en tránsito.

El equipamiento conectado es la frontera más reciente. Cintas, bicicletas y máquinas de fuerza con pantalla táctil y resistencia inteligente recopilan hoy volúmenes considerables de datos individuales de rendimiento. Antes de firmar por un parque conectado, tres preguntas determinan su exposición.

La decisión de cumplimiento más sencilla es, a menudo, una decisión de especificación. Un parque mecánico robusto con consolas locales no recopila nada y, en muchos clubes, las funciones conectadas las utiliza una minoría de socios. Nuestra guía de especificación de máquinas de cardio profesionales detalla dónde se gana la conectividad su sitio.

Preguntas frecuentes

¿Necesitamos un delegado de protección de datos?

Un club aislado rara vez cumple los criterios de designación obligatoria, que giran en torno a la observación a gran escala o al tratamiento a gran escala de datos de categoría especial. Una cadena multicentro que use biometría, cuestionarios de salud y seguimiento de rendimiento conectado sí puede cruzar ese umbral. Designarlo de forma voluntaria está permitido y suele ser la vía más barata de mantener actualizado el registro de tratamientos.

¿Cuánto tiempo podemos conservar el expediente de un antiguo socio?

Durante la vigencia de la relación más el plazo legal de conservación aplicable a los contratos y a los registros contables en su país. Superado ese plazo, suprima los datos o trasádelos a un archivo seguro con acceso restringido. Conservar indefinidamente un expediente completo y activo con fines comerciales no es defendible.

¿Podemos publicar fotografías de socios en redes sociales?

Solo con un consentimiento específico, informado y libremente prestado para esa finalidad, obtenido por separado del contrato de abono y revocable. Una cláusula enterrada en las condiciones generales no es un consentimiento válido. Conserve los registros de consentimiento: son precisamente lo que se le va a pedir.

¿Sustituir la biometría por tarjetas lo resuelve todo?

Elimina el problema más difícil. Los registros de tarjeta siguen siendo datos personales y siguen necesitando una base jurídica, una información al interesado, un plazo de conservación y restricciones de acceso, pero son datos ordinarios y no de categoría especial, y no exigen una evaluación de impacto previa para un simple control de accesos.

Especifique un parque acorde con su posición de cumplimiento