Un gimnasio trata datos cuando da de alta a un socio, cobra una cuota, organiza clases o controla la entrada. Puede tratar también información de salud, imágenes y datos biométricos, pero cada actividad exige su propio análisis. La firma del contrato de abono no autoriza todos esos usos ni convierte cualquier dato deportivo en un dato médico.
El objetivo práctico es que recepción, entrenadores, administración y proveedores conozcan qué información necesitan y qué pueden hacer con ella. Esta guía aplica el RGPD y las reglas españolas al funcionamiento de un centro deportivo, con especial atención al acceso biométrico, los cuestionarios, las cámaras y las aplicaciones. La revisión corresponde a septiembre de 2026 y diferencia las obligaciones legales de las recomendaciones organizativas.
Alta y gestión del abono: pedir lo que hace falta
Para gestionar un abono suelen necesitarse datos identificativos, de contacto y de pago. La ejecución del contrato o las medidas precontractuales solicitadas por la persona pueden justificar los tratamientos necesarios para esa relación. La necesidad se valora de forma objetiva: añadir una finalidad a las condiciones generales no basta para convertirla en imprescindible. Una campaña publicitaria o el análisis detallado de hábitos no quedan cubiertos automáticamente por el contrato del gimnasio.
Diseña el formulario según la modalidad contratada. Una consulta sobre horarios, una clase de prueba y un abono anual no requieren necesariamente los mismos campos. Si quieres comprobar la identidad, justifica el procedimiento; no impongas por defecto una copia completa del DNI cuando existe una alternativa suficiente. Evita también incluir en campos libres observaciones sobre la salud o la vida familiar que recepción no necesita conocer.
La información de privacidad debe estar disponible al recoger los datos y explicar responsable, finalidades, bases, destinatarios, conservación y derechos, junto con los demás elementos aplicables. Una firma de recepción puede acreditar la entrega de esa información, pero no funciona como consentimiento para cualquier uso. Si el titular del centro cambia o hay varios centros gestionados por sociedades distintas, identifica quién decide realmente sobre los datos y cómo se comunican entre esas entidades.
Control de entrada: biometría y alternativas
Una tarjeta, un código o una comprobación visual pueden servir para gestionar el acceso. Si se propone utilizar huella o reconocimiento facial, la pregunta inicial es qué problema concreto se pretende resolver y por qué no bastan medidas menos intrusivas. Evitar el préstamo ocasional de un abono no demuestra por sí solo que sea necesario crear una plantilla biométrica de todos los socios.
Los datos biométricos obtenidos mediante un tratamiento técnico específico para identificar de manera unívoca a una persona están sujetos al artículo 9. La autenticación de alguien que afirma ser un socio también puede implicar ese tratamiento; no queda excluida simplemente porque se compare con una única plantilla. Tampoco desaparece el dato personal por guardar un patrón en vez de una fotografía, o por usar un dispositivo que el proveedor presenta como anónimo sin demostrarlo.
La guía de la AEPD sobre control de presencia biométrico, versión de noviembre de 2023, aparece marcada «en revisión» en el documento disponible en septiembre de 2026. Expone un criterio restrictivo sobre necesidad, proporcionalidad y alternativas. No debe presentarse como una nueva ley ni utilizarse su estado de revisión para prescindir de los requisitos del RGPD. El análisis tiene que comprobar la licitud del sistema concreto antes de implantarlo.
El consentimiento y la evaluación no son autorizaciones automáticas
Un tratamiento biométrico necesita una base del artículo 6 y una condición aplicable del artículo 9.2, además del resto de garantías. El contrato de acceso al gimnasio no levanta por sí mismo la prohibición del artículo 9. El consentimiento explícito tampoco elimina la minimización, la necesidad y la proporcionalidad. Ofrecer una tarjeta junto a la huella no convierte automáticamente el sistema biométrico en lícito.
En este contexto, una evaluación de impacto previa debe analizar riesgos y alternativas, no limitarse a describir el producto comprado. La guía considera de alto riesgo el control de presencia mediante identificación o autenticación biométrica. Deben examinarse también almacenamiento, acceso del proveedor, errores de reconocimiento, exclusiones y reutilización de plantillas. Si la evaluación revela un alto riesgo residual que no puede mitigarse suficientemente, procede la consulta previa exigida por el artículo 36.
La decisión puede ser no utilizar biometría. Esa conclusión no equivale a afirmar que toda tecnología biométrica está prohibida en cualquier circunstancia, sino a reconocer que no se han acreditado los requisitos para ese uso. La guía sobre categorías especiales de datos ayuda a separar este análisis de la simple gestión administrativa del abono. Una evaluación favorable tampoco subsana la ausencia de una condición jurídica necesaria.
Cuestionarios de salud y entrenamiento personal
Una lesión, una contraindicación médica o una información sobre una enfermedad son datos de salud. Un horario preferido o el número de reservas no lo son necesariamente. Los datos de rendimiento pueden adquirir significado sanitario según su contenido, uso y combinación. El gimnasio debe evitar tanto ignorar esa dimensión como calificar indiscriminadamente toda información deportiva como categoría especial.
Antes de entregar un cuestionario, define para qué se necesita cada pregunta y quién utilizará la respuesta. Puede resultar suficiente conocer una limitación funcional relevante para adaptar un ejercicio, sin pedir informes médicos completos o antecedentes ajenos al servicio. Un formulario descargado de internet no demuestra que la recogida sea necesaria. Tampoco existe una obligación general derivada del RGPD de someter a todos los socios a un cuestionario médico.
Si se acude al consentimiento explícito, debe ser específico, informado y libre, con posibilidad real de retirarlo. Explica qué servicio depende objetivamente de esa información y analiza si puede ofrecerse de otra forma. No agrupes la aceptación del cuestionario con la publicidad. La protección de intereses vitales no es una base ordinaria para la ficha de alta: la excepción del artículo 9.2.c exige, entre otras condiciones, que la persona no pueda consentir física o jurídicamente.
Fisioterapia y servicios sanitarios dentro del centro
El entrenamiento personal no se convierte en asistencia sanitaria porque se presente como saludable. Si el gimnasio incluye un servicio de fisioterapia o una unidad sanitaria, hay que analizar su organización, profesionales, responsabilidades y normativa aplicable. La condición del artículo 9.2.h se refiere a finalidades sanitarias o sociales en sus términos y con las garantías de secreto del artículo 9.3; no permite atribuir esa base a cualquier monitor.
La AEPD distingue el consentimiento asistencial del consentimiento para tratar datos. En la atención sanitaria pueden concurrir condiciones que permiten tratar los datos sin pedir consentimiento de protección de datos para esa finalidad. Sigue siendo necesario identificar la base del artículo 6, informar y cumplir los requisitos sanitarios correspondientes.
Separa la documentación clínica del perfil comercial del socio. Compartir edificio o marca no da acceso automático a los historiales. Un fisioterapeuta puede actuar como responsable de su actividad o dentro de otra organización responsable, según las decisiones efectivas sobre el tratamiento. Determina qué información, si alguna, debe recibir el entrenador y con qué fundamento, en vez de permitirle consultar toda la historia por comodidad.
Cámaras: zonas, información y plazo de conservación
La videovigilancia para proteger personas, bienes e instalaciones se regula en el artículo 22 de la LOPDGDD. Una cámara en recepción o en una zona de entrenamiento requiere valorar necesidad, ángulo y alcance. No basta con colocar un cartel para legitimar cualquier captación. Evita grabar pantallas, documentación o espacios ajenos a la finalidad y limita la vía pública a lo imprescindible.
No instales cámaras en vestuarios, duchas o aseos ni las orientes de modo que capten su interior. En el ámbito laboral, el artículo 89 prohíbe además la captación en lugares destinados al descanso o esparcimiento de los trabajadores, como comedores y espacios análogos. Si se utilizan imágenes para control laboral, deben respetarse sus requisitos específicos de información y límites. El audio tiene condiciones especialmente restrictivas y no debe activarse como opción predeterminada.
Las imágenes deben suprimirse como máximo en un mes desde su captación, no en un plazo genérico de treinta días. La excepción permite conservarlas para acreditar actos contra la integridad de personas, bienes o instalaciones; en ese caso deben ponerse a disposición de la autoridad competente en un máximo de setenta y dos horas desde que se conoce la existencia de la grabación. No se aplica el bloqueo del artículo 32 a estos tratamientos. El cartel visible y la información completa disponible se explican en la guía de videovigilancia en España.
Aplicaciones de reservas, dispositivos y proveedores
Una aplicación puede gestionar reservas por cuenta del centro y utilizar determinados datos para finalidades propias. Su papel debe analizarse por operación. No todos los proveedores son encargados ni toda transmisión es una comunicación entre responsables independientes. Revisa también qué ocurre cuando el usuario conecta voluntariamente un reloj, una pulsera o una cuenta externa: el acceso técnico disponible no demuestra que todos sus datos sean necesarios.
Cuando exista un encargo, el contrato del artículo 28, u otro acto jurídico conforme al Derecho de la Unión o de los Estados miembros que vincule al encargado, debe regular instrucciones, confidencialidad, seguridad, subencargados y asistencia. Debe constar por escrito, incluido el formato electrónico. Comprueba el acceso del soporte, la ubicación de los tratamientos y las eventuales transferencias internacionales. Una afirmación comercial de alojamiento europeo no sustituye ese mapa.
Antes de dar acceso al proveedor, define quién puede exportar datos y cómo se recuperan al finalizar el servicio. El encargado debe suprimir o devolver los datos según decida el responsable y suprimir las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija conservarlos. La salida del proveedor no debe dejar al centro sin información que necesita legítimamente ni mantener duplicados comerciales sin finalidad.
Cuotas, domiciliaciones y reclamaciones
Gestiona cobros y devoluciones con los datos necesarios para la relación contractual y los deberes legales aplicables. Los datos bancarios merecen protección por las consecuencias de un uso indebido, aunque no sean por ello categorías especiales del artículo 9. Restringe las exportaciones y evita enviar hojas con datos de todos los socios para resolver una incidencia individual.
Una deuda discutida no debe convertirse en una lista pública de morosos en recepción o en un grupo de mensajería. La inclusión en sistemas comunes de información crediticia tiene requisitos específicos del artículo 20 LOPDGDD: entre ellos, deuda cierta, vencida y exigible, información previa y las condiciones relativas a reclamaciones sobre su existencia o cuantía. El simple impago de una mensualidad no autoriza cualquier comunicación ni un perfilado crediticio adicional.
Cuando el centro reclama una cantidad, conserva de forma proporcionada la documentación que permite acreditarla. Esto no exige mantener todos los registros de entrenamiento, salud o entradas. Diferenciar el expediente económico de otras finalidades facilita atender una baja y reducir el acceso a información que ya no se necesita para prestar el servicio.
Publicidad, fotografías y comunicaciones con socios
Los avisos necesarios sobre una reserva no son lo mismo que una campaña para vender servicios adicionales. Para correo electrónico y medios equivalentes, el artículo 21 de la LSSI establece la regla de solicitud o autorización previa y una excepción condicionada para clientes anteriores: datos obtenidos lícitamente, productos o servicios propios similares y oposición sencilla y gratuita al recoger los datos y en cada comunicación. No convierte cualquier contacto antiguo en destinatario válido.
Cuando la campaña se base en consentimiento, guarda prueba del alcance aceptado y respeta la retirada. La oposición al marketing directo obliga a cesar ese uso, incluido el perfilado relacionado. Las llamadas y otros canales deben analizarse conforme a sus reglas específicas. Una lista interna de exclusión limitada ayuda a evitar que un contacto vuelva a entrar en una campaña desde una exportación antigua.
Publicar imágenes identificables de una clase en redes sociales es una finalidad distinta del control de seguridad. No reutilices las grabaciones de vigilancia para promoción. Organiza la toma de fotografías de modo que quienes no participen no aparezcan incidentalmente y verifica la base y las condiciones aplicables, especialmente cuando hay menores. Un aviso genérico en la puerta no demuestra por sí solo una autorización para difundir las imágenes.
Conservación, acceso interno y derechos
Define plazos o criterios por categoría: solicitudes sin alta, contratos, cobros, reservas, datos de salud, fotografías y grabaciones. La baja del socio exige revisar qué información sigue siendo necesaria y para qué. La conservación por obligaciones legales o reclamaciones no permite mantener el expediente completo disponible para entrenadores y comerciales. Cuando proceda el bloqueo del artículo 32 LOPDGDD, debe impedir el uso ordinario de los datos en los términos de esa norma.
La recepción debe reconocer una solicitud de ejercicio de derechos, aunque llegue verbalmente o sin citar artículos. Verifica la identidad de forma proporcionada si existen dudas razonables y canaliza la petición a quien pueda responder. No exijas siempre una copia del documento de identidad ni obligues a usar exclusivamente una aplicación que la persona ya no utiliza.
El plazo general de respuesta es sin dilación indebida y como máximo un mes. La ampliación de hasta otros dos meses por complejidad o número exige informar dentro del primer mes y explicar los motivos. Si no se atiende la solicitud, las razones y la información sobre reclamación y recurso deben comunicarse sin dilación y como máximo en un mes. Una baja comercial y una supresión de datos son decisiones diferentes y deben tramitarse conforme a su alcance.
Documentación útil para dirigir el centro
El registro de actividades debe reflejar estas operaciones. Tener menos de 250 empleados no supone una exención general: la excepción no se aplica a los tratamientos no ocasionales, a los que puedan entrañar riesgos para los derechos y libertades ni a los que incluyan categorías especiales del artículo 9 o datos sobre condenas e infracciones penales del artículo 10. La gestión habitual de socios debe evaluarse con esos criterios.
No todos los gimnasios necesitan delegado de protección de datos por el mero hecho de ser gimnasios. Deben revisarse el artículo 37, la titularidad pública cuando corresponda y los supuestos nacionales del artículo 34 LOPDGDD. Este incluye a los centros sanitarios legalmente obligados a mantener historias clínicas, con la excepción del profesional sanitario que ejerce individualmente, y a las federaciones deportivas que tratan datos de menores. La valoración depende de la entidad y de su actividad efectiva.
Para un centro pequeño, la guía de cumplimiento básico para pymes ayuda a organizar responsables y tareas. Contrasta además los procesos compartidos con el comercio minorista, las agencias de viajes o los talleres mecánicos, sin trasladar automáticamente sus bases al tratamiento de salud. Las sanciones RGPD sirven como referencia contextual, pero ninguna cifra sustituye el análisis de la actividad concreta ni demuestra una tendencia general del sector.