RGPD para gimnasios y centros deportivos

En una frase. Un gimnasio trata datos de salud (cuestionarios de aptitud, lesiones, entrenamiento personal) y muy a menudo datos biométricos para el control de acceso por huella o reconocimiento facial; tras el criterio de la AEPD sobre biometría de 2023, ese acceso biométrico es casi inviable en la práctica y debe sustituirse por alternativas como tarjeta o código.

Los gimnasios acumulan más datos sensibles de los que creen y, sin embargo, arrastran dos prácticas de alto riesgo: el control de acceso por huella dactilar o cara y los cuestionarios de salud sin base clara. Este artículo aterriza las obligaciones RGPD reales de un centro deportivo en 2026.

Puntos clave

• El acceso por huella o reconocimiento facial trata datos biométricos del art. 9 y, tras el criterio de la AEPD sobre biometría (2023), es desproporcionado en la práctica para el mero control de acceso.
• Los cuestionarios de aptitud física, lesiones y objetivos son datos de salud (art. 9): exigen base reforzada y medidas de seguridad.
• Videovigilancia: permitida en salas de entrenamiento con cartel y 30 días; prohibida en vestuarios y aseos.
• Domiciliaciones y datos de pago: base contractual, con seguridad y minimización.
• Apps de reserva y wearables: encargados del tratamiento y, a veces, datos de salud adicionales.

1. El problema del acceso biométrico

Muchas cadenas instalaron torniquetes con lector de huella o cámara de reconocimiento facial para evitar el préstamo de tarjetas entre socios. El problema es jurídico: la huella y el patrón facial usados para identificar a una persona son datos biométricos, una categoría especial del art. 9 RGPD. Su tratamiento está prohibido salvo excepción, y la excepción del consentimiento explícito no resuelve el fondo, porque la AEPD exige además proporcionalidad: si existe un medio menos intrusivo que cumple la misma finalidad (una tarjeta, un código, un carné con foto), el uso de biometría no supera el juicio de necesidad.

El criterio de la AEPD sobre tratamientos de control de presencia mediante biometría (2023) endureció esta interpretación hasta hacer el acceso biométrico casi inviable para finalidades ordinarias. La consecuencia práctica es que la mayoría de las cadenas que habían instalado torniquetes con huella o cara han tenido que reconvertirlos a tarjeta o código, o mantener la biometría solo como opción alternativa y voluntaria junto a otro medio de acceso equivalente. Antes de instalar cualquier sistema de este tipo es obligatoria una evaluación de impacto, y el resultado más probable es que se recomiende una alternativa no biométrica. El régimen completo de estas categorías está en la guía de categorías especiales de datos del art. 9.

La AEPD ha sancionado a cadenas de gimnasios precisamente por el control de acceso con huella dactilar sin superar el juicio de proporcionalidad; los importes y el patrón se recogen en nuestra guía de sanciones RGPD.

2. Datos de salud del socio

El cuestionario PAR-Q, la ficha de lesiones, las restricciones médicas para el entrenamiento personal o los datos de un programa de recuperación son datos de salud. Tratarlos exige:

La minimización es crítica: no se pregunta más de lo necesario para prescribir el ejercicio con seguridad, y el acceso a esa ficha se limita al personal que la necesita. Todo ello se documenta en el registro de actividades de tratamiento.

3. Videovigilancia en el centro

Las cámaras en salas de máquinas, recepción o zonas comunes son legítimas para seguridad, con cartel informativo, conservación máxima de 30 días y sin audio. La regla inflexible: jamás en vestuarios, duchas ni aseos, ni siquiera en accesos que capten su interior. La videovigilancia de empleados (monitores, recepción) añade las garantías laborales de los arts. 89-90 LOPDGDD. El marco detallado está en la guía de videovigilancia y RGPD.

4. Cuotas, domiciliaciones y morosidad

La gestión de cuotas y domiciliaciones SEPA se ampara en la ejecución del contrato (art. 6.1.b). Los datos bancarios exigen seguridad reforzada y minimización (no conservar más de lo necesario). Incluir a un socio moroso en un fichero de solvencia patrimonial requiere cumplir los requisitos estrictos del art. 20 de la LOPDGDD (deuda cierta, vencida, exigible y previamente requerida); hacerlo mal es sancionable. Otra práctica frecuente y desproporcionada es exigir el DNI para actividades puntuales, como un pase de un día, cuando basta con un dato de contacto: el principio de minimización obliga a pedir solo lo imprescindible para cada finalidad.

5. Apps de reserva, wearables y marketing

La app de reservas de clases, la plataforma de gestión de socios o el software de nómina son encargados del tratamiento: hay que firmar el contrato del art. 28 RGPD. Si la app integra pulsómetros o registra rendimiento, puede añadir datos de salud propios. El marketing (emails de promociones, captación) exige consentimiento válido y respeto del derecho de oposición; enviar campañas a antiguos socios sin base es una infracción habitual.

Para un centro pequeño, el punto de partida es el mismo que el de cualquier pyme en su cumplimiento básico; mantener al día registros, contratos de encargado y bases de cada tratamiento es donde una plataforma como Legiscope reduce el trabajo manual.

6. Kit mínimo de cumplimiento

• Sustituir el acceso biométrico por tarjeta, código o carné (salvo EIPD que lo justifique, algo excepcional).
• Cuestionarios de salud minimizados y con consentimiento explícito.
• Cámaras con cartel, 30 días, sin audio y nunca en vestuarios.
• Contratos del art. 28 con la app de reservas y la gestoría.
• Cláusula informativa del art. 13 en la ficha de alta.
• Registro de actividades y política de conservación escritas.
• Consentimiento separado para comunicaciones comerciales.

Véase también, para sectores con obligaciones de protección de datos similares: RGPD para talleres mecánicos, RGPD para comercio minorista y RGPD para agencias de viajes.

Preguntas frecuentes

¿Puede un gimnasio obligarme a entrar con la huella dactilar?

En la práctica, no. La huella es un dato biométrico del art. 9 y, tras el criterio de la AEPD de 2023, su uso para el mero control de acceso no supera el juicio de proporcionalidad si existe una alternativa menos intrusiva, como una tarjeta o un código. El gimnasio debe ofrecer esa alternativa.

¿El cuestionario de salud del gimnasio es legal?

Sí, si se limita a lo estrictamente necesario para prescribir el ejercicio con seguridad, se recaba con consentimiento explícito y se protege con acceso restringido. Preguntar de más o dejar la ficha accesible a todo el personal vulnera la minimización.

¿Puede haber cámaras en la sala de pesas?

Sí, con cartel informativo, conservación máxima de 30 días y sin grabar audio. Lo que está terminantemente prohibido es instalar cámaras en vestuarios, duchas y aseos, aunque sea por motivos de seguridad.

¿Necesita un gimnasio una evaluación de impacto?

Sí siempre que trate datos a gran escala de categorías especiales o implante biometría. La instalación de un sistema de acceso biométrico exige EIPD previa, cuyo resultado suele desaconsejar el propio sistema.

Conclusión

El cumplimiento RGPD en un gimnasio se juega en dos frentes que la mayoría de los centros gestiona mal: el acceso biométrico —hoy casi inviable— y los datos de salud de los socios. Sustituir la huella por medios ordinarios, minimizar los cuestionarios, cuidar la videovigilancia y firmar los contratos de encargado resuelven el grueso del riesgo. Documentar cada base jurídica y la política de conservación convierte una inspección potencial en un trámite defendible.