Le 3 avril 2026, la CNIL a publié la liste de ses thématiques de contrôle prioritaires pour l’année. À côté du recrutement et du répertoire électoral unique figure un secteur qu’on n’attendait pas forcément sur ce terrain : les fédérations sportives (CNIL, contrôles prioritaires 2026).
La raison est assez simple à comprendre. Depuis les JO de Paris 2024, les clubs ont vu leurs effectifs grimper. Plus d’adhérents, c’est plus de fichiers, plus de certificats médicaux stockés dans une boîte mail, plus de données de mineurs qui traînent dans un tableur partagé sur Drive. Et depuis fin 2024, plusieurs fédérations ont justement payé cette croissance mal maîtrisée par des fuites de données massives, jusqu’à 1,5 million de personnes concernées pour la fédération de football.
Si vous dirigez un club, même amateur, même avec vingt licenciés, ce contexte vous concerne directement. Pas parce qu’un contrôleur CNIL va débarquer un samedi matin à l’entraînement de mini-poussins, mais parce que les obligations existent depuis 2018 et que la plupart des clubs ne les ont tout simplement jamais regardées.
« On est trop petits pour être concernés » : l’erreur qui coûte cher
C’est l’objection qu’on entend le plus souvent dans les bureaux de club, et elle est fausse.
Le RGPD ne prévoit aucun seuil d’adhérents, aucun plancher de budget, aucune exception pour les associations loi 1901. Dès qu’une structure tient un fichier contenant des noms, des adresses ou des numéros de téléphone, elle devient ce que le règlement appelle un « responsable de traitement ». Un club de pétanque avec quinze membres dans un fichier Excel a exactement le même statut juridique qu’une entreprise de cent salariés sur ce point précis. Seule la proportionnalité des mesures à mettre en place change, pas l’obligation elle-même.
Concrètement, ça veut dire que la question n’est jamais « sommes-nous concernés ? » mais « sommes-nous en règle ? ».
Quelles données un club sportif manipule réellement
La plupart des dirigeants sous-estiment la sensibilité de ce qu’ils stockent. Un fichier d’adhérents classique contient déjà :
- l’identité, l’adresse et les coordonnées des membres, et souvent celles des parents pour les mineurs ;
- des données de santé, via les certificats médicaux ou les attestations de non-contre-indication à la pratique sportive ;
- des informations de licence transmises à la fédération ;
- parfois des données relatives à une situation de handicap, dans le cadre du parasport.
« On est trop petits pour être concernés » : l’erreur qui coûte cher
C’est l’objection qu’on entend le plus souvent dans les bureaux de club, et elle est fausse.
Le RGPD ne prévoit aucun seuil d’adhérents, aucun plancher de budget, aucune exception pour les associations loi 1901. Dès qu’une structure tient un fichier contenant des noms, des adresses ou des numéros de téléphone, elle devient ce que le règlement appelle un « responsable de traitement ». Un club de pétanque avec quinze membres dans un fichier Excel a exactement le même statut juridique qu’une entreprise de cent salariés sur ce point précis. Seule la proportionnalité des mesures à mettre en place change, pas l’obligation elle-même.
Concrètement, ça veut dire que la question n’est jamais « sommes-nous concernés ? » mais « sommes-nous en règle ? ».
Quelles données un club sportif manipule réellement
La plupart des dirigeants sous-estiment la sensibilité de ce qu’ils stockent. Un fichier d’adhérents classique contient déjà :
- l’identité, l’adresse et les coordonnées des membres, et souvent celles des parents pour les mineurs ;
- des données de santé, via les certificats médicaux ou les attestations de non-contre-indication à la pratique sportive ;
- des informations de licence transmises à la fédération ;
parfois des données relatives à une situation de handicap, dans le cadre du parasport.
Ce dernier point mérite qu’on s’y arrête. La CNIL a publié en 2024 une fiche dédiée à ce sujet précis, parce que la collecte de données liées au handicap d’un sportif obéit à des règles particulièrement strictes : elle n’est légitime que si elle sert réellement à adapter la pratique, et jamais par défaut (CNIL, collecte de données sur le handicap du sportif).
Les données de santé, elles aussi, ne se collectent pas n’importe comment. La CNIL a détaillé dans quels cas précis un club ou une fédération peut légalement demander ce type d’information à un sportif, amateur ou non (CNIL, données de santé et sportifs). Le principe général : on ne collecte que ce qui est nécessaire, et on ne le garde pas indéfiniment dans un tiroir ou un fichier partagé.
Et pour tout ce qui touche aux licences fédérales, la CNIL a publié un guide spécifique, très concret, qui liste les règles à respecter au moment de la demande ou du renouvellement (CNIL, licences sportives).
Ce qu’un dirigeant doit mettre en place, concrètement
Voici les cinq chantiers qui font l’essentiel de la conformité pour un club de taille moyenne. Aucun ne demande un budget conséquent ni un juriste dédié.
Un registre des traitements, même sommaire. Il s’agit simplement de lister, dans un document, quelles données vous collectez, pourquoi, qui y a accès et combien de temps vous les gardez. Une page suffit pour un petit club. La CNIL met à disposition des modèles gratuits, taillés pour les petites structures.
Une information claire des adhérents. Sur le bulletin d’adhésion ou le formulaire d’inscription en ligne, une mention doit préciser ce que vous faites des données recueillies, et rappeler aux adhérents leurs droits d’accès, de rectification et de suppression.
Des accès limités et sécurisés. Le fichier des adhérents ne devrait pas circuler sur cinq boîtes mail différentes ni traîner sur une clé USB perdue au fond d’un sac de sport. Restreindre l’accès aux seules personnes qui en ont réellement besoin (président, trésorier, secrétaire) réduit déjà une bonne partie du risque.
Une durée de conservation définie. Les données d’un adhérent qui a quitté le club depuis trois ans n’ont, en général, plus lieu d’être conservées. Fixer une règle simple, du type suppression un an après le départ, évite d’accumuler un fichier fantôme dont personne ne sait plus quoi faire.
Un référent RGPD, sans forcément aller jusqu’au DPO. La désignation d’un délégué à la protection des données n’est obligatoire que dans des cas précis, liés notamment au volume ou à la nature des données traitées. Pour un club standard, la CNIL recommande simplement qu’une personne du bureau soit identifiée comme référente sur ces questions, sans qu’il faille créer un poste dédié.
Le cas des mineurs, à part
La majorité des licenciés dans le sport amateur sont mineurs, ce qui ajoute une couche de vigilance. Toute collecte de données sur un enfant nécessite en principe l’accord de son représentant légal, et le réflexe à avoir est celui de la minimisation : on ne demande pas la date de naissance complète d’un enfant de huit ans si un simple « moins de 12 ans » suffit à organiser les catégories d’entraînement.
Ce qu’un club risque en cas de manquement
Soyons honnêtes : un petit club de quartier n’est pas la cible prioritaire de la CNIL. Ce sont bien les fédérations qui sont dans le viseur des contrôles 2026, avec une trentaine d’entre elles identifiées. Mais deux choses concernent quand même tout le monde, y compris les petites structures.
D’abord, les fédérations répercutent de plus en plus leurs propres exigences RGPD sur les clubs affiliés, via les conventions de licence. Ensuite, un club qui subit une fuite de données (un ordinateur volé, une boîte mail piratée, un tableur partagé par erreur) engage sa responsabilité vis-à-vis de ses propres adhérents, indépendamment de tout contrôle CNIL. La CNIL a d’ailleurs indiqué vouloir consacrer une part croissante de ses contrôles et sanctions aux manquements liés à la sécurité des données, un sujet qui dépasse largement le seul secteur sportif.
Autrement dit : le risque n’est pas tant l’amende que la fuite elle-même, et la perte de confiance des familles qui vous confient les données de leurs enfants chaque saison.
Check-list de mise en conformité en 5 étapes
Aucune de ces étapes ne prend plus d’une soirée à mettre en place. C’est justement le problème avec le RGPD associatif : ce n’est pas compliqué, c’est juste toujours repoussé à plus tard.
Comment un logiciel de gestion vous aide à tenir ces engagements dans la durée
La check-list ci-dessus tient sur un an tant qu’une personne y pense. Le vrai risque, dans un club géré par des bénévoles qui tournent d’une saison à l’autre, c’est que personne ne reprenne le dossier une fois le président sortant parti avec le mot de passe du fichier Excel.
C’est là qu’un outil centralisé comme Konsors fait la différence. Les données des adhérents sont stockées sur une plateforme sécurisée et conforme RGPD, plutôt que dispersées entre boîtes mail, clés USB et tableurs personnels. Les accès sont attribués par rôle, un entraîneur ne voit pas les mêmes informations qu’un trésorier, et la traçabilité de qui consulte quoi devient automatique plutôt que théorique. Quand un nouveau bureau prend la suite, il hérite d’un système déjà en règle, pas d’un dossier à reconstituer de zéro.
Konsors s’utilise pendant 30 jours en essai gratuit, sans engagement, pour voir concrètement comment la gestion de vos adhérents peut devenir plus simple et plus sûre. Vous pouvez aussi demander une démonstration pour qu’on regarde ensemble la configuration adaptée à votre club.
Questions fréquentes
Un club sportif doit-il désigner un délégué à la protection des données (DPO) ?
Pas dans la majorité des cas. Le DPO est obligatoire pour les organismes publics ou les structures qui traitent des données à grande échelle ou de façon particulièrement sensible. Un club amateur classique n’est pas concerné, mais la CNIL recommande de désigner un référent RGPD au sein du bureau, sans que cela nécessite un poste dédié.
Peut-on collecter le certificat médical d’un adhérent mineur ?
Oui, avec l’accord du représentant légal, et uniquement pour vérifier l’aptitude à la pratique sportive. Le document ne doit pas être conservé au-delà de ce qui est nécessaire, ni partagé au-delà des personnes qui en ont réellement besoin.
Combien de temps peut-on garder les données d’un ancien adhérent ?
Il n’existe pas de durée unique imposée pour tous les cas, mais le principe est de ne pas conserver les données au-delà de ce qui est utile. Beaucoup de clubs retiennent une règle simple : suppression un à trois ans après le départ, sauf obligation légale de conservation plus longue (comptabilité, par exemple).
Un club de 30 adhérents est-il vraiment concerné par le RGPD ?
Oui. Le règlement ne fixe aucun seuil de taille. Dès qu’un fichier contenant des données personnelles existe, l’association est responsable de traitement, quelle que soit sa taille.
