Un gimnasio trata cada día datos de socios, empleados, monitores, menores y, con frecuencia, información relacionada con la salud o con el acceso al recinto. Altas, cuotas, huellas o tarjetas, cámaras, apps de reservas, grupos de WhatsApp y fotos de clases conviven en un mismo negocio.
El centro es, con carácter general, el responsable del tratamiento. Software de gestión, control de accesos, videovigilancia, plataformas de pago o herramientas de IA actúan como encargados cuando tratan datos por vuestra cuenta.
En RNOVA Security ordenamos el cumplimiento RGPD y LOPDGDD para que la protección de datos no dependa de improvisar ante una reclamación, una inspección o un cambio de proveedor: altas, accesos, cámaras, salud, menores, comunicaciones e inteligencia artificial.
Altas, cuotas y ficha del socio
El contrato de socio, el DNI, la domiciliación, las reservas de clases y el histórico de pagos son tratamientos cotidianos. Hay que saber qué se recoge, para qué, durante cuánto tiempo y quién accede.
Revisamos:
- Formularios de alta (papel, tablet o app) y la información que se da en ese momento.
- Base legal de cada finalidad: contrato, obligación legal, interés legítimo o consentimiento.
- Datos que no hacen falta para dar el servicio (y que conviene no pedir).
- Conservación tras la baja: facturación, reclamaciones y marketing.
- Acceso del personal de recepción, administración y entrenadores a la ficha.
El objetivo es una ficha útil para el día a día, no un cuestionario infinito que luego nadie puede justificar.
Control de accesos y datos biométricos
Tornos, tarjetas, códigos y, en muchos centros, huella dactilar o reconocimiento facial. Los datos biométricos son categoría especial: no basta con un consentimiento genérico en el contrato ni con «es más cómodo».
La Agencia Española de Protección de Datos ha sido clara: el acceso al gimnasio suele poder resolverse con alternativas menos invasivas (tarjeta, PIN, app). Si usáis biométricos, hay que valorar necesidad, proporcionalidad, alternativas, información al socio y medidas de seguridad del proveedor.
Dejamos documentado qué sistema usáis, si existe alternativa real, quién trata la plantilla biométrica y qué ocurre al darse de baja el socio.
Videovigilancia en sala, recepción y vestuarios
Las cámaras en recepción, pasillos o sala de máquinas pueden ser legítimas por seguridad, con cartelería, plazos de conservación y acceso limitado. No pueden grabar vestuarios, duchas ni aseos.
Revisamos ubicación, orientación, carteles, quién ve las imágenes (incluido el acceso remoto del dueño o de la empresa de seguridad), plazos y qué se hace si un socio pide una grabación o si se comparte un recorte en un grupo.
La empresa que instala las cámaras no asume por ello la responsabilidad: el gimnasio sigue siendo responsable del sistema.
Salud, lesiones y menores
Cuestionarios de salud, partes de lesión, informes para el seguro o indicaciones del entrenador pueden ser datos de salud. Hay que recoger solo lo necesario, con base legal clara, y limitar quién los ve.
Si hay menores (escuelas, campus, clases familiares), se refuerza la información a tutores, el consentimiento cuando proceda, las fotos y el uso de apps o grupos. Un menor no se trata igual que un socio adulto.
WhatsApp, fotos y redes
Grupos de clase, stories con alumnos al fondo, fotos de «antes y después» o listas de espera por WhatsApp son focos habituales de reclamación.
Definimos qué canales pueden usarse, qué no debe publicarse sin base, cómo pedir fotos con consentimiento específico y cómo evitar que un número de teléfono quede visible para todo el grupo si no es necesario.
Inteligencia artificial en el gimnasio
La IA entra en reservas, atención al socio, planes de entrenamiento, análisis de cámaras o chatbots. El problema no es usarla, sino qué datos se envían al proveedor y qué hace después con ellos.
Si usáis IA revisamos, entre otras cuestiones:
- Qué datos de socios o empleados se introducen.
- Si realmente son necesarios (minimización).
- Quién presta el servicio y bajo qué contrato.
- Si la información se usa para entrenar modelos o para otros fines.
- Dónde se procesa y cuánto tiempo se conserva.
- Qué hay que informar a socios y trabajadores.
- Cuándo aplica el Reglamento europeo de Inteligencia Artificial (por ejemplo, identificación biométrica o sistemas de alto riesgo).
Riesgos habituales en gimnasios
- Huella o facial sin alternativa y sin evaluación de necesidad.
- Cámaras que rozan vestuarios o se ven desde el móvil del dueño sin control.
- Fichas de salud visibles en recepción o compartidas con todos los monitores.
- Fotos de clases en Instagram sin criterio ni consentimiento.
- Grupos de WhatsApp con menores o con teléfonos de todos los inscritos.
- Software de gestión o app de reservas sin contrato de encargado.
- Introducir listados de socios o lesiones en un chatbot de IA.
- Conservar DNI y datos de altas «por si acaso» años después de la baja.
Un diagnóstico ordena altas, accesos, cámaras, salud, canales y proveedores antes de que una reclamación o un cambio de software obligue a hacerlo con urgencia.
Qué entregamos
- Identificación de tratamientos y responsabilidades del centro.
- Registro de Actividades de Tratamiento.
- Información a socios, empleados y, si procede, tutores.
- Revisión de control de accesos y biométricos (necesidad, alternativas, proveedor).
- Videovigilancia: carteles, ubicación, accesos y conservación.
- Criterios para fichas de salud, lesiones y menores.
- Reglas para WhatsApp, fotos y redes.
- Contratos con software, accesos, cámaras, pagos y nube.
- Protocolo ante derechos e incidentes.
- Revisión de herramientas de IA cuando se utilicen.
El objetivo no es un manual para el cajón, sino reglas que recepción, dirección y entrenadores puedan aplicar entre clases.
Preguntas frecuentes
¿Podemos exigir la huella para entrar al gimnasio?
Como regla general, no es la opción más fácil de justificar. Suele existir una alternativa (tarjeta, PIN, app). Si aún así usáis biométricos, hay que documentar por qué son necesarios, informar con claridad y revisar al proveedor. Lo vemos caso a caso.
¿Se pueden poner cámaras en la sala de máquinas?
Sí, con finalidad de seguridad, cartelería, minimización y acceso limitado. No en vestuarios, duchas ni aseos. Las grabaciones no deben compartirse en grupos ni usarse para «pillar» a socios sin criterio.
¿El cuestionario de salud es obligatorio?
Solo debe pedirse lo necesario para el servicio o para prevenir un riesgo concreto, con base legal e información. No un historial médico completo «por si acaso».
¿Y si hay niños en las clases?
Se informa a los tutores, se limita fotos y grupos, y se refuerza quién accede a esos datos. El menor no se gestiona igual que un socio adulto.
¿Podemos usar ChatGPT o una IA para planes de entrenamiento?
Sí, si no volcáis fichas identificables o datos de salud sin revisar al proveedor. Minimización, contrato y aviso cuando corresponda. Más detalle en IA y cumplimiento.
¿Hace falta DPO en un gimnasio?
Depende del volumen y de si tratáis de forma habitual datos de salud o biométricos a gran escala. En el diagnóstico te decimos si aplica o si basta un interlocutor interno — y, si hace falta, DPO externo.
¿El cumplimiento sirve cuando cambiemos de software o de cámaras?
Ese es el objetivo: dejar criterios y contratos que se puedan actualizar, no una carpeta atada a un proveedor concreto.
Protección de datos pensada para la gestión real de un gimnasio.