Huella, control de acceso y datos de salud: qué permite la ley en tu gimnasio y qué no.
Controlar el acceso con la huella o la cara ya les ha costado multas de la AEPD a varios gimnasios (160.000 € en el PS/00289/2024, 27.000 € en el PS/00413/2022): la biometría es categoría especial y exige una excepción del art. 9.2 RGPD y una evaluación de impacto. Súmale los cuestionarios de aptitud física (datos de salud), las domiciliaciones y las imágenes. ÆGIS te dice qué te exige cada cosa y qué no, citando la norma, y te prepara los documentos con los datos de tu gimnasio para que los revises.
Ficha en preparación. Todavía no tiene todo lo que pedimos a una ficha completa: cinco casos de sanción comprobados, cinco situaciones, cinco plantillas y la base sectorial del copiloto. Los casos que ves están comprobados uno a uno en su resolución de aepd.es.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
Control de acceso: ¿huella o tarjeta?
Qué puede costar si se incumpleCasos reales: 160.000 € por reconocimiento facial (PS/00289/2024), 27.000 € por huella obligatoria (PS/00413/2022) y 6.000 € por huella sin información ni evaluación de impacto (PS/00141/2025)
- El problema
- Quieres poner acceso por huella para evitar que se pasen las tarjetas. ¿Es legal? ¿Qué arriesgas?
- Qué exige la normativa
- La huella es categoría especial (Art. 9) · la AEPD exige proporcionalidad y alternativas menos intrusivas · evaluación de impacto si se justifica · consentimiento no sirve como única base por el desequilibrio.
- Cómo lo resuelve AIM ÆGIS
- El agente analiza tu caso, cita la guía de biometría de la AEPD y te propone la alternativa conforme (tarjeta/PIN/QR), con la evaluación de impacto si insistes en biometría.
-
Situación 02
Cuestionario de aptitud física
Qué puede costar si se incumpleTratar datos de salud sin una excepción del art. 9.2 RGPD es infracción del art. 9 (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor); pedir datos de más, del art. 5.1.c: caso real, 3.000 € por los datos que pedía un gimnasio para un día gratis (PS/00114/2025)
- El problema
- Pides a los nuevos socios un cuestionario de salud y lesiones. ¿Cómo lo tratas? ¿Quién puede verlo?
- Qué exige la normativa
- Datos de salud (Art. 9) · base jurídica adecuada · acceso restringido a entrenadores que lo necesitan · conservación limitada.
- Cómo lo resuelve AIM ÆGIS
- Plantilla de cuestionario y consentimiento conforme, con la política de acceso y conservación de los datos de salud.
-
Situación 03
Domiciliación y gestión de impagos
Qué puede costar si se incumpleTratar datos de más o sin base es infracción de los arts. 5.1.c y 6 RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- Cobras cuotas por domiciliación y a veces hay impagos. ¿Cómo reclamas sin infringir el RGPD?
- Qué exige la normativa
- Información y mandato SEPA · base jurídica para la gestión de cobro · contrato Art. 28 si usas empresa de recobro.
- Cómo lo resuelve AIM ÆGIS
- Protocolo de impagos conforme al RGPD y el contrato de encargado con la empresa de recobro.
-
Situación 04
Imágenes y redes sociales
Qué puede costar si se incumpleCaso real: 36.000 € a un gimnasio que grababa las clases sin consentimiento válido y guardaba las grabaciones de más (PS/00021/2025)
- El problema
- Quieres publicar fotos de clases y clientes en Instagram para promocionar. ¿Necesitas consentimiento?
- Qué exige la normativa
- Consentimiento específico para imagen · información · cámaras solo proporcionales y con cartel.
- Cómo lo resuelve AIM ÆGIS
- Consentimiento de imagen para redes y la política de videovigilancia del centro.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Cinco procedimientos de la AEPD contra gimnasios y centros deportivos, cada uno con su resolución enlazada
Importes que citan las resoluciones: de 3.000 € (PS/00114/2025) a 160.000 € (PS/00289/2024)
-
PS/00289/2024 · SIDECU
160.000 €Importe que cita el caso
Un centro deportivo (Supera Entrepuentes, de SIDECU, S.A.) impuso el reconocimiento facial para entrar y negó el acceso al socio que no lo aceptó. La AEPD fijó 80.000 € por tratar datos biométricos sin una excepción del art. 9 RGPD, 50.000 € por no hacer evaluación de impacto (art. 35) y 30.000 € por no informar (art. 13); pagó 96.000 € el 20/05/2025 con las dos reducciones.
CausaReconocimiento facial para entrar al gimnasio (arts. 9, 13 y 35 RGPD)
-
PS/00413/2022 · gimnasio Metropolitan de Santander
27.000 €Importe que cita el caso
Un gimnasio de Santander (explotado por Llefisa, S.L.) exigió desde 2021 la huella dactilar para entrar. La AEPD le impuso 15.000 € por tratar datos biométricos sin una excepción del art. 9.1 RGPD, 10.000 € por falta de base jurídica (art. 6.1) y 2.000 € por no informar (art. 13).
CausaHuella dactilar obligatoria para entrar (arts. 6.1, 9.1 y 13 RGPD)
-
PS/00141/2025 · River Mados
6.000 €Importe que cita el caso
Un establecimiento deportivo (River Mados, S.L.) pedía registrar la huella dactilar para entrar sin informar de ese tratamiento. La AEPD fijó 4.000 € por el art. 9 RGPD y 2.000 € por no hacer evaluación de impacto (art. 35); pagó 3.600 € el 12/06/2025 con las dos reducciones.
CausaHuella para entrar sin información ni evaluación de impacto (arts. 9 y 35 RGPD)
-
PS/00021/2025 · School Fitness (Holiday Fit)
36.000 €Importe que cita el caso
Los monitores de un gimnasio (Holiday Fit Tres Cantos, de School Fitness Holiday & Franchising, S.L.) grababan las clases con el móvil sin informar ni pedir el consentimiento de los participantes. La AEPD fijó 15.000 € por el art. 7 RGPD, 15.000 € por el art. 5.1.e (plazo de conservación) y 6.000 € por el art. 28 (encargado del tratamiento); pagó 21.600 € el 11/03/2025 con las dos reducciones.
CausaGrabación de clases sin consentimiento válido (arts. 5.1.e, 7 y 28 RGPD)
-
PS/00114/2025 · Forma Sport
3.000 €Importe que cita el caso
Una cadena de gimnasios (Monumental Forma Sport, S.L.) pedía el documento de identidad, la fecha de nacimiento y otros datos para disfrutar de un día de prueba gratis. La AEPD le impuso 3.000 € por pedir datos de más (minimización, art. 5.1.c RGPD) y le ordenó dejar de hacerlo.
CausaDatos de más para un día gratis (art. 5.1.c RGPD)
3 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
Análisis de control de acceso (biometría vs alternativas)
Conforme a la guía de biometría de la AEPD.
Base legal: Art. 9 RGPD + Guía AEPDPDF + Word editable -
Cuestionario de aptitud y consentimiento
Datos de salud con acceso restringido.
Base legal: Art. 9 RGPDPDF + Word editable -
RAT del centro deportivo
Registro de tratamientos.
Base legal: Art. 30 RGPDPDF + Word editable
¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
Miles de gimnasios, centros deportivos, estudios de entrenamiento y clubes en España.
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta