Protección de datos
en tu gimnasio

1. La entrada: mejor sin huella ni cara

• Es un dato especialmente protegido. La huella o la cara que identifican a una persona están prohibidas por defecto (RGPD, art. 9).
• Lo que pide la Agencia. Fuera del trabajo, el consentimiento tiene que ser libre, y el gimnasio tiene que ofrecer otra forma de entrar a quien no quiera, sin ninguna consecuencia; y además demostrar que no hay una alternativa de menos riesgo (guía de la AEPD sobre biometría, 2023). Si hay una alternativa igual de buena, la biometría sobra.
• Las multas. 27.000 € a un gimnasio de Santander por exigir la huella sin alternativa y dar de baja a la socia que se negó (PS/00413/2022), y 160.000 €, rebajados a 96.000 €, a una cadena por usar el reconocimiento facial como único acceso, con orden de dejar de usarlo (PS/00289/2024).

2. Las cámaras

• Un mes como máximo. Las imágenes se borran en un mes, salvo que muestren un ataque a personas, bienes o instalaciones; entonces se entregan a la autoridad en 72 horas (LOPDGDD, art. 22).
• El cartel. En un lugar bien visible, diciendo que se graba, quién es el responsable y cómo ejercer los derechos. La Agencia tiene un modelo (guía de videovigilancia, 2025).
• Nunca en vestuarios ni aseos. En piscinas y spas, solo las zonas de uso común (guía de videovigilancia, 3.9). Si una empresa externa ve las imágenes, hace falta contrato con ella.

3. Datos de salud y menores

• La salud, con consentimiento explícito. Lesiones, enfermedades o un cuestionario de salud son una categoría especial: necesitas el consentimiento explícito del socio para un fin concreto (RGPD, art. 9.2.a) y pedir solo lo necesario (art. 5.1.c).
• Menores de 14 años, con sus padres. Desde los 14 consienten ellos; por debajo, sus padres o tutores (LOPDGDD, art. 7).

4. Fotos y vídeos en redes

Grabar una clase y subirla con socios reconocibles necesita su consentimiento. La Agencia multó a una cadena de gimnasios con 36.000 €, que quedaron en 21.600 € al pagar y reconocerlo, por grabar clases y difundir las imágenes sin un consentimiento válido (PS/00021/2025). Pide permiso por escrito, o graba sin caras.

5. Promociones por WhatsApp o correo

Sin permiso previo están prohibidas. La excepción son tus socios, con servicios tuyos parecidos a los que ya tienen; aun así, tienes que ofrecerles una baja sencilla y gratuita al recoger sus datos y en cada mensaje (LSSI, art. 21).

6. Los papeles

• Contrato con tus proveedores. Quien guarda los datos por ti —tu programa de gestión, la empresa de las cámaras— necesita un contrato de encargado del tratamiento (RGPD, art. 28). Pídeselo.
• El registro de lo que tratas. Con menos de 250 empleados no es obligatorio, salvo que el tratamiento no sea ocasional o incluya datos de salud o biométricos (art. 30.5). En un gimnasio, lo normal es que sí haga falta.
• Si hay una brecha —un robo de datos, un ordenador perdido—, se avisa a la Agencia en 72 horas como máximo desde que lo sabes, salvo que sea improbable que suponga un riesgo (art. 33).

Preguntas frecuentes