Sommaire

Posez la question à un dirigeant de club, professionnel ou amateur : « la captation d’un match, les statistiques des joueurs et les paris sportifs, c’est du RGPD ? » La réponse la plus fréquente est un haussement d’épaules. On filme un spectacle public. Les joueurs sont payés pour être vus. Les statistiques sont des chiffres. Les paris, c’est l’affaire des opérateurs.

A lire aussi sur DPO PARTAGE

Pixels de suivi : le délai de la CNIL a expiré

Gestion Stratégique des Vulnérabilités : Le Rôle du VOC et l’Unification de la Défense Proactive

Pixels de suivi email : quand faut-il un consentement ?

Cette réponse est fausse sur les trois points. Et elle est fausse pour une raison structurelle : dans le football, trois corps de règles se superposent sans se recouvrir, et l’habitude consiste à croire que le respect de l’un dispense du respect des autres.

Trois régimes, trois logiques

Régime	Ce qu’il protège	Textes	Ce qu’il ne fait PAS
Droit à l’image	Le contrôle de la personne sur la diffusion de son image et de sa voix	Article 9 du code civil, jurisprudence	Il ne remplace pas une base légale RGPD. Une autorisation de diffusion signée ne vaut pas consentement au traitement.
Droit du sport	La propriété économique du spectacle et l’exploitation commerciale de l’image du sportif	Articles L. 333-1 et suivants, L. 222-2-10-1 du code du sport, conventions collectives, accords de discipline	Il fonde une exclusivité commerciale, pas une licéité au sens du RGPD. Le droit d’exploitation d’une compétition n’autorise pas à traiter n’importe quelle donnée sur les joueurs.
RGPD	La personne, dès qu’elle est identifiée ou identifiable	Règlement (UE) 2016/679, loi Informatique et Libertés	Il ne dit rien de la valeur économique des droits audiovisuels. Il impose une finalité, une base légale, une minimisation, une durée, des droits.

La CNIL est explicite sur ce point : les structures sportives doivent respecter les règles propres au droit du sport, « mais également garantir et démontrer, à tout moment, leur conformité aux exigences du RGPD pour les images des sportifs qu’elles traitent ». Les deux régimes se cumulent. Aucun ne neutralise l’autre.

Les trois erreurs qui reviennent dans tous les audits

ERREUR 1 : « LE CONTRAT DE CESSION D’IMAGE COUVRE TOUT »

Un contrat de cession de droit à l’image organise une exploitation commerciale. Il ne définit ni finalité de traitement, ni durée de conservation, ni destinataires, ni modalités d’exercice des droits. Il ne mentionne presque jamais la revente des données de performance à un tiers. Il ne constitue donc pas, à lui seul, une base légale RGPD pour l’ensemble de la chaîne.

ERREUR 2 : « UNE STATISTIQUE N’EST PAS UNE DONNÉE PERSONNELLE »

Le nombre de kilomètres parcourus par un joueur nommé lors d’un match daté est une information se rapportant à une personne physique identifiée. C’est la définition même de l’article 4 du RGPD. Ajoutez la fréquence cardiaque, et vous entrez dans l’article 9. La CNIL le formule sans détour : la mesure de la performance physique individuelle « ne peut pas être décorrélée de l’étude du corps du sportif », elle « entraîne nécessairement le recueil et l’utilisation de données de santé ».

ERREUR 3 : « LE CONSENTEMENT DU JOUEUR RÈGLE LE PROBLÈME »

C’est l’erreur la plus coûteuse, parce qu’elle est de bonne foi. Dans le sport professionnel et de haut niveau, la CNIL considère que le consentement du sportif « n’est pas adapté » : il n’est ni libre ni univoque, dès lors qu’il peut conditionner la sélection opérée par l’entraîneur. Un club qui fonde son dispositif GPS sur un formulaire de consentement construit sa conformité sur une base légale invalide. Et paradoxalement, dans le sport amateur, la CNIL exige au contraire le consentement exprès pour les données de santé collectées par objet connecté. Nous y reviendrons : c’est le point le plus contre-intuitif du dossier.

Ce dossier est organisé autour de cette réalité : le même geste, filmer un joueur ou mesurer sa course, ne relève pas du même régime selon le niveau de pratique, l’âge du joueur et la finalité poursuivie. Nous prenons les couches une à une.

Cartographie : qui sont les personnes concernées ?

Avant toute analyse, il faut cesser de parler du « match » comme d’un traitement unique. Un match est un empilement de traitements distincts, portant sur des catégories de personnes distinctes, avec des niveaux de risque très différents. Le tableau suivant est la grille de lecture qui structure tout le reste.

Personne concernée	Données typiques	Sensibilité	Base légale dominante	Point de rupture le plus fréquent
Joueur professionnel	Image, voix, nom, statistiques d’événement, tracking GPS, fréquence cardiaque, suivi de blessure, données contractuelles	Élevée (article 9 dès le capteur physiologique)	Contrat de travail, intérêt légitime, intérêt public important (art. 9.2.g) pour la santé	La revente à des tiers pour des finalités nouvelles, sans base légale identifiée ni information au titre de l’article 14
Joueur amateur majeur	Image, résultats, statistiques de jeu, certificat médical, éventuellement capteurs	Moyenne à élevée	Intérêt légitime pour la gestion sportive, consentement pour la publication et pour les données de santé issues de capteurs	Publication de photos sur les réseaux du club sans autorisation préalable
Joueur mineur	Idem, plus la vulnérabilité liée à l’âge	Très élevée	Autorisation écrite des titulaires de l’autorité parentale, révocable	Diffusion sur les réseaux sociaux et sur le site de la commune sans autorisation, et sans possibilité réelle de retrait
Arbitre et officiel	Image, décisions, évaluations de performance, incidents	Moyenne, avec un risque de sécurité personnelle	Mission d’intérêt public de la fédération, intérêt légitime	Diffusion nominative d’évaluations, exposition à des campagnes de harcèlement
Encadrement et staff médical	Image, données RH, accès aux données de santé des joueurs	Élevée	Contrat, obligation légale	Habilitations trop larges : le staff administratif accède aux données de santé
Spectateur	Image (plans de foule, écran géant), billetterie nominative, données de paiement, données de fréquentation	Moyenne	Intérêt légitime, obligation légale pour la billetterie des rencontres à risque	Le gros plan individualisé et la kiss cam, traités comme du plan de foule alors qu’ils changent de nature
Supporter faisant l’objet d’une interdiction	Identité, photographie, motif, durée	Très élevée (proche de l’article 10)	Cadre spécifique du code du sport et cadre de référence de la CNIL	La tentation de la reconnaissance faciale pour automatiser le contrôle : la CNIL a déjà averti un club sur ce fondement
Parieur	Identité, coordonnées, données bancaires, IP, historique de mises, score de risque de jeu excessif	Très élevée (le score de risque est une donnée de santé)	Contrat, obligation légale (LCB-FT, jeu excessif), intérêt légitime pour la prospection	Le score de risque de jeu excessif réutilisé à des fins commerciales : détournement de finalité sur des données de santé

Huit catégories, huit régimes. Aucune organisation du football ne les traite toutes, mais presque toutes en traitent au moins trois sans l’avoir formalisé.

La captation : filmer, c’est traiter

Quand une image devient une donnée

Le critère est celui de l’identifiabilité, directe ou indirecte. La CNIL donne un exemple qui devrait figurer dans toutes les formations de dirigeants de clubs : la photographie d’un sportif « de dos avec un numéro de maillot attribué exclusivement à ce sportif » est une donnée personnelle. Le visage n’est pas nécessaire. Le contexte suffit.

Dès lors que cette image est captée, enregistrée, exploitée et diffusée, il y a traitement. La CNIL cite explicitement : le trombinoscope des adhérents, l’enregistrement des entraînements et des matchs pour améliorer les performances, la retransmission en direct ou en différé d’une manifestation sportive, la présentation d’une équipe locale sur le site internet de la commune.

Il n’y a pas « une » captation, il y en a six

C’est le point de méthode central. Une caméra dans un stade sert simultanément plusieurs finalités qui n’ont ni la même base légale, ni la même durée de conservation, ni les mêmes destinataires. Les confondre dans une seule ligne du registre est la faute la plus courante.

Finalité	Base légale usuelle	Durée	Destinataires	Vigilance
Diffusion du spectacle (broadcast)	Contrat (joueur pro), intérêt légitime du diffuseur, aménagement au titre de la liberté d’expression et d’information	Archives : longue, à documenter	Diffuseurs, plateformes, ayants droit	La captation du spectacle n’emporte pas droit de réutiliser les images à des fins marketing ou publicitaires
Analyse vidéo de performance	Contrat de travail, intérêt légitime du club	Durée de la saison, ou de la carrière si gestion de carrière	Staff sportif habilité uniquement	La vidéo tactique devient une donnée de santé dès qu’elle est croisée avec le suivi de blessure
Arbitrage assisté (VAR, ligne de but)	Mission d’intérêt public de la fédération ou de la ligue, règlement de la compétition	Courte, sauf litige	Corps arbitral, commission de discipline	La réutilisation des images d’arbitrage à des fins disciplinaires doit être prévue et annoncée
Sécurité (vidéoprotection)	Obligation légale, mission d’intérêt public, cadre du code de la sécurité intérieure	Un mois au maximum en principe, l’autorisation préfectorale fixant la durée	Exploitant, forces de l’ordre sur réquisition	Régime totalement distinct de la captation du spectacle. Registre séparé, information séparée, AIPD le plus souvent
Communication du club	Consentement (amateur), intérêt légitime ou contrat (pro)	Le temps de la campagne, puis suppression	Public, réseaux sociaux	C’est ici que la conformité s’effondre le plus souvent, notamment pour les mineurs
Captation par les spectateurs	Exemption domestique, sauf publication à large diffusion	Sans objet	Sans objet	L’exemption domestique tombe si le spectateur diffuse publiquement et massivement. Le club n’en est pas responsable, mais il doit informer

Le joueur professionnel : le consentement est un piège

Le réflexe consiste à faire signer au joueur une autorisation générale. Ce réflexe est mauvais pour deux raisons.

Il n’est pas valable. Le consentement doit être libre. Il ne l’est pas quand le refus expose le joueur à ne pas être sélectionné, à ne pas être diffusé, ou à voir son contrat renégocié. La CNIL le dit pour les données de performance ; le raisonnement vaut a fortiori pour l’image, dans une relation salariée.
Il est inutile. La captation du match par le club employeur relève de l’exécution du contrat de travail et des accords collectifs de la discipline. La diffusion par le détenteur des droits relève de l’exécution du contrat de cession et de son intérêt légitime. Ces bases sont plus solides que le consentement, parce qu’elles ne sont pas révocables à tout moment.

Ce qui doit être fait à la place : une information complète au titre de l’article 13, intégrée au dossier du joueur, listant chaque finalité, chaque destinataire, chaque durée. C’est cette information, et non une signature, qui constitue la preuve de conformité.

Le joueur amateur : là, le consentement redevient la règle

Le renversement est net. La CNIL demande de « recueillir l’autorisation préalable des sportifs ou de leurs représentants légaux », et donne l’exemple suivant : « l’autorisation préalable du sportif amateur devra être obtenue pour que sa photographie figure sur le site web du club sportif ».

Elle ajoute deux exigences opérationnelles que peu de clubs respectent :

la limitation à la finalité : « la photographie de sportifs qui posent pour un calendrier de fin d’année ne peut être utilisée pour autre chose » ;
la durée : « les photographies des sportifs transmises au club au moment de leur adhésion annuelle pour constituer un trombinoscope doivent être détruites à l’issue de la saison sportive, sauf en cas de réinscription ».

Traduction pour un club de district : la photo du trombinoscope n’est pas un stock permanent. Elle a une date de péremption. Et la case à cocher sur le bulletin d’adhésion doit distinguer les usages, pas les agréger dans un « j’autorise le club à utiliser mon image » indifférencié, qui n’est ni spécifique ni éclairé.

Les mineurs : le point de rupture

CE QU’UN CLUB DE JEUNES NE PEUT PAS FAIRE

1. Publier la photo d’un mineur sur les réseaux du club sans autorisation écrite, préalable et spécifique des titulaires de l’autorité parentale.

2. Considérer que l’adhésion au club vaut autorisation de diffusion. Les deux sont distinctes.

3. Refuser le retrait d’une photo au motif qu’elle est « déjà en ligne ». L’autorisation est révocable, et le retrait doit être effectif, y compris sur les republications et les indexations.

4. Diffuser une image identifiante d’un mineur sur le site de la commune parce que la commune subventionne le club. La CNIL est catégorique sur le point voisin des fichiers : la commune ne peut pas conditionner sa subvention à la transmission des coordonnées des adhérents. Elle doit se contenter de données agrégées.

Le contentieux du droit à l’image des mineurs dans le sport amateur est le plus prévisible de tous : il combine une population vulnérable, une pratique diffuse (chaque éducateur a un téléphone), une absence quasi totale de registre, et des parents de plus en plus informés. C’est le premier chantier à ouvrir dans un audit de club amateur.

Les spectateurs : le plan de foule et le gros plan

Le plan de foule est traité, en pratique, sur le fondement de l’intérêt légitime de l’organisateur, avec une information par affichage à l’entrée, mention sur le billet et sur les conditions générales de vente. Cela tient, à condition que l’information soit réelle et non un renvoi vers une page de mentions introuvable.

Le gros plan individualisé change de nature. La kiss cam, le plan sur un supporter isolé projeté sur l’écran géant, le supporter filmé en train de pleurer : la personne n’est plus un élément du décor, elle est le sujet. L’intérêt légitime devient fragile, l’atteinte à la vie privée devient sérieuse, et le club doit prévoir un canal d’opposition immédiat et un effacement effectif, y compris des rediffusions.

Deux règles simples, opérationnelles, que tout organisateur peut adopter : pas de gros plan sur un mineur identifiable, et pas de mise en scène individualisée sans possibilité de refus visible sur le moment.

La retransmission et la liberté d’information

Le RGPD prévoit un aménagement des obligations lorsque le traitement est réalisé à des fins journalistiques ou d’expression, décliné en droit français. Cet aménagement est réel, et il explique pourquoi un but marqué est diffusé sans que le buteur soit invité à s’y opposer.

Mais il faut voir où passe la ligne. L’aménagement couvre le traitement de l’information sportive par un média. Il ne couvre pas :

le clip promotionnel d’un sponsor construit à partir des images du match ;
la base de données commerciale de statistiques revendue à des opérateurs de paris ;
le ciblage publicitaire du club fondé sur la fréquentation du stade ;
la vidéosurveillance de l’enceinte.

Invoquer la liberté d’information pour couvrir la chaîne de valeur des données sportives est un raccourci qui ne résistera pas à un contrôle.

Récapitulatif : ce que l’on peut faire et ne pas faire

Situation	On peut	On ne peut pas
Finale de Coupe du monde, joueurs professionnels	Filmer et diffuser le match sur le fondement du contrat et des accords collectifs, avec une information complète des joueurs sur toutes les finalités	Réutiliser les images et les données de performance pour des finalités nouvelles (revente, entraînement d’un modèle d’IA, publicité ciblée) sans nouvelle base légale et sans information
Match de Ligue 1, tribunes pleines	Filmer les plans de foule sous intérêt légitime, avec affichage et mention sur le billet	Individualiser un spectateur sur écran géant sans possibilité de refus, ou filmer un mineur en gros plan
Match de district, seniors	Filmer pour l’analyse interne de performance, avec information et opposition simple	Publier les images sur la page Facebook du club sans autorisation préalable et spécifique
Match de U13	Filmer pour un usage strictement interne au club, si les parents ont été informés	Diffuser publiquement une image identifiante sans autorisation parentale écrite et révocable
Tournoi organisé par la commune	Réaliser une couverture de l’événement, avec information et droit d’opposition	Exiger du club la liste nominative des adhérents comme condition de la subvention

Le stade comme dispositif de surveillance

Ici, on quitte le spectacle pour entrer dans la sécurité. Le régime change entièrement, et c’est le domaine où les organisateurs prennent le plus de risques, souvent en croyant bien faire.

Vidéoprotection : un traitement à part entière

Régime propre, distinct du RGPD sur plusieurs points, relevant du code de la sécurité intérieure pour les parties filmant la voie publique.
Autorisation préfectorale nécessaire, avec une finalité précise et une durée de conservation encadrée, un mois au maximum en principe.
Information obligatoire par panneaux visibles.
Registre distinct, habilitations tracées, journalisation des accès aux images.
Une AIPD est requise dans la plupart des configurations (surveillance à grande échelle d’une zone accessible au public).

Billetterie nominative et fichiers de supporters

La lutte contre le hooliganisme a introduit la billetterie nominative pour les rencontres présentant un risque. Le billet est associé à un nom et à un prénom, et l’organisateur doit pouvoir communiquer la liste des spectateurs aux autorités sur réquisition.

C’est un traitement de sécurité, pas un fichier marketing. Le point de vigilance est le cloisonnement : la donnée de billetterie collectée au titre d’une obligation de sécurité ne peut pas être versée dans le CRM du club pour de la prospection sans base légale distincte et sans information dédiée.

Les interdictions de stade

Le code du sport permet aux organisateurs de constituer des traitements de gestion des interdictions de stade, et la CNIL a adopté un cadre de référence pour ces traitements. L’inscription d’une personne permet à la billetterie de refuser automatiquement un abonnement ou un billet nominatif, et aux agents de sécurité de refuser l’accès.

L’article R. 332-15 du code du sport autorise le traitement des photographies associées aux cartes d’abonnement pour la gestion de ces interdictions. Retenez bien la formulation : il autorise la photographie. Pas le gabarit biométrique.

La reconnaissance faciale : la ligne rouge

LE PRÉCÉDENT À CONNAÎTRE

La présidente de la CNIL a adressé un avertissement à un club sportif qui projetait d’utiliser la reconnaissance faciale pour identifier automatiquement les personnes faisant l’objet d’une interdiction commerciale de stade.

Le raisonnement est transposable partout : le fait qu’un texte autorise le traitement d’une photographie n’autorise pas, par extension, la construction d’un gabarit biométrique à partir de cette photographie. Les données biométriques aux fins d’identifier une personne de manière unique relèvent de l’article 9 du RGPD. Il faut une exception explicite. Elle n’existe pas ici.

Ajoutez que le règlement européen sur l’intelligence artificielle interdit, depuis février 2025 et sous réserve d’exceptions limitativement énumérées, l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives.

Conclusion opérationnelle : un club ou un organisateur qui vous propose un dispositif de reconnaissance faciale à l’entrée du stade vous propose un projet non conforme. Le sujet n’est pas de le sécuriser, il est de le refuser.

La vidéo augmentée : un cadre expérimental, instable

La loi relative aux Jeux olympiques et paralympiques de 2024 a ouvert une expérimentation de traitements algorithmiques sur les images de vidéoprotection, pour la détection d’événements prédéterminés (mouvement de foule, objet abandonné, densité anormale, franchissement de zone). Le cadre est strict : pas de reconnaissance faciale, pas de rapprochement biométrique, autorisation préfectorale, AIPD, information du public.

Ce cadre reste instable. Une tentative de prolongation de l’expérimentation a été censurée par le Conseil constitutionnel comme cavalier législatif, sans examen au fond. Par ailleurs, la CNIL a mis en demeure le ministère de l’Intérieur pour des usages non conformes d’un logiciel de vidéo augmentée, en relevant notamment l’absence d’analyse d’impact et la présence de fonctions biométriques non désactivées.

CE QU’UN DPO DOIT RETENIR

Un club ne peut pas déployer de sa propre initiative un dispositif de détection algorithmique sur les images de son stade. L’expérimentation encadrée ne bénéficie pas aux organisateurs privés à leur guise, et son périmètre est étroit.

Le calendrier d’application du règlement européen sur l’IA a fait l’objet de discussions de report au niveau européen. Vérifiez systématiquement l’échéance applicable à la date de votre projet plutôt que de vous fier à une date apprise il y a six mois.

La règle prudentielle : toute fonction de « détection de comportement » par IA sur des images de spectateurs doit être traitée comme un traitement à haut risque, et faire l’objet d’une AIPD avant tout pilote, y compris un pilote gratuit proposé par un fournisseur.

Coupe du monde 2026 : le cas d’école de l’extraterritorialité

La Coupe du monde 2026, organisée aux États-Unis, au Canada et au Mexique, s’appuie sur un identifiant numérique du supporter (FIFA Fan ID) associé aux billets, avec un contrôle d’accès biométrique annoncé sur plusieurs sites, et une numérisation complète de l’accès aux enceintes dans certains pays hôtes.

Trois questions se posent à un DPO européen.

Le RGPD s’applique-t-il ? L’article 3 du RGPD vise l’offre de biens ou de services à des personnes se trouvant dans l’Union. Un supporter résidant en France qui s’enregistre depuis la France, achète un billet depuis la France et transmet des données biométriques dans ce cadre a de bons arguments pour soutenir que le traitement entre dans le champ du règlement, indépendamment du lieu du match.

Que fait un club ou un tour-opérateur européen qui organise un déplacement ? Il devient, pour sa part, responsable du traitement des données qu’il collecte auprès de ses supporters et qu’il transmet à l’organisateur. Il doit donc informer, identifier une base légale, encadrer le transfert hors Union et documenter le risque biométrique.

Que se passera-t-il en Europe ? La question n’est pas théorique : les compétitions majeures organisées en Europe appliqueront le RGPD sans aménagement. Le modèle du Fan ID biométrique, s’il est importé tel quel, se heurtera frontalement à l’article 9 et à l’avertissement déjà adressé par la CNIL à un club français.

Les statistiques : le sujet le plus sous-estimé

C’est le cœur du dossier, et c’est l’angle mort de presque tous les registres de traitement que l’on rencontre dans le football. Un joueur professionnel génère plusieurs milliers de points de données. Certaines estimations, avancées dans le cadre du Project Red Card, évoquent plus de sept mille statistiques distinctes par joueur. Aucune de ces données n’est anonyme.

Trois familles, trois régimes

Famille	Exemples	Qualification	Régime
Données d’événement	Buts, passes décisives, tirs cadrés, duels gagnés, cartons, minutes jouées, xG	Donnée personnelle dès qu’elle est rattachée à un joueur nommé	Article 6 : base légale ordinaire (contrat, intérêt légitime, mission d’intérêt public)
Données de tracking	Distance parcourue, vitesse de pointe, accélérations, longueur de foulée, contact au sol, positionnement GPS	Donnée personnelle. Frontière poreuse avec la santé : la CNIL cite explicitement la distance parcourue, la vitesse maximale, le contact au sol et la longueur de foulée parmi les mesures présentant « une certaine sensibilité »	Article 6, et article 9 dès que la donnée renseigne sur l’état physique
Données physiologiques	Fréquence cardiaque, poids, taille, dosage d’acide lactique, tests sanguins, suivi de blessure, répartition des fibres musculaires, cycle menstruel	Donnée de santé	Article 9 : traitement interdit sauf exception

Le paradoxe des bases légales

Voici le point que la plupart des praticiens ignorent, et qui inverse l’intuition. La CNIL retient deux solutions opposées selon le niveau de pratique.

	Sport professionnel et de haut niveau	Sport amateur (hors contrat)
Base légale pour les données de santé issues des capteurs	Intérêt public important (article 9.2.g du RGPD), adossé aux missions confiées par le code du sport aux fédérations, aux CREPS, aux structures de haut niveau, via le contrat de délégation et le contrat de performance	Consentement exprès du sportif (article 9.2.a), qui doit être libre, spécifique, univoque et éclairé
Le consentement est-il valable ?	NON. La CNIL considère qu’il « n’est pas adapté » : il n’est pas libre, car il peut conditionner la participation à la sélection opérée par l’entraîneur	OUI, mais il est invalide si le refus de porter le capteur a pour conséquence d’interdire la pratique au sein du club ou la participation aux compétitions
Position de la CNIL sur le port du capteur	Selon les recommandations professionnelles de l’écosystème, le port d’un capteur en entraînement et en compétition officielle repose sur « l’assentiment » du sportif, ce qui n’est pas un consentement au sens du RGPD	Le sportif doit pouvoir refuser sans conséquence sur sa pratique
Formalités	Pas de formalité préalable auprès de la CNIL dans la plupart des cas, sauf si le traitement bascule dans le champ de la santé (par exemple un recensement des blessures liées à une discipline). AIPD requise si les conditions sont réunies, ce qui est presque toujours le cas	Pas de formalité. AIPD si les conditions sont réunies
Ce que la CNIL appelle de ses vœux	L’adoption d’un texte encadrant spécifiquement les traitements liés à la performance sportive, pour apporter les garanties supplémentaires exigées par l’article 9.2.g	Sans objet

LA ZONE GRISE, ET COMMENT LA TRAITER

Entre les deux se trouve la masse réelle des clubs : National, National 2, centres de formation, sections féminines semi-professionnelles, pôles espoirs. Ces structures ne relèvent ni pleinement du haut niveau au sens du code du sport, ni du pur amateurisme.

La méthode : ne pas choisir la base légale qui arrange, mais documenter l’analyse. La CNIL le formule explicitement à propos de la qualification des acteurs, et le principe vaut pour la base légale : « cela ne signifie pas que chacun peut choisir la qualification qui l’arrange. Cette qualification doit refléter la réalité. »

Concrètement : le joueur est-il sous contrat ? Le refus du capteur a-t-il un effet sur sa sélection, sa rémunération, son temps de jeu ? Si oui, le consentement est exclu, et il faut chercher une autre base. Si non, le consentement redevient possible, et il doit être réellement révocable.

La minimisation, illustrée

La CNIL a produit trois exemples qui constituent une grille de proportionnalité directement utilisable en audit. Ils méritent d’être cités tels quels.

Ce qui est proportionné : le dosage d’acide lactique, « adéquat et pertinent » dans un traitement d’optimisation de la performance, parce qu’il permet d’adapter l’hydratation, la nutrition et la charge d’entraînement.
Ce qui est excessif : « la mesure permanente de la fréquence cardiaque du sportif via une montre connectée en dehors des périodes d’entraînement ou des compétitions ». Autrement dit, le capteur s’arrête à la sortie du terrain.
Où passe la ligne sur les données intimes : il peut être nécessaire de demander à une sportive la date de ses menstruations pour adapter la charge et limiter le risque de blessure, mais « la collecte de données complémentaires telles que la mise sous contraception, le type de contraception ou encore la marque du contraceptif est à exclure ».
Le détournement de finalité, nommé : « les données collectées aux fins d’amélioration et/ou d’optimisation de la performance sportive ne peuvent être réutilisées à des fins de lutte contre le dopage ».

Ces quatre exemples valent une demi-journée de formation. Ils traduisent un principe abstrait en tests concrets, opposables à un directeur sportif ou à un fournisseur de solution.

Qui est responsable de quoi ?

La CNIL a publié un schéma de qualification des acteurs de la performance sportive, distinguant responsable de traitement, responsable conjoint et sous-traitant, et invitant à qualifier « au niveau de l’utilisateur d’un outil de mesure de la performance », au cas par cas.

Le test décisif, en pratique, tient en une question posée au fournisseur du capteur ou de la plateforme : réutilisez-vous les données des joueurs pour vos propres finalités, notamment pour entraîner ou améliorer votre modèle, pour produire des benchmarks, ou pour alimenter un produit vendu à des tiers ?

Si la réponse est non : le fournisseur est sous-traitant. Un contrat conforme à l’article 28 suffit.
Si la réponse est oui : il est responsable de traitement pour ces finalités. Il lui faut sa propre base légale, sa propre information des joueurs au titre de l’article 14, et le club doit le mentionner comme destinataire. Un contrat de sous-traitance ne suffit plus, et le club qui se contente d’un article 28 a mal qualifié la chaîne.

Dans neuf cas sur dix, la réponse est oui, et elle n’est pas documentée.

La chaîne de revente : le véritable angle mort

La chaîne réelle ressemble à ceci :

Club et compétition → collecteur officiel (Football DataCo, Genius Sports, Sportradar, Stats Perform) → opérateurs de paris, médias, clubs acheteurs, agents, éditeurs de jeux vidéo, plateformes de scouting.

Chaque flèche est un transfert de données personnelles. Chaque flèche appelle une base légale, une information et, le cas échéant, un accord de responsabilité conjointe. Presque aucune n’est formalisée du point de vue de la protection des données.

Deux observations la rendent difficile à nier :

les collecteurs eux-mêmes publient des politiques de confidentialité dédiées aux joueurs. Genius Sports diffuse une « Sports Player Privacy Notice ». Publier une telle notice, c’est reconnaître que les joueurs sont des personnes concernées et que l’on est responsable de traitement à leur égard ;
les contentieux en cours entre Sportradar, Genius Sports, Football DataCo et d’autres acteurs portent sur la concurrence et sur l’exclusivité de la donnée officielle. Ils ne portent pas sur le RGPD, mais ils exposent la mécanique économique : la donnée officielle vaut cher précisément parce qu’elle est individualisée, donc personnelle.

Project Red Card et la Charte FIFPRO

Le Project Red Card, porté au Royaume-Uni par l’ancien entraîneur Russell Slade, réunit plus de quatre cents joueurs professionnels. La thèse est simple : les données de performance sont des données personnelles ; elles sont collectées, exploitées et revendues par des sociétés de données et des opérateurs de paris sans base légale valable, sans information suffisante et sans rémunération. Les joueurs réclament la reconnaissance de leurs droits et, pour certains, une indemnisation portant sur les années passées.

Aucune décision de principe n’est intervenue à ce jour. Mais l’argument est solide, et il a déjà produit un effet normatif : la FIFPRO a publié une Charte des droits du joueur sur ses données, qui énonce sept droits (être informé, accéder, révoquer, limiter le traitement, obtenir la portabilité, rectifier, réclamer) et qui couvre expressément les données de performance, les données « on-the-ball », les données de tracking issues des objets connectés et les données de santé et biométriques.

L’AVENANT CONTRACTUEL N’EST PAS UNE BASE LÉGALE

La pratique dominante consiste à faire signer au joueur un avenant autorisant son club et sa ligue à exploiter ses données. Cet avenant est utile : il documente la relation et peut contribuer à établir la nécessité contractuelle du traitement.

Mais il ne couvre pas la revente à des tiers pour des finalités nouvelles, il ne dispense pas le tiers destinataire de sa propre information au titre de l’article 14, et il ne survit pas à un changement de finalité. Un avenant signé en 2019 pour « l’analyse de la performance » ne couvre pas l’entraînement d’un modèle d’IA en 2026.

L’anonymisation : la seule sortie, et pourquoi elle échoue

L’anonymisation véritable fait sortir du champ du RGPD. C’est la seule porte de sortie. Elle suppose que trois risques soient écartés : l’individualisation, la corrélation et l’inférence.

Dans le football, elle échoue presque toujours, pour une raison arithmétique : il y a vingt-deux joueurs sur le terrain. La minute de l’action, la position sur le terrain, le poste et le contexte du match suffisent à réidentifier. Une « statistique anonymisée » de milieu défensif ayant parcouru 11,4 kilomètres lors d’une rencontre datée n’est pas anonyme.

Ce qui est réellement possible : l’agrégation au niveau de l’équipe ou de la compétition, sans possibilité de redescendre à l’individu. Tout le reste est de la pseudonymisation, et la pseudonymisation ne fait pas sortir du RGPD. Le rappeler à un fournisseur qui vous vend des « données anonymisées » est souvent le moment le plus utile d’un audit.

Les paris : deux populations, ne pas les confondre

Le pari sportif met en jeu deux catégories de personnes concernées qu’il faut absolument séparer dans l’analyse : le parieur, et le joueur de football dont les statistiques nourrissent les cotes.

Le parieur : le guide ANJ et CNIL

L’Autorité nationale des jeux a publié, en concertation étroite avec la CNIL, un guide relatif aux traitements de données personnelles pour le secteur des jeux d’argent et de hasard. Il n’a pas de portée prescriptive, mais il constitue désormais la référence de place. Il couvre trois blocs.

a) Gestion des comptes joueurs et prospection commerciale

Base légale à identifier finalité par finalité : ouverture et gestion du compte, traitement des réclamations, programmes de fidélité, statistiques, gestion des contentieux.
Durées de conservation : certaines données doivent être conservées six ans à compter de la clôture du compte joueur, en application de la réglementation sectorielle. Les autres durées suivent la doctrine de la CNIL en matière de gestion des activités commerciales.
La prospection commerciale reste soumise au régime de droit commun, avec information et opposition simple et gratuite.

b) Prévention du jeu excessif : le point critique

LE SCORE DE RISQUE EST UNE DONNÉE DE SANTÉ

Le guide précise que l’identification d’un joueur présentant un risque de jeu excessif ou pathologique constitue un traitement de données de santé au sens du RGPD.

Conséquences immédiates : article 9, garanties renforcées en matière de sécurité, analyse d’impact obligatoire, cloisonnement strict des accès, interdiction de réutiliser le score pour une autre finalité.

C’est le point sur lequel un opérateur est le plus exposé. Un score de vulnérabilité réutilisé pour cibler des offres promotionnelles cumulerait un détournement de finalité et un traitement illicite de données de santé.

Le guide donne deux exemples de minimisation qui méritent d’être repris tels quels dans une procédure interne :

toutes les données ne doivent pas être collectées systématiquement. Les données relatives à l’attitude du joueur ne peuvent être collectées que si cette attitude est atypique ;
les échanges avec les proches ne doivent pas être retranscrits dans le dossier du joueur. L’opérateur consigne l’existence de l’alerte et, si nécessaire, sa nature générique : « difficultés financières », « conflits familiaux », « isolement », « vulnérabilité particulière ».

c) Lutte contre le blanchiment et le financement du terrorisme

Base légale : obligation légale. Vigilance à l’égard de la clientèle, détection des opérations atypiques, déclarations de soupçon, gel des avoirs.
Pas de collecte systématique : les mesures de vigilance renforcée doivent être proportionnées au risque évalué pour chaque joueur.
Garanties : accès limité aux personnes habilitées, interdiction de réutilisation à d’autres fins sauf exception prévue par la loi, durées encadrées, AIPD obligatoire.

Article 22 : le scoring peut être automatisé, pas la décision

C’est la clarification la plus utile du guide. Les outils algorithmiques de détection des situations à risque ne relèvent pas de l’article 22 lorsque :

le joueur reçoit un message de prévention ne comportant pas de décision produisant des effets légaux ou significatifs ;
ou lorsqu’une vérification humaine intervient avant toute décision produisant de tels effets.

Et le guide ajoute une règle qui vaut engagement : toutes les décisions entraînant une restriction unilatérale de la possibilité de jouer doivent faire l’objet d’une supervision humaine.

Pour un DPO, cela se traduit en une exigence de conception : le modèle peut classer, il ne peut pas décider. Le point de contrôle est la traçabilité de l’intervention humaine, et elle doit être réelle, pas une case cochée par un opérateur qui valide trois cents alertes par jour.

Le footballeur dans l’écosystème des paris

C’est la jonction entre le chapitre 5 et le chapitre 6, et c’est le maillon le plus faible de la chaîne.

Les cotes reposent sur des données personnelles. Les paris sur événements individuels (buteur, nombre de tirs cadrés, cartons, corners) sont directement construits à partir des statistiques nominatives des joueurs. Ces joueurs ne sont, dans la très grande majorité des cas, jamais informés au titre de l’article 14 par les opérateurs destinataires.
Les dispositifs d’intégrité traitent des données sensibles. La détection de manipulation de compétitions conduit à traiter des soupçons portant sur des personnes. Les données relatives aux infractions et aux condamnations relèvent de l’article 10 du RGPD et de l’article 46 de la loi Informatique et Libertés. Un club ou une ligue ne peut pas constituer librement un fichier de soupçons. C’est un point sur lequel la CNIL est constante, et qu’elle a rappelé dans le champ voisin du contrôle d’honorabilité : les organismes de droit privé ne peuvent pas traiter des données relatives aux infractions, sauf exception, et cette interdiction « ne peut pas être levée en demandant le consentement de la personne concernée ».
L’interdiction de parier pesant sur les acteurs de la compétition est elle-même un traitement : elle suppose de croiser des listes de joueurs, d’encadrants et d’arbitres avec des bases de comptes de parieurs. Finalité, base légale, durée, destinataires, information : rien de tout cela ne va de soi, et tout doit être documenté.

Ce qu’un opérateur ne peut pas faire

Prospecter un joueur auto-exclu ou faisant l’objet d’une interdiction de jeu.
Utiliser le score de risque de jeu excessif à des fins commerciales, de fidélisation ou de ciblage.
Retranscrire dans le dossier d’un joueur le contenu des échanges avec ses proches.
Collecter systématiquement des données de vigilance renforcée sans évaluation du risque individuel.
Conserver indéfiniment l’historique de mises au motif qu’il sert « aux statistiques ». Une finalité statistique n’est pas une durée de conservation.
Prendre une décision restrictive entièrement automatisée sans supervision humaine effective.

La gestion des droits : le mode d’emploi

C’est le terrain sur lequel tout se jouera. Non pas parce qu’un régulateur ouvrira spontanément une procédure contre une ligue, mais parce qu’un joueur, un syndicat de joueurs ou un supporter exercera un droit, et que la chaîne sera incapable de répondre.

Pourquoi le droit d’accès est l’arme décisive

Une demande d’accès oblige le responsable de traitement à répondre à quatre questions qu’il n’a jamais formalisées : quelles données je détiens, pourquoi, pendant combien de temps, et à qui je les transmets. L’article 15.1.c impose de communiquer les destinataires. Un club qui ne sait pas dire à quels tiers les données de performance de ses joueurs ont été transmises est en infraction dès la première demande.

C’est exactement la stratégie du Project Red Card. Et c’est reproductible en France : une demande d’accès collective portée par un syndicat de joueurs mandaté est parfaitement recevable.

Droit par droit

Droit	Applicable ?	Conditions et pièges
Information (art. 13 et 14)	Toujours	L’article 14 vise les données non collectées auprès de la personne. C’est là que la chaîne casse : le collecteur de statistiques et l’opérateur de paris doivent informer les joueurs, et ne le font quasiment jamais. Le délai est d’un mois maximum à compter de l’obtention.
Accès (art. 15)	Toujours	Copie de toutes les données, y compris les données dérivées et les scores. L’algorithme lui-même n’a pas à être livré, mais en cas de décision automatisée l’article 15.1.h impose une information sur la logique sous-jacente. Le secret des affaires limite, il n’exonère pas.
Rectification (art. 16)	Toujours	Sous-estimé. Une statistique erronée (un but mal attribué, une passe décisive comptée à tort, une distance parcourue faussée par un capteur défaillant) est une donnée inexacte. Le droit de rectification s’applique, y compris auprès du collecteur tiers.
Effacement (art. 17)	Souvent limité	Pas d’effacement si le traitement reste nécessaire à l’exécution du contrat, au respect d’une obligation légale ou à la constatation d’un droit. Mais l’effacement est dû pour les usages de communication et de marketing, et pour les images diffusées sans base valable.
Opposition (art. 21)	Selon la base légale	Applicable si la base est l’intérêt légitime ou la mission d’intérêt public. Inapplicable si la base est le contrat ou l’obligation légale. D’où l’importance décisive de la base retenue : elle détermine le pouvoir réel du joueur.
Limitation (art. 18)	Oui	Levier puissant pendant la contestation de l’exactitude d’une donnée : le traitement est gelé le temps de la vérification.
Portabilité (art. 20)	Si consentement ou contrat	Concerne les traitements automatisés. C’est la traduction technique de l’idée de « sac à dos de données » du joueur, portée par la FIFPRO : le joueur emporte son historique de performance quand il change de club.
Retrait du consentement	Si la base est le consentement	Révocable à tout moment, sans effet rétroactif, et aussi facilement que donné. Raison supplémentaire pour laquelle un club professionnel n’a pas intérêt à fonder ses traitements sur le consentement.
Intervention humaine (art. 22)	Si décision automatisée	Vise en premier lieu les opérateurs de paris (restriction de compte, blocage) mais aussi, potentiellement, les outils algorithmiques de sélection ou de détection de talents.

Le circuit à mettre en place

Un point de contact unique et publié. Adresse dédiée, mentionnée dans l’information des joueurs, des salariés, des spectateurs et sur le site du club. Pas une adresse de contact générale.

Une vérification d’identité proportionnée. Pas de copie de pièce d’identité par principe : elle ne se justifie qu’en cas de doute raisonnable.

Un délai maîtrisé. Un mois, prorogeable de deux mois en cas de complexité, avec information de la personne dans le premier mois.

Une cartographie des destinataires. Sans elle, impossible de répondre à l’article 15.1.c. C’est le préalable technique de toute conformité crédible.

Un registre des demandes. Date, nature, réponse, délai, pièces. C’est la preuve, et c’est ce que demandera un contrôleur.

Une procédure de relais vers les tiers. Quand un joueur demande la rectification d’une statistique, le club doit savoir vers quel collecteur transmettre, et l’article 19 impose de notifier la rectification à chaque destinataire.

Le scénario à anticiper

LE SCÉNARIO LE PLUS PROBABLE DES PROCHAINES ANNÉES

Un syndicat de joueurs adresse, au nom de trois cents joueurs mandatés, une demande d’accès simultanée à un club, à une ligue, à deux collecteurs de données et à trois opérateurs de paris.

Chacun a un mois pour répondre. Chacun doit lister les données détenues, les finalités, les durées, les destinataires et la source.

Les collecteurs et les opérateurs devront alors expliquer sur quelle base légale ils ont traité pendant des années des données qu’ils n’ont pas collectées auprès des joueurs, sans les en informer.

Il n’existe aujourd’hui, en France, presque aucune organisation du football capable de répondre correctement à ce courrier.

Checklists opérationnelles par acteur

Club amateur, district, école de football

Registre des traitements tenu, même sommaire : adhérents, trombinoscope, images, résultats, prospection, salariés.
Bulletin d’adhésion refondu, avec des cases distinctes par usage de l’image (site du club, réseaux sociaux, presse locale, affichage interne). Pas de case unique globale.
Autorisation parentale écrite, spécifique et révocable pour tout mineur, avec une procédure de retrait qui fonctionne réellement.
Photos du trombinoscope détruites à la fin de la saison, sauf réinscription.
Données des adhérents conservées trois ans au maximum après la fin de l’adhésion, avec une relance de consentement au terme.
Publication des résultats en ligne : information préalable et case d’opposition simple.
Aucun numéro de sécurité sociale collecté auprès des adhérents. Il n’est autorisé que pour les salariés.
Aucune consultation directe du casier judiciaire, ni des éducateurs, ni des parents accompagnateurs. Le contrôle d’honorabilité passe par la fédération.
Refus de transmettre le fichier nominatif des adhérents à la commune qui subventionne. Données agrégées uniquement.
Si des capteurs sont utilisés : consentement exprès, refus sans conséquence sur la pratique, et suppression du dispositif si cette condition ne peut pas être tenue.

Club professionnel et ligue

Registre séparant chaque finalité de captation : diffusion, analyse de performance, arbitrage, sécurité, communication.
Base légale documentée pour les données de santé issues des capteurs. Le consentement est à exclure : il faut construire le raisonnement sur l’intérêt public important et le rattacher au code du sport.
AIPD réalisée sur le dispositif de mesure de la performance physique. Les critères sont réunis : données de santé, personnes en situation de dépendance, profilage, technologie innovante.
Habilitations cloisonnées : le staff administratif n’a pas à accéder aux données de santé des joueurs.
Capteurs désactivés en dehors des entraînements et des compétitions.
Cartographie complète des destinataires des données de performance, collecteur par collecteur.
Qualification de chaque fournisseur : sous-traitant ou responsable de traitement ? Poser la question de la réutilisation des données pour l’entraînement de modèles.
Information des joueurs au titre de l’article 13, listant nommément les collecteurs tiers.
Procédure de réponse aux demandes de droits, testée à blanc au moins une fois.
Aucun projet de reconnaissance faciale à l’entrée du stade, quelle qu’en soit la finalité annoncée.
Aucun dispositif de détection algorithmique sur les images de spectateurs hors cadre autorisé.
Cloisonnement strict entre la billetterie de sécurité et le CRM commercial.

Fédération et organisateur de compétition

Qualification du rôle : responsable de traitement pour les fichiers de licenciés et les traitements de compétition, responsable conjoint avec les clubs sur certains flux.
Base légale des traitements de performance adossée au contrat de délégation et au contrat de performance.
Contrôle d’honorabilité des éducateurs organisé par la fédération, avec les durées prévues, et non délégué aux clubs.
Traitements d’intégrité et de lutte contre la manipulation de compétitions : vérifier la base légale au regard de l’article 10 du RGPD et de l’article 46 de la loi Informatique et Libertés.
Politique d’archivage des données sportives : la mémoire du sport a une valeur patrimoniale, elle doit être organisée, pas subie.
Accord de responsabilité conjointe formalisé avec les collecteurs de données officiels, si la qualification le commande.

Fournisseur de capteurs et collecteur de données

Clarifier votre qualification. Si vous réutilisez les données pour vos produits ou vos modèles, vous êtes responsable de traitement, et vous devez le dire.
Information des joueurs au titre de l’article 14, dans le mois suivant l’obtention des données. C’est une obligation directe, elle ne peut pas être sous-traitée au club.
Point de contact accessible aux joueurs pour l’exercice de leurs droits.
Procédure de rectification d’une statistique contestée.
Ne pas vendre des données présentées comme « anonymisées » si elles sont réidentifiables. Elles le sont presque toujours.
AIPD sur les traitements de tracking physiologique.

Opérateur de paris

Base légale identifiée finalité par finalité, conformément au guide de l’ANJ.
Le score de risque de jeu excessif traité comme une donnée de santé : article 9, AIPD, cloisonnement, interdiction absolue de réutilisation commerciale.
Supervision humaine effective et tracée avant toute restriction unilatérale de la possibilité de jouer.
Minimisation appliquée : collecte des données d’attitude uniquement si atypique, alertes des proches consignées de manière générique.
Durées de conservation calées sur la réglementation sectorielle, dont les six ans après clôture du compte pour les données concernées.
Cloisonnement LCB-FT : accès habilités, pas de réutilisation, AIPD.
Traiter la question de l’article 14 à l’égard des sportifs dont les données alimentent les cotes. C’est le sujet que personne n’a ouvert.

Les dix erreurs les plus fréquentes

#	Erreur	Correction
1	Faire signer un consentement au joueur professionnel	Le consentement n’est pas libre en situation de subordination. Construire sur le contrat et sur l’intérêt public important.
2	Croire que le droit à l’image règle la question RGPD	Deux régimes distincts, cumulatifs. L’un ne dispense pas de l’autre.
3	Traiter la captation comme un traitement unique	Six finalités, six lignes de registre, six durées.
4	Publier des photos de mineurs sans autorisation parentale spécifique	Autorisation écrite, spécifique, révocable, avec un retrait qui fonctionne.
5	Ne pas qualifier le fournisseur de capteurs	Poser la question de la réutilisation. La réponse détermine le contrat.
6	Considérer les statistiques comme des chiffres neutres	Ce sont des données personnelles, et souvent des données de santé.
7	Acheter ou vendre des données dites « anonymisées »	Vingt-deux joueurs sur le terrain : la réidentification est presque toujours possible.
8	Envisager la reconnaissance faciale pour les interdictions de stade	La CNIL a déjà averti un club. Le texte autorise la photo, pas le gabarit biométrique.
9	Réutiliser le score de risque de jeu excessif à des fins commerciales	Détournement de finalité sur des données de santé. Cumul de deux manquements graves.
10	Ne pas savoir répondre à une demande d’accès	La cartographie des destinataires est le préalable de toute conformité crédible.

Conclusion

Le football a construit, en quinze ans, une industrie de la donnée personnelle sans jamais poser la question de sa base légale. Les images, les statistiques, les capteurs et les paris forment une chaîne continue, dont chaque maillon transfère des données se rapportant à des personnes identifiées, et dont presque aucun maillon n’est formalisé au regard du RGPD.

La régulation, elle, s’est mise en place par le côté. La CNIL a documenté la mesure de la performance physique et le sport amateur. L’ANJ et la CNIL ont cadré les traitements des opérateurs de jeux. La FIFPRO a produit une charte des droits du joueur. Les autorités ont posé une limite ferme sur la biométrie en enceinte sportive. Les pièces sont sur la table.

Ce qui manque, c’est le raccordement. Personne, aujourd’hui, ne traite la chaîne « captation, statistique, revente, pari » comme un tout. Et c’est précisément par là que le contentieux arrivera : par une demande d’accès, par un joueur, par un syndicat, ou par un parent qui demande le retrait de la photo de son enfant et découvre qu’elle a été republiée quatorze fois.

Pour un DPO, la valeur ajoutée immédiate tient en trois gestes : cartographier les destinataires, requalifier les fournisseurs, et documenter la base légale des données de santé. Le reste en découle.