Une fédération sportive gère l'une des bases de données personnelles les plus délicates du monde associatif : des centaines de milliers de licenciés, beaucoup de mineurs, des certificats médicaux, des pièces d'identité pour le contrôle d'honorabilité, et des milliers de dirigeants de clubs bénévoles qui saisissent et consultent ces données dans un même logiciel. Le RGPD s'y applique entièrement, avec quelques règles propres au code du sport.
Ce guide répond à une question pratique : comment une fédération se met en conformité, étape par étape, en partant de ses traitements réels. Qualification des rôles, registre, collecte, conservation, sous-traitants, sécurité, violations, DPO : chaque étape s'appuie sur les fiches que la CNIL a publiées pour le secteur. Il vaut aussi pour les ligues, les comités et, pour l'essentiel, pour toute grande association qui gère une base de membres dans un logiciel tiers.
Le contexte : les fédérations sportives dans le programme de contrôles 2026 de la CNIL
Le sujet n'est pas théorique. Le 3 avril 2026, dans sa publication « Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives », la CNIL a placé les fédérations sportives parmi ses thématiques prioritaires, qui représentent environ 20 % de ses contrôles. Elle vérifiera la pertinence des données collectées, leur durée de conservation et la sécurité mise en place, et contrôlera la bonne application des outils qu'elle a publiés pour le secteur : ce sont donc eux qui servent de grille de lecture. La même publication annonce une action coordonnée européenne sur la transparence et l'exhaustivité de l'information donnée aux personnes, un point qui concerne directement les formulaires de licence.
Côté incidents, plusieurs fédérations ont annoncé un accès non autorisé à leurs données en 2026, dont la Fédération française de handball en août, pour la deuxième fois en huit mois. Nous avons couvert le programme de contrôles de la CNIL et la cyberattaque de la FFHandball dans nos actualités. Ici, on s'intéresse à ce qu'il faut avoir en place, contrôle ou pas.
Étape 1 : qualifier les rôles entre fédération, clubs et prestataires
Avant le registre, il faut savoir qui est responsable de quoi. La fiche de la CNIL « Licences sportives : les principales règles à respecter » (18 juin 2024) distingue deux situations :
- Le sportif demande sa licence lui-même, en ligne, sur un formulaire de la fédération : la fédération est responsable de traitement.
- Le club saisit la demande sur le site fédéral : la fédération est responsable du formulaire de licence, le club est responsable de son propre formulaire d'adhésion, et il est aussi sous-traitant de la fédération pour la partie licence. Un contrat de sous-traitance doit alors être passé, par exemple sous la forme d'un contrat cadre fédéral.
La CNIL insiste sur un point : la qualification doit refléter la réalité, et chacun doit documenter l'analyse qui y conduit. On ne choisit pas le rôle qui arrange. Les ligues et comités régionaux, qui accèdent souvent à la base fédérale, doivent être qualifiés de la même manière, au cas par cas.
Étape 2 : tenir un registre qui reflète les traitements réels
Une fédération ne peut pas se prévaloir de l'exemption de registre prévue pour les structures de moins de 250 salariés : l'article 30, paragraphe 5, l'écarte dès que le traitement n'est pas occasionnel ou porte sur des données de santé ou des données relatives aux infractions. C'est le cas de la gestion des licences. Les traitements à inscrire sont presque toujours les mêmes :
- la délivrance et le renouvellement des licences, avec le volet aptitude médicale ;
- le contrôle d'honorabilité des éducateurs, bénévoles encadrants, arbitres et juges ;
- l'organisation des compétitions et la publication des résultats et classements ;
- la procédure disciplinaire et la notification des sanctions fédérales ;
- l'assurance des licenciés ;
- la billetterie, la boutique, la newsletter et les offres des partenaires ;
- la gestion des salariés, des élus et des bénévoles.
Pour chacun, le registre doit dire la finalité, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité. C'est aussi le document que la CNIL demandera en premier. Notre guide sur la rédaction du registre des traitements détaille la méthode.
Étape 3 : collecter le strict nécessaire, surtout pour les mineurs et la santé
La licence ne justifie pas tout le formulaire
La CNIL observe que les formulaires de licence « s'apparentent davantage à des questionnaires de renseignements individuels génériques » : pointure, droit à l'image, statistiques, offres des partenaires. Pour la licence elle-même, elle liste ce qui est justifié : l'identification du licencié et, s'il est mineur, de ses parents ; l'âge ou l'année de naissance pour la catégorie ; la nature de la pratique ; la vérification de l'aptitude médicale ; l'assurance ; la participation aux manifestations. Les éléments d'identité complets ne sont nécessaires que pour les personnes soumises au contrôle d'honorabilité. Le reste relève d'autres finalités, à séparer, à justifier et à annoncer comme telles (article 5, paragraphe 1, b et c).
Les données de santé
Le certificat médical d'absence de contre-indication est une donnée de santé au sens de l'article 9 du RGPD. Pour un mineur, le code du sport subordonne la licence à l'attestation qu'un questionnaire de santé a été renseigné, conjointement par l'enfant et ses parents, et ne demande un certificat que si une réponse conduit à un examen médical. La conséquence est simple : la fédération a besoin de l'attestation, pas des réponses au questionnaire. Pour aller plus loin sur ce régime, voir notre guide RGPD et santé.
Les mineurs
Pour la licence, ce sont les parents qui remplissent le formulaire, et la question n'est pas celle du consentement mais de la nécessité des données. Le consentement intervient pour les usages annexes. Pour un service en ligne proposé directement à un mineur sur la base du consentement (une application, une newsletter), l'article 45 de la loi Informatique et Libertés fixe le seuil à 15 ans : en dessous, le consentement doit être donné conjointement par le mineur et le titulaire de l'autorité parentale. L'information doit être rédigée pour être comprise par un enfant (article 12 du RGPD).
Les réutilisations
Envoyer une offre de maillot ou de billets à partir des coordonnées collectées pour la licence est une nouvelle finalité. La CNIL recommande de l'anticiper dès la prise de licence, en informant et en recueillant le consentement. Si ce n'a pas été fait, la fédération doit mener une analyse de compatibilité avant toute réutilisation (article 6, paragraphe 4).
Étape 4 : fixer les durées de conservation et purger réellement
La CNIL le reconnaît dans sa fiche sur la conservation des données des sportifs et dirigeants (10 novembre 2023) : « la loi contient peu de dispositions fixant la durée de conservation des données personnelles collectées sur les sportifs ». C'est donc à la fédération de fixer une durée par finalité, de distinguer base active, archivage intermédiaire et suppression, puis d'appliquer la purge. Trois catégories demandent une attention particulière : les certificats médicaux, les pièces d'identité collectées pour le contrôle d'honorabilité et les données des anciens licenciés, que les logiciels gardent souvent saison après saison. Notre guide sur les durées de conservation donne la méthode.
Étape 5 : encadrer les sous-traitants, à commencer par l'éditeur du logiciel de licences
Une fédération travaille avec plus de prestataires qu'elle ne le pense : l'éditeur du logiciel de licences et son hébergeur, la billetterie, l'outil d'emailing, la boutique en ligne, l'assureur pour la partie gestion, et les clubs eux-mêmes dans le schéma décrit plus haut. Chacun doit être lié par un contrat conforme à l'article 28, paragraphe 3 : instructions documentées, mesures de sécurité, sous-traitants ultérieurs, assistance en cas de violation, sort des données en fin de contrat.
Deux clauses manquent souvent : les mesures de sécurité exigées (authentification multifacteur, cloisonnement, journalisation) et le délai dans lequel le prestataire signale une violation. Il faut aussi repérer les outils qui transfèrent des données hors de l'Union européenne, fréquents pour l'emailing et la billetterie. Notre guide sur l'audit des sous-traitants détaille la démarche, et Leto propose un module de gestion des sous-traitants pour envoyer les questionnaires de sécurité et suivre les réponses dans le temps.
Étape 6 : sécuriser la base des licenciés
L'article 32 impose des mesures adaptées au risque. Pour une base de plusieurs centaines de milliers de licenciés, ouverte à des milliers de dirigeants bénévoles, les consignes de la CNIL pour les grandes bases de données (30 avril 2025) sont la référence. Elles partent d'un constat : près de 80 % des violations de grande ampleur constatées en 2024 ont été permises par l'usurpation d'un compte protégé par un simple mot de passe.
- Authentification multifacteur pour les comptes qui accèdent à la base depuis l'extérieur, en priorité ceux qui ont un large périmètre (fédération, ligues, comités).
- Habilitations par profil : un dirigeant de club ne voit que les licenciés de son club, et ce cloisonnement se teste avec un compte réel.
- Revue des comptes à chaque saison, pour désactiver ceux des bénévoles partis.
- Journalisation des accès, conservée entre six mois et un an selon la CNIL, et analysée.
- Plafonds d'extraction par utilisateur, pour qu'un compte volé ne permette pas d'exporter toute la base.
Ces mesures relèvent de la sécurité du traitement au sens du RGPD. Elles ne font pas d'une fédération une entité soumise à NIS 2, et le sujet reste ici celui des données des licenciés.
Étape 7 : préparer la gestion des violations de données
Le jour où un incident survient, il n'est plus temps de chercher qui décide. La procédure doit dire qui qualifie l'incident, qui notifie la CNIL dans les meilleurs délais et, si possible, dans les 72 heures (article 33), et qui décide d'informer les licenciés lorsque le risque est élevé (article 34). Préparez à l'avance un modèle de message lisible par des parents de mineurs, et tenez le registre des violations, y compris pour les incidents non notifiés : l'article 33, paragraphe 5, l'impose. Le contrat avec l'éditeur doit fixer le délai dans lequel il vous prévient, faute de quoi le délai de 72 heures se consomme sans vous. Le détail est dans notre guide sur la violation de données et la façon d'y réagir.
Étape 8 : désigner un DPO et mener les analyses d'impact
Le délégué à la protection des données
L'article 37 du RGPD rend la désignation obligatoire, notamment, lorsque les activités de base d'un organisme consistent en un traitement à grande échelle de données de santé ou de données relatives aux infractions. Une fédération qui délivre des centaines de milliers de licences avec un volet médical et gère le contrôle d'honorabilité doit sérieusement examiner ce critère, et documenter sa conclusion. Les fédérations agréées participent en outre à des missions de service public (article L. 131-9 du code du sport), et les lignes directrices du G29 sur le DPO (WP243) recommandent la désignation dans ce cas. Notre guide sur le rôle et les missions du DPO détaille la fonction.
L'analyse d'impact
Selon les lignes directrices du G29 sur l'AIPD (WP248), un traitement qui remplit deux des neuf critères de risque requiert en principe une analyse d'impact. La base des licences en coche généralement trois : données sensibles, personnes vulnérables (les mineurs) et traitement à grande échelle. La CNIL mentionne d'ailleurs l'AIPD dans sa fiche sur les licences. Notre guide pour réaliser une AIPD en 5 étapes donne la marche à suivre.
Par où commencer : la liste du DPO de fédération
- Documenter la qualification des rôles entre fédération, ligues, clubs et éditeur.
- Mettre le registre à jour, traitement par traitement, avec une durée de conservation pour chacun.
- Comparer le formulaire de licence à la liste de la CNIL et sortir ce qui relève de l'adhésion au club ou du marketing.
- Revoir les mentions d'information des formulaires, dans une langue que comprennent les parents et les enfants.
- Relire les contrats des sous-traitants, l'éditeur du logiciel de licences en premier.
- Obtenir de l'éditeur un calendrier de déploiement de l'authentification multifacteur.
- Lancer la purge des certificats, des pièces d'identité et des anciens licenciés au-delà des durées fixées.
- Écrire la procédure de violation et tenir le registre des violations.
- Trancher la désignation du DPO et l'AIPD sur la base des licences, par écrit.
Pour les plus petites structures qui découvrent ces obligations, le guide RGPD et associations loi 1901 pose les bases. Et si vous voulez voir comment registre, sous-traitants et violations se suivent dans un même outil, vous pouvez demander une démo de Leto.
Questions fréquemment posées
Une fédération sportive doit-elle désigner un DPO ?
Souvent, oui. L'article 37 du RGPD impose un DPO lorsque les activités de base consistent en un traitement à grande échelle de données de santé ou relatives aux infractions, ce qui peut être le cas d'une base de licences avec volet médical et contrôle d'honorabilité. Même si la fédération conclut que ce n'est pas obligatoire, les lignes directrices du G29 recommandent la désignation pour les organismes privés qui exercent une mission de service public. Dans tous les cas, l'analyse doit être écrite.
Club ou fédération : qui est responsable du traitement des licences ?
Cela dépend du circuit. Selon la CNIL, la fédération est responsable de traitement lorsque le sportif remplit lui-même le formulaire fédéral en ligne. Lorsque le club saisit la demande sur le site fédéral, la fédération reste responsable de la partie licence, le club est responsable de son formulaire d'adhésion et il est sous-traitant de la fédération pour la licence, ce qui impose un contrat entre eux.
Une fédération peut-elle conserver les certificats médicaux de ses licenciés ?
Seulement si c'est nécessaire, et pour une durée fixée à l'avance puis appliquée. Le certificat médical est une donnée de santé au sens de l'article 9 du RGPD. Pour les mineurs, le code du sport exige l'attestation qu'un questionnaire de santé a été renseigné, pas les réponses elles-mêmes, et un certificat seulement si une réponse conduit à un examen médical.
Faut-il le consentement des parents pour traiter les données d'un licencié mineur ?
Pas pour délivrer la licence, dont le formulaire est rempli par les parents et dont les données doivent simplement être nécessaires. Le consentement intervient pour les usages annexes, comme une newsletter ou des offres. Pour un service en ligne proposé directement à un mineur de moins de 15 ans sur la base du consentement, l'article 45 de la loi Informatique et Libertés exige un consentement conjoint du mineur et du titulaire de l'autorité parentale.
Que vérifiera la CNIL lors d'un contrôle en 2026 ?
La CNIL a annoncé le 3 avril 2026 qu'elle vérifierait la pertinence des données collectées, leur durée de conservation et la sécurité mise en place, ainsi que l'application de ses outils publiés pour le secteur, dont la fiche sur les licences sportives et celle sur les durées de conservation.
Ce guide s'applique-t-il aux clubs et aux autres associations ?
Pour l'essentiel, oui. Un club est responsable de traitement pour ses adhésions et doit tenir les mêmes principes de minimisation, de conservation et de sécurité. Toute organisation qui gère une base de membres dans un logiciel tiers, comme une mutuelle ou un réseau d'adhérents, retrouvera les étapes 2 à 7 presque à l'identique.
