Sport en entreprise via une appli : qui voit les données de vos salariés ?

Votre CSE s’apprête à diffuser une application de sport gratuite aux équipes. La promesse tient en cinq mots, Offrez le sport à vos employés, et elle ne coûte rien à la structure. Le principe du sport en entreprise me convient très bien. Ma question porte sur l’autre versant, celui qu’aucune page de présentation ne montre. Qui verra qu’une salariée a réservé un cours de yoga mardi à 18 h 30, à 400 mètres de chez elle ?

Relevé des sources au 9 octobre 2026. La page du dispositif annonce plus de 600 cours hebdomadaires encadrés par des partenaires sportifs, des séances possibles dans vos locaux et un accompagnement « 100% gratuit ». Elle précise aussi que l’offre destinée aux CSE et aux services RH est en construction, avec un appel à des « partenaires pilotes ». C’est le bon moment pour poser vos conditions. Après le lancement, vous ne négocierez plus rien.

Sport en entreprise par application, ce que le salarié laisse à l’inscription

Un compte, c’est au minimum un nom et une adresse e-mail. Regardez laquelle. Si l’inscription exige l’adresse professionnelle, le prestataire sait d’emblée qui travaille chez vous, et le lien entre la personne et l’entreprise est écrit dans sa base. Avec une adresse personnelle et un code d’entreprise partagé, ce lien devient beaucoup plus lâche. Je préfère nettement la seconde formule.

Viennent ensuite les traces d’usage. Chaque réservation produit une ligne avec le cours, le lieu, le jour, l’heure, et la présence ou l’absence. Sur 600 créneaux par semaine, un salarié assidu dessine en deux mois un agenda assez précis de ses soirées. Rien d’illégal là-dedans. Mais ce fichier existe, quelqu’un l’administre, et vous devez savoir qui.

L’erreur classique consiste à croire que « gratuit » signifie « sans contrepartie ». Un service que ni le salarié ni l’entreprise ne paient se finance autrement, par les clubs partenaires, par la publicité ou par la donnée. Aucune de ces réponses n’est honteuse. Je veux seulement la lire noir sur blanc avant de recommander l’outil à 200 personnes.

CSE, employeur, prestataire, qui répond de quoi au regard du RGPD

Trois acteurs, trois rôles, et la confusion commence ici. Dans les entreprises où il dispose de la personnalité civile (article L. 2315-23 du Code du travail), le CSE décide seul des finalités et des moyens de ses activités sociales et culturelles. Au sens de l’article 4(7) du RGPD, cela fait de lui un responsable de traitement à part entière, distinct de l’employeur. Le site spécialisé Données personnelles le formule sèchement : l’entreprise ne « couvre » pas le CSE.

Si c’est le CSE qui choisit l’application et l’annonce aux salariés, c’est donc lui qui doit informer, tenir son registre et vérifier les garanties du prestataire. Pas la DRH. Pas le DPO de l’entreprise, sauf accord explicite entre les deux.

Reste le statut du prestataire, et tout dépend du montage. Le salarié qui télécharge l’application de lui-même et accepte ses conditions devient client direct de l’éditeur, qui porte alors la responsabilité de ses propres traitements. Le CSE qui transmet une liste de salariés pour créer les comptes change de catégorie, puisqu’il confie des données et doit signer un contrat en bonne et due forme. Franchement, je ne transmettrais aucune liste. Un lien d’inscription et un code suffisent.

La liste des participants ne doit pas remonter jusqu’à la direction

C’est le point sur lequel je ne transige pas. Un tableau de bord qui montre « 43 inscrits, 112 séances réservées en septembre » rend service au CSE pour justifier le dispositif. Un tableau qui affiche des noms rend service à quelqu’un d’autre. Savoir qui fait du sport, qui a arrêté en novembre, qui ne s’est jamais inscrit, ce sont des informations qu’un manager n’a aucune raison de détenir.

Demandez une démonstration de l’espace entreprise, s’il existe, et regardez ce qu’il refuse d’afficher. Je me méfie des démonstrations qui ne montrent que ce qui marche. Posez aussi la question du seuil, car un total sur une équipe de quatre personnes cesse d’être anonyme. Un plancher de dix inscrits avant d’afficher le moindre chiffre me paraît le minimum.

Une inscription à un cours de renforcement musculaire n’est pas un dossier médical. Croisée avec un intitulé de séance très ciblé ou avec un arrêt de travail, elle commence pourtant à dire quelque chose de l’état de santé d’une personne. Si votre dispositif s’approche de ce terrain, faites trancher le point par votre délégué à la protection des données ou par un avocat, pas par le commercial du prestataire.

Géolocalisation et cours près de chez soi, ce que la carte révèle d’un salarié

Le dispositif met en avant des activités « locales », et son menu comporte une carte. Pour montrer les cours autour de vous, l’application a besoin de savoir où vous êtes. Jusque-là, c’est logique. La CNIL a publié le 7 juillet 2026 une fiche consacrée à la géolocalisation dans les applications mobiles, et je conseille à tout élu de CSE de la lire avant le premier rendez-vous.

Elle y pose deux verrous. Le consentement est requis dès que la localisation n’est pas strictement nécessaire au fonctionnement du service, et la publicité est l’exemple cité. Surtout, l’autorisation accordée dans la fenêtre d’iOS ou d’Android « ne vaut pas, à elle seule, consentement » pour ces autres usages. Autrement dit, taper sur « Autoriser » n’engage à rien au-delà de l’affichage des cours.

La fiche recommande aussi de proposer la saisie manuelle d’un code postal ou d’une adresse, et rappelle que le système laisse le choix entre position précise et position approximative. Pour trouver un cours de danse à dix minutes, un code postal suffit largement. Si l’application réclame la position précise en permanence, demandez pourquoi. La réponse vous en apprendra davantage que la politique de confidentialité.

Séances dans vos locaux, photos, vidéos et droit à l’image des participants

Le dispositif prévoit que des coachs partenaires viennent animer des séances chez vous (cardio, mobilité, relaxation, renforcement musculaire). Très bien. Douze collègues en tenue de sport dans la salle de réunion du deuxième étage, c’est aussi la photo que tout le monde voudra publier le soir même sur LinkedIn, le coach comme le service communication.

L’article 9 du Code civil protège l’image de chacun, et le lien de subordination n’y change rien. Les cabinets d’avocats qui commentent le sujet sont constants sur deux points. Ni le contrat de travail ni le règlement intérieur ne valent autorisation, et un accord sans durée ni support précisés ne tient pas. Une chronique du Bulletin Joly Travail (n° 4, 2024) va plus loin, en rappelant que le droit sur son image commence dès la captation, pas seulement à la diffusion.

Ma règle est plus simple que n’importe quel formulaire. Pas de photo pendant la séance. Si la communication en veut une, elle la prend à la fin, avec les seuls volontaires, après un accord écrit qui nomme le support et la durée. Et le coach signe la même chose que vous, car son compte Instagram n’est pas une zone franche.

Les questions à poser au prestataire avant de diffuser le dispositif aux équipes

Je ne signerais aucun accord sans six réponses écrites. Quelle adresse e-mail est exigée à l’inscription ? Que voit exactement le CSE, et à partir de combien d’inscrits ? L’application fonctionne-t-elle sans position précise ? Combien de temps l’historique des réservations est-il conservé après la désinscription ? Qui finance le service ? Les coachs sont-ils autorisés à photographier ?

Un dispositif en phase pilote a un avantage que les offres installées ont perdu. Ses règles ne sont pas figées. Un prestataire qui cherche ses premiers partenaires écoute davantage qu’un éditeur qui en compte 500, et vos exigences d’octobre ont une chance de devenir ses réglages par défaut.

Écrivez enfin une note d’information d’une page pour les salariés, signée du CSE, qui dit trois choses. L’inscription est facultative, la direction ne reçoit aucun nom, et chacun supprime son compte quand il veut. Affichez-la le jour du lancement, à côté du QR code. Si vous n’arrivez pas à écrire la deuxième phrase sans mentir, le dispositif n’est pas prêt.

Questions fréquentes