Ce qu’un club doit savoir
Le RGPD dans un club de football amateur
Un club qui enregistre les prénoms, les dates de naissance et les numéros de licence de deux cents enfants traite des données personnelles de mineurs. Ce n’est pas une formalité de grande entreprise : c’est le club qui est responsable, et c’est le président qui signe.
Qui est responsable de quoi
Le club est responsable de traitement : c’est lui qui décide pourquoi il enregistre ces données et lesquelles. Le logiciel qu’il emploie est son sous-traitant : il agit sur instruction, et pour rien d’autre.
Cette répartition n’est pas négociable, elle découle de l’article 28 du RGPD, et elle a une conséquence directe : le club doit avoir un contrat écrit avec chacun de ses sous-traitants. Sans lui, c’est le club qui est en faute, pas l’éditeur.
Les trois documents qu’un club devrait avoir
- Un contrat de sous-traitance avec chaque outil qui héberge des données d’enfants, y compris les outils gratuits.
- Une notice d’information aux familles : ce qui est enregistré, pourquoi, combien de temps, et à qui s’adresser pour le corriger ou le faire effacer.
- Un registre des traitements, qui tient en une page pour un club amateur, et qu’aucun club n’a.
Ce qui se passe en vrai, dans la plupart des clubs
Les effectifs vivent dans un tableur partagé, les convocations dans un groupe de messagerie, et les photos des licences dans la galerie de trois téléphones. Aucun de ces outils n’a de contrat de sous-traitance avec le club, personne ne sait qui a encore accès au tableur de la saison dernière, et le groupe de messagerie garde tout, indéfiniment.
Ce n’est pas de la négligence : c’est ce qui arrive quand personne n’a le temps, et que les outils par défaut sont ceux du téléphone.
Les données d’un enfant, dans un club de football
Ce qui est légitime d’enregistrer
- Prénom, nom, catégorie, équipe habituelle.
- Date de naissance, pour calculer la catégorie d’âge.
- Numéro de licence, pour retrouver la licence à la fédération.
- Mutation, surclassement, suspension : ce que le règlement impose de vérifier avant d’aligner un joueur.
- Présences, temps de jeu, buts, cartons.
Ce qui demande d’y réfléchir à deux fois
- Le motif d’une absence. « Malade » est une donnée de santé, et une donnée de santé est une donnée sensible au sens du RGPD. Un club n’a aucun besoin de la raison médicale : il a besoin de savoir que l’enfant ne vient pas.
- Une photo d’enfant. Elle demande un consentement séparé, et le consentement d’un parent n’est pas celui de l’autre.
- Une appréciation sportive écrite. Elle se recopie, se capture, et ressort trois ans plus tard.
- Le téléphone ou l’adresse de l’enfant. Le contact d’un mineur est celui de sa famille.
Combien de temps garder
Le RGPD ne donne pas de durée : il demande que le club en fixe une, qu’elle soit justifiée, et qu’elle soit tenue. Voici celles que Kickalys applique, et que son contrat de sous-traitance engage :
| Quoi | Combien de temps |
|---|---|
| L’effectif d’une saison | L’effectif d’une saison est effacé trois ans après la fin de la saison. Ses présences, ses résultats et ses statistiques partent avec lui : le club a trois ans pour regarder en arrière. |
| Un joueur parti | Sort de l’effectif immédiatement ; le lien avec sa famille est coupé |
| Un club qui quitte l’outil | Un club qui part est effacé sous soixante jours, sauvegardes comprises. |
Ce que Kickalys enregistre, et ce qu’il n’enregistre jamais
Nous le publions ici plutôt que dans une page de conditions que personne ne lit, parce que c’est la question que pose un président.
Enregistré sur un enfant
Prénom, nom, catégorie, équipe habituelle. Muté, avec la date et le type de mutation. Surclassement, simple ou double. Date de naissance, numéro de licence et sexe porté sur celle-ci, tous trois facultatifs. La réinscription de la saison. Présence ou absence, avec trois motifs de part et d’autre : école, famille, autre, et aucun ne parle de santé. Indisponible ou non, un oui ou un non sans motif. Temps de jeu, buts, cartons, suspensions. Un mot de l’encadrement attaché à une absence ou à une séance, jamais au joueur lui-même.
Jamais enregistré sur un enfant
Adresse, téléphone, e-mail de l’enfant de moins de quinze ans, photo, appréciation sportive, résultat scolaire, origine, et la santé : aucun motif d’absence n’en parle, et l’indisponibilité est un oui ou un non, jamais un pourquoi.
Sur un parent : son prénom, son nom, une adresse e-mail, le lien avec son enfant, ses déclarations et ses places de covoiturage.
L’adresse IP, elle, est relevée. Chaque connexion note l’adresse IP et le navigateur, gardés douze mois puis effacés. C’est la seule façon de reconnaître une entrée que personne n’a faite, sur un produit qui porte des prénoms d’enfants. Votre club ne les voit jamais : lui sait qu’on est entré chez lui et quand, pas d’où. Cette collecte-là est décidée par l’éditeur, et c’est lui qui en répond.
Qui lit quoi, dans le club
Un éducateur écrit dans ses catégories, et lit ses catégories plus celle juste en dessous, celle d’où monte un surclassé. L’éducateur des U15 lit donc les U13, pas les U17.
Une famille lit tout de son enfant, et presque rien des autres. Elle ne voit l’effectif que là où son enfant joue : sa catégorie, et celle du dessus s’il est surclassé. Le reste du club ne lui est pas montré, pas même les noms. Des coéquipiers de son enfant, elle lit le prénom, le nom, la catégorie, les buts et les cartons : jamais leur temps de jeu, ni leur indisponibilité, ni leur date de naissance, ni leur numéro de licence, ni le sexe porté dessus. Le motif d’une absence n’est lu que par l’encadrement.
Il faut bien qu’elle voie les autres : une convocation nomme seize enfants, et une composition onze. Promettre qu’une famille ne voit que le sien serait démenti au premier samedi. Ce n’est pas un réglage d’affichage : c’est la base qui refuse le reste, et le refus se mesure.
Les sous-traitants, nommés
- Supabase, qui héberge la base à Francfort, en Allemagne.
- Cloudflare, qui distribue les pages sans rien stocker.
- Mailjet, qui achemine les courriels vers les familles.
- Hostinger, qui héberge la boîte où un club peut m’envoyer sa liste de licenciés le jour de l’installation.
- Mistral AI, en France, et uniquement si le club l’a accepté par écrit : je fais alors lire une photo ou un PDF de sa liste de licenciés depuis ma console, qui me fait confirmer cet accord avant chaque envoi. Mistral garde le document trente jours et le soumet à une surveillance automatique des abus, selon ses conditions ; l’effacement immédiat existe, il s’appelle Zero Data Retention, et je ne l’ai pas demandé.
Les données restent stockées dans l’Union européenne, mais deux de ces sociétés sont américaines : Supabase et Cloudflare. Une société américaine peut être tenue de donner accès aux données qu’elle traite, et le RGPD parle alors de transfert. Le cadre est écrit dans leurs contrats : les clauses types de la Commission européenne pour les deux, et, pour Cloudflare, la certification au cadre de protection des données entre l’Union européenne et les États-Unis.
Un effectif tapé à la main, collé depuis un tableur ou déposé en CSV n’est lu par aucun tiers : c’est le navigateur qui ouvre le fichier, et seules les lignes qu’il en tire partent vers la base, à Francfort. Le fichier lui-même reste sur le poste. Si vous préférez m’envoyer votre liste pour que je la pose à votre place, elle passe alors par ma boîte : elle est détruite une fois importée, dans la journée, et ne rejoint aucune sauvegarde.
Le modèle de notice aux familles
Un club qui souscrit reçoit le contrat de sous-traitance signé, un modèle de notice aux familles, à adapter et à diffuser, et une analyse d’impact déjà remplie de ce qui relève de l’application. Les trois sont écrits pour être lus par un bureau d’association, pas par un juriste.
Les familles, elles, trouvent le même détail sur une page écrite pour elles : les données de l’application. C’est celle vers laquelle mènent l’écran de connexion et chaque courriel.
Trois questions qu’un président devrait poser à n’importe quel outil
- Où sont les données, physiquement ? Un pays, pas une région commerciale.
- Qui peut les lire chez vous, et comment le prouvez-vous ? Un engagement écrit vaut mieux qu’une promesse orale, et une trace datée vaut mieux qu’un engagement écrit.
- Que se passe-t-il si nous partons ? Un format relisible sans l’outil, et un délai d’effacement écrit.