RGPD et donnees des joueurs : ce qu'un club de football doit maitriser

Le recrutement est une activite a risque du point de vue des donnees

Une cellule de recrutement collecte, sans toujours s'en rendre compte, des donnees personnelles en quantite : identite, date de naissance, nationalites, coordonnees, situation contractuelle, remuneration, historique de blessures, parfois documents medicaux et informations familiales. Le tout concerne des personnes qui, la plupart du temps, n'ont pas candidate elles-memes : c'est leur agent qui les a proposees.

Cet article n'est pas un avis juridique. C'est une mise en ordre pratique des questions qu'un club doit se poser, et des reflexes qui reduisent le risque sans immobiliser le travail.

Question 1 — Sur quelle base traitez-vous ces donnees ?

Un club qui recoit une proposition de joueur traite des donnees personnelles. La base la plus couramment invoquee est l'interet legitime : evaluer un candidat potentiel releve de l'activite normale d'un employeur sportif.

L'interet legitime n'est pas un blanc-seing. Il suppose trois choses :

• Que la collecte reste proportionnee a la finalite. Demander le dossier medical complet d'un joueur au premier contact ne l'est pas.
• Que la personne concernee soit informee, meme si ce n'est pas elle qui a envoye le dossier.
• Que la conservation soit limitee dans le temps.

Question 2 — Le joueur sait-il que vous avez son dossier ?

C'est le point le plus souvent neglige. Quand un agent propose un joueur, c'est l'agent qui transmet, mais les donnees sont celles du joueur. Deux mesures raisonnables :

• Faire declarer a l'agent son lien avec le joueur et le fait qu'il agit avec son accord. Un champ obligatoire dans le formulaire suffit a poser la responsabilite au bon endroit.
• Afficher une mention d'information sur le formulaire de candidature, expliquant qui traite les donnees, pourquoi, combien de temps et comment exercer ses droits.

Ces deux mesures prennent une heure a mettre en place et changent radicalement la position du club en cas de reclamation.

Question 3 — Combien de temps conservez-vous les fiches ?

Conserver indefiniment toutes les propositions recues est confortable pour le recrutement et difficile a defendre. Une politique lisible tient en trois lignes :

• Propositions refusees : conservation limitee, typiquement deux ans, duree pendant laquelle le profil peut redevenir pertinent.
• Propositions actives ou en vivier : conservation tant que le suivi est actif, avec revue periodique.
• Documents sensibles (medical, piece d'identite) : conservation courte, suppression des que la finalite est atteinte.

L'important est moins la duree exacte que le fait d'avoir une regle ecrite et de s'y tenir.

Question 4 — Qui, dans le club, voit quoi ?

Le principe de minimisation ne concerne pas que la collecte : il concerne aussi l'acces. Un stagiaire de la cellule n'a pas besoin d'acceder aux attentes salariales ni aux documents medicaux.

Concretement, un club devrait pouvoir repondre a trois questions :

1. Qui a acces aux fiches joueurs, et avec quel niveau de detail ?
2. Que se passe-t-il quand un membre de la cellule quitte le club ?
3. Les documents sensibles sont-ils separes des informations courantes ?

Un systeme de roles applique cote serveur repond aux trois. Une organisation qui repose sur la discipline individuelle n'y repond a aucune.

Question 5 — Vos liens de partage sont-ils maitrises ?

Le risque le plus concret dans le recrutement n'est pas le piratage : c'est le partage involontaire. Un lien de candidature diffuse en masse, un document accessible sans authentification, un export de tableur envoye par mail a une mauvaise adresse.

Trois reflexes :

• Les liens de candidature doivent porter un secret long et etre revocables sans casser les candidatures deja recues.
• Aucune donnee interne ne doit etre accessible depuis une page publique. Les notes, motifs de refus et documents restreints ne doivent exister sur aucune route ouverte.
• Les exports doivent etre traces et limites aux personnes qui en ont l'usage.

Le cas particulier des mineurs

Des qu'un club traite des donnees de joueurs mineurs, le niveau d'exigence monte. Trois obligations pratiques :

• Recueillir l'accord des representants legaux, et le tracer.
• Restreindre l'acces aux seules personnes en charge de la detection sur cette categorie.
• Limiter la collecte a ce qui est reellement necessaire. La situation scolaire peut se justifier pour un accompagnement ; le detail de la situation familiale beaucoup moins.

Le droit d'acces, en pratique

Un joueur ou un agent peut demander quelles donnees le club detient sur lui. La reponse doit etre fournie dans un delai raisonnable — un mois en principe.

Un club dont les propositions sont eparpillees entre des fils WhatsApp, des boites mail individuelles et des tableurs locaux est materiellement incapable de repondre. Il ne sait pas ou sont les donnees. C'est, au passage, un argument de conformite en faveur de la centralisation qu'on entend rarement.

Attention toutefois : le droit d'acces porte sur les donnees personnelles, pas necessairement sur l'integralite des appreciations internes. La ligne exacte demande un avis juridique — raison de plus pour separer clairement, dans l'outil, ce qui est donnee factuelle et ce qui est note d'evaluation.

La checklist minimale

1. Une mention d'information sur le formulaire de candidature.
2. Un champ obligatoire ou l'agent declare son lien avec le joueur.
3. Une politique de conservation ecrite, par type de donnee.
4. Des roles et des acces differencies, appliques par le systeme.
5. Des liens de candidature a secret long et revocables.
6. Aucune donnee interne exposee sur une route publique.
7. Un point de contact unique pour les demandes d'exercice de droits.

Aucune de ces sept mesures ne ralentit le recrutement. Prises ensemble, elles font passer un club d'une situation impossible a defendre a une situation tenable.