À partir de ce lundi 7 septembre, les Bourguignons-Francs-Comtois sont invités à marcher. Beaucoup. Mais derrière le sympathique compteur de pas du défi « Tous à pied en Bourgogne-Franche-Comté », l’application START’R collecte aussi des informations nettement plus personnelles. Données d’activité, poids, taille, bilan sport-santé… et des participants acceptés dès 13 ans. De quoi poser quelques questions très concrètes sur le RGPD.
📰 Dans cet article
📱 Tous à pied en BFC : trois semaines de marche, un an d’application
Le principe est plutôt simple. Du 7 au 27 septembre, l’Agence régionale de santé, Promotion Santé Bourgogne-Franche-Comté et le Réseau Sport Santé proposent aux habitants, collectivités, entreprises, institutions ou associations de constituer des équipes et de marcher avec l’application START’R. Les équipes peuvent compter jusqu’à dix personnes et le défi est annoncé comme accessible à partir de 13 ans.
Jusque-là, rien de particulièrement inquiétant : un smartphone compte des pas, établit un classement et permet à Gisèle de découvrir qu’elle marche finalement davantage entre son canapé et le frigo que Djäysonne pendant une journée complète de stage.
Sauf que le tutoriel officiel précise également que l’accès à START’R est offert aux participants pendant un an. Une fois paramétrée, l’application peut comptabiliser quotidiennement le nombre de pas, les temps sédentaires, les minutes actives et les calories dépensées. Le challenge, lui, ne dure que trois semaines.
Ce n’est pas nécessairement un problème en soi. Encore faut-il savoir précisément quelles données continuent d’être traitées après le 27 septembre, pour quelles finalités et pendant combien de temps.
🫀 Derrière le podomètre, un véritable profil sport-santé
START’R ne se contente en effet pas de savoir combien de kilomètres vous avez infligés à vos chaussures.
Le tutoriel fourni aux participants les conduit à compléter leur profil avec quatre informations : femme ou homme, date de naissance, taille et poids. Lors de la création du compte, la capture d’écran reproduite par les organisateurs comporte en outre une case par laquelle l’utilisateur accepte « la collecte et le traitement de [ses] données sensibles ».
L’application propose ensuite un « bilan sport santé » à partir des données du profil et de réponses portant notamment sur le cœur, les poumons, les articulations, les muscles et l’équilibre. Ce bilan peut déboucher sur des recommandations personnalisées, voire sur les conseils d’un médecin expert.
La politique de confidentialité de START’R confirme de son côté que peuvent être collectés le poids, la taille, la catégorie socioprofessionnelle et les données d’activité physique — pas, calories et distance — ainsi que des réponses à des questions cardiaques, respiratoires, osseuses ou musculaires. L’application peut également récupérer des données depuis Google Fit, Fitbit, Withings, Garmin ou Apple Santé. Elle précise néanmoins que les questions du bilan sport-santé sont facultatives.
Or la CNIL donne précisément l’exemple du croisement du poids avec le nombre de pas ou les apports caloriques parmi les situations pouvant faire émerger une donnée de santé. Elle rappelle qu’une donnée peut également devenir une donnée de santé par l’usage médical qui en est fait.
Autrement dit : le sujet dépasse assez vite le simple podomètre.
👨👩👧 À 13 ans, « informer les parents » suffit-il ?
C’est probablement le point qui mérite le plus d’explications.
Le tutoriel 2026 indique que l’inscription est possible à partir de 13 ans. À la question de savoir si le challenge peut être proposé à des mineurs, le document précise qu’il est « nécessaire d’informer les parents » des modalités du défi et de l’existence du tchat d’équipe.
Mais l’inscription présentée quelques pages plus tôt comporte parallèlement une acceptation du traitement de données qualifiées de sensibles.
Cela ne suffit pas à conclure que le dispositif est irrégulier : encore faudrait-il connaître la base juridique retenue pour chacun des traitements et le fonctionnement réel de l’inscription d’un mineur.
En revanche, si certains traitements reposent sur le consentement de l’utilisateur, la question devient très concrète pour les 13 et 14 ans. En France, pour un service en ligne reposant sur le consentement, l’accord d’un enfant de moins de 15 ans doit être accompagné de celui d’un titulaire de l’autorité parentale. Une simple information des parents n’est alors pas la même chose qu’un consentement parental.
Comment cet accord est-il recueilli dans START’R ? Le tutoriel public ne le dit pas.
🔐 Une politique de confidentialité qui laisse quelques cases vides
La politique de confidentialité de START’R consultée par L’Ouest Républicain identifie l’IRBMS, détaille plusieurs catégories de données collectées, indique un hébergement chez Scaleway Dedibox et présente différents droits de l’utilisateur. Elle affirme également que les données ne sont ni vendues ni partagées avec des tiers.
En revanche, cette page publique ne précise pas clairement la base légale retenue pour les différents traitements ni leur durée de conservation. Elle ne détaille pas non plus, donnée par donnée, ce qui est obligatoire pour participer au challenge et ce qui relève des fonctionnalités facultatives de START’R.
Ce sont pourtant des éléments qui font partie des informations normalement communiquées aux personnes : finalité du traitement, base légale, caractère obligatoire ou facultatif des informations demandées, destinataires et sous-traitants, ainsi que durée de conservation.
Cela ne signifie pas que ces éléments n’existent pas dans la documentation interne des différents organismes, ni qu’aucune information complémentaire ne soit présentée dans l’application. Simplement, ils ne ressortent pas clairement des documents publics que nous avons pu consulter avant le lancement du défi.
⚖️ Le compteur de pas aurait-il besoin d’un petit bilan RGPD ?
Dernière question : l’analyse d’impact relative à la protection des données, la fameuse AIPD.
Une AIPD doit être réalisée lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les personnes. Parmi les critères à examiner figurent notamment les données sensibles, la surveillance systématique, les données concernant des personnes vulnérables comme les enfants, le traitement à grande échelle ou encore le profilage. La présence de plusieurs de ces critères constitue au minimum un signal sérieux justifiant de se poser la question.
Impossible, avec les seuls documents publics, d’affirmer si une telle analyse était obligatoire ici, et encore moins d’affirmer qu’elle n’aurait pas été réalisée.
La question peut en revanche parfaitement être posée.
L’Ouest Républicain a donc interrogé en parallèle de cette publication Promotion Santé Bourgogne-Franche-Comté, le Réseau Sport Santé, l’IRBMS et l’ARS sur les bases légales retenues, les modalités concernant les mineurs, la conservation des données et l’existence éventuelle d’une analyse d’impact.
Leurs éventuelles précisions seront ajoutées à cet article.
En attendant, chacun reste évidemment libre de marcher. Pour savoir exactement où vont ses pas, son poids, sa date de naissance et son bilan cardio, quelques panneaux indicateurs supplémentaires ne seraient simplement pas superflus.
Retrouvez
Tous à pied en BFC 2026 : le challenge connecté fait aussi marcher les données 🚶
sur nos réseaux
🍷 Le débat se poursuit dans Le Comptoir de L’Ouest Républicain, le groupe de discussion rattaché à la page, et modéré par Gisèle.
🔗 D’autres rebondissements, révélations ou photos floues à propos de ce sujet vous attendent sur nos réseaux :
🔗 Des mots vous semblent obscurs dans cet article ? Vous êtes probablement des gens du Doubs-Du-Bas, ou de la France-Du-Bas. Pas de panique : on vous aime quand-même, mais on vous suggère fortement de jeter un œil à notre glossaire.
