En Francia, vender una entrada no exige el consentimiento del comprador: la base legal es el contrato. Lo que tiene reglas propias, y donde la CNIL multa, es lo que viene después: el email del siguiente concierto, la lista que pide el patrocinador, la cookie de la página de venta y el tiempo que guardas todo eso.
Esta guía recorre lo que la Commission nationale de l'informatique et des libertés (CNIL) espera de un organizador desde el checkout hasta el borrado. Las citas van en francés, con su documento y su fecha. Todas las fuentes se consultaron el 23 de octubre de 2026.
¿Qué normas protegen los datos del comprador de entradas en Francia?
Tres capas. La primera es el Reglamento (UE) 2016/679, el RGPD, igual que en España. La segunda es la loi n.º 78-17 du 6 janvier 1978, la loi Informatique et Libertés, que adapta el RGPD y transpone la directiva ePrivacy. La tercera es el code des postes et des communications électroniques (CPCE), cuyo artículo L34-5 regula la prospección por email y SMS.
El referencial de la CNIL sobre gestión de actividades comerciales lo resume en su apartado 2: los ficheros de clientes y prospectos están sujetos al RGPD, a la ley de 1978 y a «des dispositions spécifiques relatives à la protection de la vie privée dans le secteur des communications électroniques». Ese referencial es la pieza que más usa esta guía. No obliga: el propio texto dice que «n'a pas de caractère contraignant». Pero es la referencia de la propia CNIL, y quien se aparte debe poder demostrar que cumple igual el RGPD.
Las cookies van por otra vía. La página de la CNIL sobre cookies lo deja escrito: «L'article 82 de la loi Informatique et Libertés transpose ces dispositions en droit français».
La CNIL no trata la billetterie como un asunto menor. En sus controles prioritarios de 2024, publicados el 8 de febrero de 2024, anunció que miraría el lado comercial de los Juegos Olímpicos, «notamment à la collecte de données opérée dans le cadre des services de billetterie». Esa misma nota cifra en 340 los controles de 2023 y dice que los temas prioritarios suponen de media el 30 % del total.
Si vienes del mercado español, el marco común está en nuestra guía de datos del comprador de entradas y RGPD. Aquí va lo que cambia en Francia.
¿Necesitas el consentimiento del comprador para venderle la entrada?
No. El cuadro del apartado 4 del referencial asigna la gestión de pedidos, la entrega y la ejecución del servicio a la base legal «Exécution du contrat». Las reclamaciones y el servicio posventa, también. Emitir la entrada, cobrarla y validarla en puerta caben ahí.
El matiz está en qué datos pides. El referencial cita al Comité Europeo de Protección de Datos: que el contrato mencione una recogida concreta «ne suffit pas» para demostrar que es necesaria. La recogida debe ser «indispensable pour fournir le service». Pedir fecha de nacimiento, género o código postal para vender una entrada general no pasa ese filtro si no hay un motivo propio del evento.
El caso de la preventa con tarjeta
En abril de 2026, UFC-Que Choisir publicó que el sorteo de la preventa de los conciertos de Céline Dion en París, gestionado por AXS France, pedía número de tarjeta, fecha de caducidad y código de seguridad solo para inscribirse. Según la revista, la CNIL le respondió que esa recogida «pourrait ne pas satisfaire au principe de minimisation». La empresa alegó que servía para frenar bots. No consta sanción: es la opinión que la CNIL dio a la revista, no una decisión.
El referencial va en la misma línea con el criptograma, el código de tres cifras. Su apartado 7 dice que «doit être supprimé dès que le règlement de la prestation ou de l'achat est finalisé». El número de tarjeta sí puede guardarse para compras posteriores, en las condiciones de la deliberación n.º 2018-303 de 6 de septiembre de 2018.
Un detalle que afecta a cómo generas las entradas: el apartado 5 prohíbe que el código interno que identifica al cliente sea «son numéro de carte bancaire, ni son numéro de sécurité sociale, ni encore celui de son titre d'identité». Es lectura nuestra, no texto de la CNIL: el identificador de un QR o de una entrada nominativa debería ser un código propio, nunca uno de esos tres números.
¿Puedes mandar email de marketing a quien compró una entrada?
Sí, con condiciones. La regla general la da la CNIL en su ficha de prospección, actualizada el 10 de junio de 2026: la publicidad por email o SMS a particulares solo es posible «à condition que les personnes aient donné leur consentement avant d'être démarchées». La casilla no puede venir marcada.
La excepción es la del cliente. No hace falta consentimiento previo «si la prospection concerne les produits ou services similaires fournis par la même entreprise». La CNIL la cierra por abajo: no vale «lorsqu'aucune vente ou prestation de service n'a été effectuée», y crear una cuenta no basta. Quien se registró para la lista de espera y no compró no es cliente.
Para el organizador, la consecuencia es directa. El comprador del festival de 2026 puede recibir el anuncio de la edición de 2027 sin consentimiento previo, siempre que pudiera oponerse al dar su email y pueda darse de baja en cada envío. La ficha exige que cada mensaje identifique al emisor y permita rechazar los siguientes «par un moyen simple». En B2B la regla es más flexible: con profesionales basta el interés legítimo si el mensaje tiene relación con su profesión.
Para la parte operativa de las campañas, tenemos una guía de email marketing para eventos.
Sorteos y concursos: donde más se ha multado
El 13 de octubre de 2025, la CNIL anunció 16 sanciones en procedimiento simplificado, con 108.000 euros en total. Una afectaba a una empresa que captaba prospectos con formularios de concursos. El formulario destacaba la casilla de ofertas comerciales y daba a entender que era la única manera de validar la participación. Resultado: consentimiento no válido y «un manquement à l'article L. 34-5». Si sorteas entradas o pases de backstage, la casilla comercial va aparte, sin destacar y sin condicionar el sorteo.
¿Y si el patrocinador quiere tu lista?
Es una transmisión a un tercero con reglas propias, en el apartado 6 del referencial. Si el patrocinador va a mandar emails, necesitas el consentimiento del comprador en el momento de la recogida, informando de quiénes recibirán los datos. La CNIL recomienda una lista exhaustiva de destinatarios accesible desde el formulario, por ejemplo con un enlace. Admite una sola casilla para la cesión y el uso posterior, «sous réserve de fournir une information préalable complète». Sin ese consentimiento, la prospección del patrocinador es «illicite». La casilla nunca puede venir premarcada.
Para llamadas, el apartado 9 añade otra obligación: excluir a quien figure en Bloctel, la lista de oposición de los artículos L223-1 y siguientes del code de la consommation.
¿Cuánto tiempo puedes guardar los datos del comprador?
Depende de para qué los uses. El referencial no fija un plazo único: lo ata a cada finalidad. Estos son los plazos que propone la CNIL y que se aplican a una venta de entradas:
| Dato | Plazo que propone la CNIL | Desde cuándo | Fuente |
|---|---|---|---|
| Pedido, entrega de la entrada y reclamaciones | Duración de la relación contractual | Compra | Referencial, apartado 4 |
| Contabilidad y facturas | Plazo legal, por ejemplo 10 años, en archivo intermedio | Fin del contrato | Referencial, apartado 4 |
| Copia de un documento de identidad, si hace falta como prueba | 6 años como máximo | Recogida | Referencial, apartado 5 |
| Criptograma de la tarjeta | Se borra al cerrar el pago | Pago | Referencial, apartados 5 y 7 |
| Cliente usado para prospección | 3 años | Fin de la relación comercial o último contacto del cliente | Referencial, apartado 7 |
| Prospecto que no compró | 3 años | Recogida o último contacto del prospecto | Referencial, apartado 7 |
| Cuenta en línea inactiva | 2 años, plazo que la CNIL considera proporcionado | Inicio de la inactividad | Referencial, apartado 7 |
| Elección de cookies, aceptada o rechazada | 6 meses como buena práctica | Elección del usuario | Recomendación 2020-092, punto 39 |
Lo que cuenta como contacto está definido. El referencial pone como ejemplo una petición de documentación o un clic en un enlace del email. En cambio, «la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect».
Un ejemplo con fechas, en cálculo nuestro sobre esa regla. Un asistente compra el 3 de marzo de 2026 para un festival de julio. Si no vuelve a interactuar, su dato de prospección caduca el 3 de marzo de 2029. Si el 1 de septiembre de 2026 hace clic en la newsletter, el plazo vuelve a contar: 1 de septiembre de 2029. Si solo abre los correos, el plazo no se mueve.
Al acabar los tres años, la CNIL permite volver a contactar una vez para preguntar si quiere seguir recibiendo ofertas. Sin una respuesta positiva y explícita, toca borrar o archivar.
¿Qué exige la CNIL a las cookies de tu página de venta?
Consentimiento previo para todo lo que no sea estrictamente necesario, con un rechazo tan fácil como la aceptación. La recomendación de la CNIL, adoptada por la deliberación n.º 2020-092 de 17 de septiembre de 2020, lo formula así en su punto 30: el responsable debe permitir «tant la possibilité d'accepter que de refuser» con «le même degré de simplicité».
El punto 32 da la solución que la CNIL considera válida: dos botones en el primer nivel, «au même niveau et sur le même format», del tipo «tout accepter» y «tout refuser». El punto 31 explica por qué un banner con un clic para aceptar y varios para rechazar es un problema: presenta «le risque de biaiser le choix de l'utilisateur».
Sobre cuánto recordar la elección, el punto 39 es concreto: conservar el consentimiento y el rechazo «pendant une durée de 6 mois constitue une bonne pratique». La recomendación se apoya en las directrices 5/2020 del Comité Europeo de Protección de Datos sobre el consentimiento, adoptadas el 4 de mayo de 2020. Su punto 3 aclara que no es prescriptiva: otras soluciones valen si el consentimiento es conforme.
En una página de venta de entradas, el riesgo habitual son los píxeles de publicidad que se cargan antes del banner. Si el píxel de una red social se dispara al abrir la página del evento, la elección del usuario llega tarde. Según la CNIL, los rastreadores de medición de audiencia pueden quedar exentos «dès lors qu'ils respectent certaines conditions»; los de publicidad personalizada, no.
¿Qué cambia con menores y con datos biométricos?
Dos límites que en un evento aparecen pronto: el público adolescente y el reconocimiento facial en el acceso.
Menores de 15 años
El RGPD deja la edad al Estado. Su artículo 8.1 fija 16 años, y los Estados miembros pueden bajarla, «siempre que esta no sea inferior a 13 años». Francia eligió 15. La recomendación 4 de la CNIL, de 9 de junio de 2021, explica el artículo 45 de la loi Informatique et Libertés: en servicios en línea basados en el consentimiento, los titulares de la patria potestad «doivent donner leur accord conjointement avec celui de leur enfant» si este tiene menos de 15 años.
Eso afecta a lo que depende del consentimiento, como la newsletter o las cookies de publicidad. La compra se basa en el contrato, y la CNIL recuerda que en ese caso el contrato lo puede concluir el menor o, en su lugar, los titulares de la patria potestad. Para un concierto con público de 13 a 15 años, la casilla comercial necesita una vía de consentimiento parental o no debe ofrecerse a ese tramo.
Reconocimiento facial en el acceso
La CNIL ya ha dicho que no a un club. El 18 de febrero de 2021 advirtió a un club deportivo que probaba un sistema de reconocimiento facial para identificar a personas con prohibición comercial de acceso al estadio. El sistema «reposait sur le traitement de données biométriques», datos sensibles cuya recogida y uso, según la CNIL, está prohibida salvo excepciones. Sin una ley o un reglamento que lo autorice, no hay base. La CNIL avisó de que, si el club lo desplegaba, se exponía a medidas correctoras, multa incluida.
Para un control de accesos en Francia, la vía segura es la entrada con QR o la pulsera, que identifican el título de acceso y no la cara. Las reglas de aforo y cacheo en recintos franceses están en nuestra guía de aforo y seguridad en eventos en Francia.
¿Cuánto puede multar la CNIL y qué haces si hay una brecha?
Las multas tienen dos escalas. La del RGPD, en su artículo 83.5, llega a «20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global», «optándose por la de mayor cuantía». El artículo 83.4 fija un escalón inferior de 10 millones o el 2 %. Veinte millones son el 4 % de 500 millones de euros: por debajo de esa facturación, el techo que manda es la cifra fija. El cálculo es nuestro.
La escala pequeña es la que toca a la mayoría de organizadores. El procedimiento de sanción simplificado, del artículo 22-1 de la loi Informatique et Libertés, permite un apercibimiento, una orden de cumplimiento con multa coercitiva o una multa:
| Medida | Empresa con menos de 50 M€ de facturación | Empresa con más de 50 M€ de facturación |
|---|---|---|
| Multa administrativa máxima | 20.000 € | 100.000 € |
| Multa coercitiva por día de retraso | 100 € | 500 € |
Las 16 sanciones simplificadas anunciadas en octubre de 2025 sumaron 108.000 euros: 6.750 euros de media por sanción, en división nuestra. El procedimiento ordinario va más arriba. El 15 de mayo de 2025, la CNIL multó con 900.000 euros a Solocal Marketing Services por enviar emails y SMS a prospectos sin consentimiento válido. No pudo probar ese consentimiento, como exige el artículo 7 del RGPD. Además, la CNIL le impuso una multa coercitiva de 10.000 euros por día de retraso si no corregía en nueve meses.
La brecha: 72 horas
Si alguien accede a tu base de compradores, el artículo 33.1 del RGPD obliga a notificar a la autoridad «a más tardar 72 horas después de que haya tenido constancia de ella». La página de notificación de la CNIL concreta que se hace por su teleservicio. Si se pasa el plazo, hay que explicar «les motifs du retard». Y en caso de riesgo alto, «vous devez également notifier les personnes concernées».
Las solicitudes de acceso o de borrado tienen su propio reloj. El artículo 12.3 del RGPD da un mes desde la recepción, prorrogable otros dos «en caso necesario». La CNIL recomienda, en el apartado 9 del referencial, un email específico o los datos del delegado de protección de datos para canalizarlas.
Y Futura Tickets, ¿qué parte de esto cubre?
Futura Tickets es una plataforma SaaS española de ticketing para organizadores profesionales, y vende en 9 idiomas y en 11 dominios de país, Francia incluida. Con Futura Tickets la base de datos de asistentes es 100 % del organizador: emails y teléfonos se entregan íntegros, cumpliendo el RGPD. Eso tiene una consecuencia legal que conviene tener clara: si los datos de los compradores son tuyos, eres tú el responsable del tratamiento ante la CNIL. Tú decides la casilla comercial, los plazos de borrado y a qué patrocinador cedes la lista. Con cualquier plataforma, pide el contrato de encargado del tratamiento del artículo 28 del RGPD, que según el artículo 28.3 se rige «por un contrato u otro acto jurídico». Comprueba también qué cookies carga la página de venta antes del banner.
Lista de comprobación antes de abrir la venta en Francia
Siete comprobaciones que puedes hacer esta semana.
Revisa el formulario de compra campo por campo. Para cada dato, apunta para qué sirve en la entrega del evento. Lo que no sea indispensable para el contrato sale del formulario o pasa a ser opcional, con su finalidad explicada.
Separa la casilla comercial y déjala sin marcar. Una para tus propias ofertas, otra para cada cesión a terceros. Si sorteas entradas, que participar no dependa de aceptar publicidad.
Usa la excepción de cliente solo con clientes. Quien se apuntó a la lista de espera y no compró necesita consentimiento previo. Cada envío lleva una baja en un clic.
Programa el borrado. Tres años desde el último contacto real para prospección, sin contar las aperturas de email. Criptograma fuera en cuanto se cierra el pago. Dos años para cuentas inactivas, con aviso previo.
Pon «tout refuser» al lado de «tout accepter». Mismo nivel, mismo formato. Ningún píxel de publicidad antes de la elección. Recuerda la elección seis meses.
Decide qué haces con los menores de 15 años. La newsletter y las cookies de publicidad necesitan consentimiento parental conjunto. Si no puedes recogerlo, no se las ofrezcas.
Ten escrito el plan de brecha. Quién detecta, quién decide y quién notifica a la CNIL en 72 horas. Pide a tu plataforma el contrato del artículo 28 y su compromiso de aviso inmediato.
Conclusión
Francia aplica el mismo RGPD que España, pero la CNIL ha puesto plazos y formatos concretos donde el reglamento habla en general: tres años para un prospecto, seis meses para la elección de cookies, dos botones iguales en el banner. Además, persigue la prospección sin consentimiento con sanciones que, en el procedimiento simplificado, rondan de media los 6.750 euros. Para el resto de trámites de una gira o un festival en Francia, empieza por vender entradas en Francia: récépissé, IVA y taxe CNM. Para comparar con el modelo británico, está la guía de datos del comprador en Reino Unido.
Fuentes
- Reglamento (UE) 2016/679, RGPD, artículos 8, 12, 28, 33 y 83 (DOUE L 119, en BOE)
- Référentiel relatif aux traitements de données mis en œuvre aux fins de gestion des activités commerciales (CNIL, PDF)
- La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel, 10 de junio de 2026 (CNIL)
- Délibération n° 2020-092 du 17 septembre 2020, recommandation «cookies et autres traceurs» (CNIL, PDF)
- Cookies et autres traceurs: que dit la loi ?, 29 de septiembre de 2020 (CNIL)
- Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 (Comité Europeo de Protección de Datos)
- Recommandation 4: rechercher le consentement d'un parent pour les mineurs de moins de 15 ans, 9 de junio de 2021 (CNIL)
- Reconnaissance faciale et interdiction commerciale de stade: la CNIL adresse un avertissement à un club sportif, 18 de febrero de 2021 (CNIL)
- Les contrôles de la CNIL en 2024: données des mineurs, Jeux olympiques, droit d'accès et tickets de caisse, 8 de febrero de 2024 (CNIL)
- La procédure de sanction simplifiée (CNIL)
- La CNIL prononce 16 nouvelles sanctions dans le cadre de la procédure simplifiée, 13 de octubre de 2025 (CNIL)
- Courtiers en données: sanction de 900 000 euros à l'encontre de la société Solocal Marketing Services (CNIL)
- Notifier une violation de données personnelles (CNIL)
- Conciertos de Céline Dion y datos personales en la preventa de AXS France, 10 de abril de 2026 (UFC-Que Choisir)