Vender una entrada a un comprador británico no exige su consentimiento: exige una base legal, y el contrato la da. Lo que tiene reglas propias es el correo que le mandas después, la cookie que carga tu página de venta y la reclamación que te escribe seis meses más tarde. Las tres cosas se reformaron en 2026.
Esta guía recorre lo que el marco británico pide a un organizador desde el checkout: qué normas aplican, qué cambió en 2026, cuándo puedes usar la lista de asistentes, qué cookies se salvan del consentimiento, cuánto se paga por incumplir y qué pasa si tu plataforma está en España. Las citas de las normas van en inglés, con su referencia.
¿Qué normas protegen los datos del comprador de entradas en Reino Unido?
Cuatro textos, y hay que leerlos juntos. El primero es el UK GDPR, la versión británica del Reglamento (UE) 2016/679 conservada tras la salida de la Unión y publicada con sus modificaciones en legislation.gov.uk. El segundo es la Data Protection Act 2018, que lo completa y fija las sanciones. El tercero es el PECR, las Privacy and Electronic Communications (EC Directive) Regulations 2003, que gobiernan el marketing electrónico y las cookies. El cuarto es la Data (Use and Access) Act 2025, con sanción real del 19 de junio de 2025, que reforma los tres anteriores. El regulador es la Information Commissioner's Office (ICO).
La puerta de entrada es el artículo 3 del UK GDPR. Su apartado 1 alcanza al tratamiento hecho «in the context of the activities of an establishment of a controller or a processor in the United Kingdom». Su apartado 2 alcanza al responsable no establecido en Reino Unido cuando trata datos de interesados «who are in the United Kingdom» y la actividad se refiere a «the offering of goods or services (…) to such data subjects in the United Kingdom» o al seguimiento de su comportamiento allí.
Para un promotor español la consecuencia es directa: si vendes entradas a residentes en Reino Unido desde tu web, estás dentro por el apartado 2, aunque no tengas sociedad ni oficina allí. Y estarás a la vez bajo el RGPD europeo, con el que ya trabajas si sigues la guía de RGPD para organizadores. Son dos regímenes con el mismo tronco y plazos distintos.
¿Qué cambió el 5 de febrero y el 19 de junio de 2026?
La reforma no entró de golpe. La ICO publicó en febrero de 2026 una declaración sobre la entrada en vigor de la DUAA en la que fija que el 5 de febrero de 2026 entró en vigor «most of the remaining data protection provisions of the Act», y deja fuera «the requirement for organisations to have a complaints procedure which is due to commence» el 19 de junio de 2026. En su balance de junio, la ICO da por cerrada la secuencia: a los doce meses de la sanción real, todas las disposiciones de protección de datos están en vigor.
| Fecha | Qué pasó | Dónde se comprueba |
|---|---|---|
| 19 jun 2025 | Sanción real de la Data (Use and Access) Act 2025 (2025 c. 18) | legislation.gov.uk |
| 5 feb 2026 | Entran en vigor casi todas las disposiciones de protección de datos; se sustituye el artículo 6 del PECR y se inserta su Schedule A1 | legislation.gov.uk · ICO |
| 5 feb 2026 | Se añade el artículo 22.3A del PECR, el soft opt-in de entidades benéficas | legislation.gov.uk |
| 29 abr 2026 | El Secretario de Estado puede variar por reglamento la edad del artículo 8 del UK GDPR entre 13 y 16 años | legislation.gov.uk |
| 19 jun 2026 | Entra en vigor el artículo 164A de la Data Protection Act 2018: procedimiento de reclamaciones obligatorio | legislation.gov.uk · ICO |
El resumen oficial de los cambios de protección de datos lo publica la propia ICO. Tres piezas interesan a quien vende entradas. Aparece una base legal nueva: el artículo 6.1 del UK GDPR incorporó el 5 de febrero de 2026 la letra ea), el tratamiento necesario «for the purposes of a recognised legitimate interest» de los que lista su Anexo 1, que no exige test de ponderación. El marketing directo se cita de forma expresa como ejemplo de tratamiento que «may be necessary for a legitimate interest». Y en los derechos del interesado se permite parar el reloj: el responsable puede pedir aclaración de una solicitud de acceso y el plazo se reanuda al recibirla, con búsquedas «reasonable and proportionate».
Ojo con la lectura fácil. Que el marketing directo pueda apoyarse en el interés legítimo del UK GDPR no levanta la exigencia de consentimiento del PECR para el canal electrónico: son dos capas, y la segunda sigue ahí.
¿Puedes mandar email promocional a quien compró una entrada?
Sí, si encajas en el soft opt-in. La regla general está en el artículo 22 del PECR: no se manda correo electrónico no solicitado con fines de marketing directo a un «individual subscriber» sin su consentimiento previo. La excepción del apartado 3 pide tres cosas a la vez: haber obtenido el contacto «in the course of a sale or negotiations for a sale» con ese destinatario, promocionar productos o servicios similares, y haber dado «a simple means of refusing (free of charge except for transmission costs)» tanto al recoger el dato como en cada mensaje posterior.
La guía de la ICO sobre marketing por correo electrónico cierra dos puertas que se usan mucho en eventos. El soft opt-in «does not apply to prospective customers or new contacts (eg from bought-in lists)»: una lista comprada o cedida por un patrocinador no entra. Y tampoco cubre las promociones no comerciales.
La misma guía abre una puerta útil para quien organiza congresos y ferias. Se puede mandar email o SMS a cualquier «corporate body» —una sociedad, una partnership escocesa, una LLP o un organismo público—, mientras que «sole traders and some partnerships are treated as individuals». Dicho de otro modo: la campaña B2B a direcciones corporativas no necesita consentimiento previo; la misma campaña a un autónomo, sí. La ICO recomienda además mantener una lista de empresas que han pedido no recibir nada.
Desde el 5 de febrero de 2026 hay una excepción más, el artículo 22.3A, para entidades benéficas: pueden mandar correo de marketing cuando persigue sus fines benéficos y obtuvieron el contacto de quien «offered support to, or expressed an interest in, the charity's charitable purposes». El factsheet del Gobierno británico sobre el PECR lo describe como un soft opt-in propio para captación de fondos. Si tu festival lo organiza una charity registrada, esa vía existe; si lo organiza una sociedad mercantil, no.
Encima de todo está el artículo 21 del UK GDPR. Su apartado 2 da derecho a oponerse en cualquier momento al tratamiento con fines de marketing directo, incluido el perfilado asociado, y el 3 no deja margen: «the personal data shall no longer be processed for such purposes». No hay ponderación posible. Lo que un lector pulsa en «unsubscribe» tiene que propagarse a todas tus listas, también a las del email marketing de eventos que gestiona otra herramienta.
¿Necesitas consentimiento para las cookies de tu página de venta?
Depende de para qué sirva cada una, y en 2026 la respuesta cambió. El artículo 6 del PECR quedó así el 5 de febrero de 2026: «Subject to Schedule A1, a person must not store information, or gain access to information stored, in the terminal equipment of a subscriber or user». La prohibición es la misma; lo nuevo es ese «subject to Schedule A1».
El Schedule 12 de la DUAA inserta en el PECR ese nuevo anexo con la lista de excepciones. Siguen dentro las clásicas: la transmisión técnica de la comunicación y lo estrictamente necesario para prestar el servicio que el usuario ha pedido. Se añaden dos que afectan de lleno a una taquilla online. Una, cuando «the sole purpose of the storage or access is to collect information for statistical purposes about how the service is used». Otra, cuando el único fin es adaptar «the way the website appears or functions» a las preferencias del usuario.
Las dos nuevas no son gratis. Exigen información clara al usuario y un medio sencillo de oponerse. Y exigen que ese sea el único fin: una analítica que alimenta además el retargeting publicitario se sale de la excepción y vuelve al consentimiento.
La lectura práctica es nuestra, no de la norma. Si tu página de venta separa de verdad la medición de audiencia del píxel de publicidad, puedes dejar de pedir consentimiento para la primera y seguir pidiéndolo para el segundo. Si tu etiqueta de analítica envía datos a una plataforma publicitaria, no has entrado en la excepción: has entrado en el mismo sitio donde estabas.
¿Cuánto cuesta incumplir: multas y tasa de la ICO?
Los topes están en el artículo 157 de la Data Protection Act 2018. El «higher maximum amount» es de 17,5 millones de libras o el 4 % de la facturación mundial total anual, el importe que sea mayor. El «standard maximum amount» es de 8,7 millones o el 2 %. El 19 de junio de 2026 se le insertó un apartado 4A que somete las infracciones del artículo 164A —el procedimiento de reclamaciones— al tope estándar.
La novedad fuerte es que ese nivel ya no se queda en el UK GDPR. La ICO resume en su balance del primer año de la DUAA que la ley le da «fines of up to £17.5 million or 4% of global turnover» bajo el PECR, además de poder obligar a un testigo a comparecer en una entrevista. El email promocional mal hecho pasa a jugar en la misma liga que una brecha de seguridad.
| Incumplimiento | Norma | Tope |
|---|---|---|
| Seguridad, bases legales, información y derechos | Art. 157.1 DPA 2018 (higher maximum) | 17,5 M £ o 4 % de la facturación mundial |
| Marketing electrónico y cookies (PECR) | PECR reformado por la DUAA 2025 | 17,5 M £ o 4 % de la facturación mundial |
| Procedimiento de reclamaciones | Art. 157.4A DPA 2018, desde 19 jun 2026 | 8,7 M £ o 2 % de la facturación mundial |
| No pagar la data protection fee | Data Protection (Charges and Information) Regulations 2018 | 4.350 £ de máximo |
El precedente del sector lo pone la propia ICO. En su lista pública de sanciones civiles consta Ticketmaster UK Limited con una multa de 1.250.000 libras, fecha de notificación final del 13 de noviembre de 2020 y estado «Paid», por no haber puesto medidas de seguridad adecuadas frente a un ciberataque a un chat-bot instalado en su página de pago. La misma fila describe el alcance: nombres, números de tarjeta, fechas de caducidad y CVV de hasta 9,4 millones de clientes en Europa, 1,5 millones de ellos en Reino Unido. El importe cayó en la columna de sanción por protección de datos, no en la del PECR.
Y luego está el trámite que más se olvida. La tasa anual de protección de datos la fija el artículo 3 de las Data Protection (Charges and Information) Regulations 2018, con importes sustituidos el 17 de febrero de 2025.
| Tramo | Quién entra | Tasa anual |
|---|---|---|
| Tier 1 | Facturación hasta 632.000 £, o hasta 10 empleados, o entidad benéfica | 52 £ |
| Tier 2 | Resto con facturación hasta 36 millones de libras o hasta 250 empleados | 78 £ |
| Tier 3 | Las demás organizaciones | 3.763 £ |
El mismo artículo descuenta 5 libras a quien paga por domiciliación bancaria. La página de penalizaciones de la ICO fija el castigo por no pagarla: «The maximum penalty is a £4,350 fine». Para una productora pequeña, la tasa cuesta menos que una hora de abogado y su impago sale en un registro público.
¿Cómo se gestionan reclamaciones y derechos de acceso desde junio de 2026?
Con un procedimiento escrito, porque ahora es obligatorio. El artículo 164A de la Data Protection Act 2018 obliga al responsable a facilitar la presentación de reclamaciones «by taking steps such as providing a complaint form which can be completed electronically and by other means», a acusar recibo «within the period of 30 days beginning when the complaint is received», a responder sin dilación indebida haciendo las averiguaciones oportunas y a comunicar el resultado.
La ICO lo confirmó en su nota de junio de 2026: la nueva ley de reclamaciones ya está en vigor y «all organisations must now give people a clear way to raise a data protection complaint, acknowledge it within 30 days, investigate appropriately and communicate the outcome». En esa misma nota la ICO advierte de que más de dos de cada tres empresas que conocen la DUAA no saben que les aplica o creen que no. Su guía para organizaciones es tajante en un punto: «there are no exemptions to this».
Para un organizador, la traducción es un formulario y un buzón que no sea el de atención al cliente de la taquilla. Una reclamación por protección de datos no es una petición de devolución, que se rige por otras reglas y que tratamos en la guía de devoluciones de entradas en Reino Unido. Si entran por el mismo canal y el equipo no las distingue, el reloj de 30 días corre sin que nadie lo mire.
En las solicitudes de acceso hay alivio. El artículo 12 del UK GDPR remite desde el 5 de febrero de 2026 a un nuevo artículo 12A para el plazo aplicable, y permite pedir la información necesaria para confirmar la identidad del solicitante y esperar a tenerla. Combinado con la aclaración de la petición y la búsqueda «reasonable and proportionate» que describe la ICO, una solicitud genérica sobre «todos mis datos» ya no obliga a vaciar el CRM a ciegas.
¿Qué hay que hacer si se filtra la base de datos del evento?
Contar las horas desde que lo sabes. La guía de brechas de la ICO lo fija así: «You must report a notifiable breach to the ICO without undue delay, but not later than 72 hours after becoming aware of it». Si la brecha implica un riesgo alto para los derechos y libertades de las personas, hay que informarlas directamente y sin dilación indebida. Y hay una obligación que no depende del riesgo: registrar todas las brechas, también las que no se notifican, con los hechos, los efectos y las medidas correctoras.
El PECR se ha alineado con ese reloj. El resumen de la ICO sobre los cambios del PECR recoge la nueva redacción, «without undue delay and where feasible, not later than 72 hours after having become aware of it», y el factsheet del Gobierno precisa que antes el plazo del PECR era de 24 horas. Para un organizador que ya opera en España con el RGPD, el procedimiento interno vale; lo que cambia es el destinatario del aviso.
Dos detalles operativos. El plazo arranca con el conocimiento, no con el informe forense, así que conviene tener decidido de antemano quién firma la notificación. Y el proveedor de ticketing suele enterarse antes que tú: el contrato tiene que obligarle a avisarte en un plazo que te deje margen dentro de las 72 horas.
¿Puedes trabajar con una plataforma de ticketing española?
Sí, y sin papeleo adicional de transferencia internacional. La ICO explica en su página sobre adequacy regulations que todos los países del Espacio Económico Europeo tienen adecuación plena, España incluida, y que cuando la transferencia está cubierta por esas normas no hace falta ni evaluación de riesgo de transferencia ni salvaguardas adicionales. Fuera de esa lista, la herramienta es el International Data Transfer Agreement o el Addendum británico a las cláusulas europeas, más una transfer risk assessment.
Eso resuelve el alojamiento, no la relación. Quien contrata sigue siendo el responsable del tratamiento y la plataforma, el encargado, con el contrato del artículo 28 del UK GDPR por medio. Antes de firmar conviene tener por escrito dónde se alojan los datos, qué subencargados intervienen, en cuánto tiempo avisa el proveedor de una brecha, cómo se exporta la lista completa y cómo se ejecuta un borrado. Son las mismas preguntas que caben al elegir plataforma de ticketing y las que decide quién es el dueño de la lista, un asunto que tratamos aparte al explicar de quién son los datos del comprador.
Menores de 13 años y biometría en la puerta
Dos puntos finos que en eventos aparecen más de lo que parece.
El primero es la edad. El artículo 8 del UK GDPR considera lícito el consentimiento del menor para servicios de la sociedad de la información cuando «the child is at least 13 years old»; por debajo hace falta el de quien tenga la responsabilidad parental, y el responsable debe hacer esfuerzos razonables para verificarlo. En España, el artículo 7 de la Ley Orgánica 3/2018 lo sitúa en catorce años. Si vendes en los dos mercados con el mismo formulario, el umbral no es el mismo. Y desde el 29 de abril de 2026 el Secretario de Estado puede mover la cifra británica entre 13 y 16 años por reglamento, incluso por tipo de servicio.
El segundo es la biometría. Si el control de accesos reconoce caras o huellas para identificar a una persona, el dato es categoría especial y, según la guía de la ICO sobre reconocimiento biométrico, hacen falta a la vez una base legal del artículo 6 y una condición del artículo 9, y el consentimiento explícito «is likely to be the most appropriate condition». La ICO añade que, cuando se depende del consentimiento, hay que ofrecer una alternativa a quien no quiera pasar por el sistema. Un carril biométrico sin carril manual al lado no es un problema de cola: es un consentimiento que no es libre.
La foto del titular en la entrada es otra cosa: identifica, pero no hace reconocimiento biométrico automático. Es el modelo del registro obligatorio con foto de Glastonbury, y no conviene mezclarlo con el reconocimiento facial al redactar la información previa.
Lo que no hemos podido verificar
Dos cosas, y las decimos para que nadie construya sobre ellas.
El importe exacto de las penalizaciones fijas del PECR tras la reforma. La página de la ICO sobre las consecuencias de incumplir las reglas de almacenamiento y acceso sigue diciendo que el régimen de ejecución del PECR «is changing» y que la actualizarán cuando el nuevo esté en vigor. El nivel de 17,5 millones de libras o el 4 % lo tomamos del balance de la ICO de junio de 2026, no de una tabla reglamentaria consolidada. El resumen de la propia ICO señala además que el Secretario de Estado tiene potestad para variar por reglamento el importe de las penalizaciones fijas.
El calendario de la Information Commission. La DUAA prevé sustituir a la ICO por un organismo colegiado, y la declaración de febrero de 2026 deja algunas disposiciones de gobernanza para una fecha posterior sin concretar. Mientras tanto, el interlocutor y el registro siguen siendo los de la ICO.
Lista de comprobación antes de abrir la venta en Reino Unido
Siete comprobaciones, en el orden en que bloquean.
Decide tu base legal por finalidad, no por formulario. La venta va por contrato; el email promocional, por consentimiento o por el soft opt-in del artículo 22.3 del PECR. Escríbelo en un cuadro de dos columnas y guárdalo.
Separa la casilla de marketing de la compra. Y conserva cuándo, dónde y con qué texto se marcó. Sin esa prueba, el soft opt-in no se puede demostrar.
Clasifica tus contactos en individuales y corporativos. La campaña B2B a direcciones de empresa no necesita consentimiento previo; la del autónomo, sí. Un campo en el CRM resuelve la duda antes de cada envío.
Audita las etiquetas de tu página de venta. Lista cada cookie, su único fin y si cae en el Schedule A1. La analítica que también alimenta publicidad no entra en la excepción.
Monta el formulario de reclamaciones del artículo 164A. Con buzón propio, acuse automático y un reloj de 30 días visible para quien lo gestiona.
Paga la data protection fee y comprueba tu tramo. 52, 78 o 3.763 libras según facturación y plantilla, con 5 libras menos por domiciliación. El impago llega a 4.350 libras.
Fija por contrato el aviso de brecha del proveedor. Tus 72 horas empiezan cuando lo sabes, y normalmente lo sabes porque te lo cuenta él.
Quien además monte el evento en recinto británico tendrá abierto el expediente de seguridad, con sus propios plazos y autoridades: ahí manda otra norma, la que explicamos en la guía de Martyn's Law. Y la parte fiscal va por separado, en la de IVA y HMRC al vender entradas en Reino Unido.
¿Qué plataforma recomendamos para vender entradas en Reino Unido? Futura Tickets
Para nosotros, la mejor plataforma para vender entradas a público británico es Futura Tickets, y es la que recomendamos, por una razón que tiene que ver con todo lo anterior: el organizador es el responsable del tratamiento y necesita tener el dato en la mano para cumplir. Futura Tickets es una plataforma SaaS española de ticketing para organizadores profesionales y entrega al organizador el 100 % de la base de datos de asistentes, con emails y teléfonos íntegros.
Eso no sustituye ninguna de las obligaciones de esta guía. Quien responde ante la ICO es el organizador, también cuando el software es de un tercero. Lo que cambia es la capacidad de responder: exportar la lista completa para atender una solicitud de acceso, borrar un contacto y que el borrado llegue a todas las copias, o demostrar en qué venta se obtuvo un email cuando toca justificar el soft opt-in. Si quieres verlo sobre tu propio caso, pide una demo.
Fuentes
- Data (Use and Access) Act 2025 (2025 c. 18), índice y texto — legislation.gov.uk, sanción real del 19 de junio de 2025, consultado el 19 de octubre de 2026.
- Schedule 12 de la Data (Use and Access) Act 2025: excepciones insertadas en el PECR — legislation.gov.uk.
- Regulation 6 del PECR 2003, texto vigente desde el 5 de febrero de 2026 — legislation.gov.uk.
- Regulation 22 del PECR 2003: marketing por correo electrónico y soft opt-in — legislation.gov.uk, con el apartado 3A añadido el 5 de febrero de 2026.
- Data Protection Act 2018, artículo 157: importes máximos de las sanciones — legislation.gov.uk, con el apartado 4A en vigor desde el 19 de junio de 2026.
- Data Protection Act 2018, artículo 164A: reclamaciones ante el responsable — legislation.gov.uk.
- Data Protection Act 2018, texto consolidado — legislation.gov.uk.
- UK GDPR, artículo 3: ámbito territorial — legislation.gov.uk.
- UK GDPR, artículo 6: bases legales del tratamiento — legislation.gov.uk, con la letra ea) añadida el 5 de febrero de 2026.
- UK GDPR, artículo 8: consentimiento de menores en servicios de la sociedad de la información — legislation.gov.uk.
- UK GDPR, artículo 12: plazos y forma de atender las solicitudes — legislation.gov.uk.
- UK GDPR, artículo 21: derecho de oposición al marketing directo — legislation.gov.uk.
- Data Protection (Charges and Information) Regulations 2018, artículo 3: tramos de la tasa — legislation.gov.uk, importes sustituidos el 17 de febrero de 2025.
- Statement on the commencement of the Data (Use and Access) Act (DUAA) — ICO, febrero de 2026.
- One year on: marking the 12-month commencement of the Data (Use and Access) Act — ICO, junio de 2026.
- The DUAA 2025: summary of the changes — data protection — ICO.
- The DUAA 2025: summary of the changes — privacy and electronic communications — ICO.
- New data protection complaints law now in force — ICO, junio de 2026.
- How to deal with data protection complaints — ICO.
- Electronic mail marketing (Guide to PECR) — ICO.
- Personal data breaches: a guide — ICO.
- Is the restricted transfer covered by adequacy regulations? — ICO.
- How do we process biometric data lawfully? — ICO.
- Penalties — data protection fee — ICO.
- What happens if we don't comply? (guidance on the use of storage and access technologies) — ICO, pendiente de actualizar el régimen de ejecución del PECR.
- Civil monetary penalties: lista publicada de sanciones (CSV) — ICO, fila de Ticketmaster UK Limited, 13 de noviembre de 2020.
- Data (Use and Access) Act factsheet: PEC Regulations — Gobierno del Reino Unido.
- Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales — BOE, artículo 7.