El Reglamento (UE) 2016/679 (RGPD) afecta directamente a cualquier organizador que recoja datos de asistentes. Emails, nombres, teléfonos, preferencias de compra... todo esto son datos personales que deben tratarse conforme a la normativa. En España lo completa la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). El artículo 83.5 del RGPD sitúa el tramo alto de las multas en 20 millones de euros o el 4 % del volumen de negocio total anual global, la de mayor cuantía; el artículo 83.4 fija un tramo inferior de 10 millones o el 2 %. Esta guía te explica lo esencial.
¿Qué datos recoges como organizador de eventos?
Como organizador de eventos, recoges más datos de los que probablemente piensas. Es importante identificarlos todos para gestionarlos correctamente.
- Datos de compra: nombre, email, teléfono, dirección de facturación
- Datos de acceso: hora de entrada, zona, intentos de validación
- Datos de comportamiento: páginas visitadas, carritos abandonados
- Datos de dispositivo: IP, navegador, sistema operativo
- Datos opcionales: preferencias, fecha de nacimiento, género
¿Qué bases legales existen para el tratamiento de datos?
El artículo 6.1 del RGPD exige que cada tratamiento de datos se apoye en una de las seis bases legales que enumera. Para organizadores de eventos, las más relevantes son:
- Ejecución de contrato: necesitas los datos para vender y entregar la entrada
- Consentimiento: para enviar newsletters o comunicaciones comerciales
- Interés legítimo: para prevenir fraude o mejorar el servicio
- Obligación legal: datos fiscales que debes conservar por ley. Consulta la guía de fiscalidad para venta de entradas para más detalle
¿Cómo obtener bien el consentimiento?
El artículo 4.11 del RGPD define el consentimiento como una manifestación «libre, específica, informada e inequívoca», y el artículo 7 añade las condiciones para demostrarlo y retirarlo. Esto significa que no puedes usar casillas premarcadas, ni condicionar la compra a aceptar marketing, ni esconder el consentimiento en términos y condiciones genéricos. Si además envías comunicaciones comerciales por email o SMS, aplica también el artículo 21 de la Ley 34/2002 (LSSI-CE).
- Casillas separadas para cada finalidad (una para marketing, otra para terceros)
- Lenguaje claro y comprensible, sin jerga legal
- Igual de fácil retirar el consentimiento que darlo
- Registro de cuándo y cómo se obtuvo cada consentimiento
¿Qué derechos tienen los asistentes sobre sus datos?
Los artículos 15 a 22 del RGPD reconocen a los asistentes una serie de derechos sobre sus datos que debes poder atender. El artículo 12.3 te da un mes desde la recepción de la solicitud para responder, prorrogable otros dos meses cuando la complejidad o el número de solicitudes lo justifique, avisando al interesado dentro del primer mes y explicando el motivo del retraso.
- Acceso: saber qué datos tienes sobre ellos
- Rectificación: corregir datos incorrectos
- Supresión: borrar sus datos (con excepciones legales)
- Portabilidad: recibir sus datos en formato estructurado
- Oposición: negarse a ciertos tratamientos
¿Qué pasa con los proveedores y encargados de tratamiento?
Cuando usas una plataforma de ticketing, un servicio de email marketing o cualquier otro proveedor que acceda a datos de tus asistentes, el artículo 28 del RGPD exige un contrato de encargado de tratamiento por escrito. Ese artículo enumera lo que el contrato debe contener como mínimo: objeto, duración, naturaleza y fin del tratamiento, tipo de datos, categorías de interesados y las obligaciones del encargado, entre ellas actuar solo siguiendo tus instrucciones y borrar o devolver los datos al terminar el servicio.
- Verifica que tus proveedores cumplen con RGPD
- Firma contratos de encargado de tratamiento
- Comprueba dónde almacenan los datos (transferencias internacionales)
- Mantén un registro de todos los proveedores con acceso a datos
¿Qué hacer ante una brecha de seguridad?
El artículo 33.1 del RGPD obliga a notificar la violación de seguridad a la autoridad de control —en España, la Agencia Española de Protección de Datos— «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella». Hay dos matices que se pasan por alto: no hay que notificar si es improbable que la brecha suponga un riesgo para los derechos y libertades de las personas, y si se pasa de las 72 horas hay que motivar el retraso. Si el riesgo es alto, el artículo 34 obliga además a comunicárselo a los afectados. La AEPD publica una guía de notificación de brechas; tener el protocolo preparado antes de que ocurra es lo que marca la diferencia.
¿Por qué el RGPD es una oportunidad y no solo una obligación?
El RGPD no es solo una obligación legal, es una oportunidad para generar confianza con tus asistentes. Gestionar los datos de forma transparente y responsable mejora tu reputación y reduce riesgos. Invierte tiempo en implementar las bases correctamente y actualízalas cuando cambien tus procesos.
Fuentes
Todos los enlaces se consultaron el 31 de agosto de 2026. Esta guía es informativa y no sustituye al asesoramiento jurídico para un caso concreto.
- Reglamento (UE) 2016/679 (RGPD) — art. 4.11 y 7 (consentimiento), art. 6.1 (bases legales), art. 12.3 (plazo de respuesta), arts. 15-22 (derechos), art. 28 (encargado de tratamiento), art. 33 y 34 (brechas), art. 83.4 y 83.5 (multas)
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales
- Ley 34/2002, de servicios de la sociedad de la información (LSSI-CE), art. 21
- Agencia Española de Protección de Datos