En France, vendre un billet n'exige pas le consentement de l'acheteur : la base légale est le contrat. Ce qui obéit à des règles propres, et ce que la CNIL sanctionne, c'est la suite : l'e-mail du prochain concert, la liste que réclame le sponsor, le cookie de la page de vente et la durée pendant laquelle vous conservez tout cela.
Ce guide passe en revue ce que la Commission nationale de l'informatique et des libertés (CNIL) attend d'un organisateur, du paiement jusqu'à la suppression des données. Les citations sont en français, avec leur document et leur date. Toutes les sources ont été consultées le 23 octobre 2026.
Quelles règles protègent les données de l'acheteur de billets en France ?
Trois niveaux. Le premier est le règlement (UE) 2016/679, le RGPD, identique à celui qui s'applique en Espagne. Le deuxième est la loi n° 78-17 du 6 janvier 1978, la loi Informatique et Libertés, qui adapte le RGPD et transpose la directive ePrivacy. Le troisième est le code des postes et des communications électroniques (CPCE), dont l'article L34-5 encadre la prospection par e-mail et SMS.
Le référentiel de la CNIL relatif à la gestion des activités commerciales le résume dans son point 2 : les fichiers de clients et de prospects sont soumis au RGPD, à la loi de 1978 et à « des dispositions spécifiques relatives à la protection de la vie privée dans le secteur des communications électroniques ». Ce référentiel est le document que ce guide utilise le plus. Il n'est pas contraignant : le texte lui-même indique qu'il « n'a pas de caractère contraignant ». Mais c'est la référence de la CNIL elle-même, et quiconque s'en écarte doit pouvoir démontrer qu'il respecte tout de même le RGPD.
Les cookies relèvent d'un autre texte. La page de la CNIL sur les cookies l'écrit noir sur blanc : « L'article 82 de la loi Informatique et Libertés transpose ces dispositions en droit français ».
La CNIL ne considère pas la billetterie comme un sujet mineur. Dans ses contrôles prioritaires de 2024, publiés le 8 février 2024, elle a annoncé qu'elle examinerait le volet commercial des Jeux olympiques, « notamment à la collecte de données opérée dans le cadre des services de billetterie ». Cette même note chiffre à 340 les contrôles de 2023 et indique que les thématiques prioritaires représentent en moyenne 30 % du total.
Si vous venez du marché espagnol, le cadre commun figure dans notre guide sur les données de l'acheteur de billets et le RGPD. Voici ce qui change en France.
Faut-il le consentement de l'acheteur pour lui vendre le billet ?
Non. Le tableau du point 4 du référentiel rattache la gestion des commandes, la livraison et l'exécution du service à la base légale « Exécution du contrat ». Les réclamations et le service après-vente aussi. Émettre le billet, l'encaisser et le valider à l'entrée entrent dans ce cadre.
La nuance porte sur les données que vous demandez. Le référentiel cite le Comité européen de la protection des données : le fait que le contrat mentionne une collecte précise « ne suffit pas » à démontrer qu'elle est nécessaire. La collecte doit être « indispensable pour fournir le service ». Demander la date de naissance, le genre ou le code postal pour vendre un billet d'entrée générale ne passe pas ce filtre, sauf motif propre à l'événement.
Le cas de la prévente par carte bancaire
En avril 2026, UFC-Que Choisir a révélé que le tirage au sort de la prévente des concerts de Céline Dion à Paris, géré par AXS France, demandait le numéro de carte, la date d'expiration et le code de sécurité rien que pour s'inscrire. Selon le magazine, la CNIL lui a répondu que cette collecte « pourrait ne pas satisfaire au principe de minimisation ». L'entreprise a fait valoir que cela servait à freiner les bots. Aucune sanction n'est connue : il s'agit de l'avis que la CNIL a donné au magazine, pas d'une décision.
Le référentiel va dans le même sens à propos du cryptogramme, le code à trois chiffres. Son point 7 indique qu'il « doit être supprimé dès que le règlement de la prestation ou de l'achat est finalisé ». Le numéro de carte peut, lui, être conservé pour des achats ultérieurs, dans les conditions de la délibération n° 2018-303 du 6 septembre 2018.
Un détail qui touche à la manière dont vous générez les billets : le point 5 interdit que le code interne identifiant le client soit « son numéro de carte bancaire, ni son numéro de sécurité sociale, ni encore celui de son titre d'identité ». Il s'agit de notre lecture, pas d'un texte de la CNIL : l'identifiant d'un QR code ou d'un billet nominatif devrait être un code propre, jamais l'un de ces trois numéros.
Pouvez-vous envoyer des e-mails marketing à quelqu'un qui a acheté un billet ?
Oui, sous conditions. La règle générale est donnée par la CNIL dans sa fiche sur la prospection, mise à jour le 10 juin 2026 : la publicité par e-mail ou SMS auprès de particuliers n'est possible qu'« à condition que les personnes aient donné leur consentement avant d'être démarchées ». La case ne peut pas être précochée.
L'exception est celle du client. Pas besoin de consentement préalable « si la prospection concerne les produits ou services similaires fournis par la même entreprise ». La CNIL la borne : elle ne vaut pas « lorsqu'aucune vente ou prestation de service n'a été effectuée », et créer un compte ne suffit pas. Celui qui s'est inscrit sur la liste d'attente sans acheter n'est pas un client.
Pour l'organisateur, la conséquence est directe. L'acheteur du festival 2026 peut recevoir l'annonce de l'édition 2027 sans consentement préalable, à condition qu'il ait pu s'opposer lors de la collecte de son e-mail et qu'il puisse se désinscrire à chaque envoi. La fiche exige que chaque message identifie l'expéditeur et permette de refuser les suivants « par un moyen simple ». En B2B, la règle est plus souple : avec des professionnels, l'intérêt légitime suffit si le message a un rapport avec leur activité professionnelle.
Pour le volet opérationnel des campagnes, nous avons un guide sur l'e-mail marketing pour les événements.
Jeux-concours et tirages au sort : là où l'on sanctionne le plus
Le 13 octobre 2025, la CNIL a annoncé 16 sanctions en procédure simplifiée, pour un total de 108 000 euros. L'une visait une entreprise qui collectait des prospects au moyen de formulaires de jeux-concours. Le formulaire mettait en avant la case des offres commerciales et laissait entendre que c'était la seule façon de valider la participation. Résultat : consentement non valide et « un manquement à l'article L. 34-5 ». Si vous faites gagner des billets ou des pass backstage, la case commerciale doit être distincte, sans mise en avant et sans conditionner le tirage.
Et si le sponsor veut votre liste ?
C'est une transmission à un tiers, avec ses propres règles, au point 6 du référentiel. Si le sponsor va envoyer des e-mails, vous avez besoin du consentement de l'acheteur au moment de la collecte, en l'informant de l'identité des destinataires des données. La CNIL recommande une liste exhaustive des destinataires, accessible depuis le formulaire, par exemple via un lien. Elle admet une seule case pour la cession et l'utilisation ultérieure, « sous réserve de fournir une information préalable complète ». Sans ce consentement, la prospection du sponsor est « illicite ». La case ne peut jamais être précochée.
Pour les appels téléphoniques, le point 9 ajoute une autre obligation : exclure les personnes inscrites sur Bloctel, la liste d'opposition prévue aux articles L223-1 et suivants du code de la consommation.
Combien de temps pouvez-vous conserver les données de l'acheteur ?
Cela dépend de l'usage que vous en faites. Le référentiel ne fixe pas de durée unique : il la lie à chaque finalité. Voici les durées que propose la CNIL et qui s'appliquent à une vente de billets :
| Donnée | Durée proposée par la CNIL | À compter de | Source |
|---|---|---|---|
| Commande, remise du billet et réclamations | Durée de la relation contractuelle | Achat | Référentiel, point 4 |
| Comptabilité et factures | Délai légal, par exemple 10 ans, en archivage intermédiaire | Fin du contrat | Référentiel, point 4 |
| Copie d'une pièce d'identité, si nécessaire à titre de preuve | 6 ans maximum | Collecte | Référentiel, point 5 |
| Cryptogramme de la carte | Supprimé à la clôture du paiement | Paiement | Référentiel, points 5 et 7 |
| Client utilisé pour la prospection | 3 ans | Fin de la relation commerciale ou dernier contact du client | Référentiel, point 7 |
| Prospect n'ayant pas acheté | 3 ans | Collecte ou dernier contact du prospect | Référentiel, point 7 |
| Compte en ligne inactif | 2 ans, durée que la CNIL juge proportionnée | Début de l'inactivité | Référentiel, point 7 |
| Choix relatif aux cookies, accepté ou refusé | 6 mois à titre de bonne pratique | Choix de l'utilisateur | Recommandation 2020-092, point 39 |
Ce qui compte comme un contact est défini. Le référentiel donne pour exemple une demande de documentation ou un clic sur un lien de l'e-mail. En revanche, « la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect ».
Un exemple daté, selon notre calcul d'après cette règle. Un spectateur achète le 3 mars 2026 pour un festival en juillet. S'il n'interagit plus, sa donnée de prospection expire le 3 mars 2029. S'il clique sur la newsletter le 1er septembre 2026, le délai repart : 1er septembre 2029. S'il se contente d'ouvrir les e-mails, le délai ne bouge pas.
À l'issue des trois ans, la CNIL autorise à le recontacter une fois pour lui demander s'il souhaite continuer à recevoir des offres. Sans réponse positive et explicite, il faut supprimer ou archiver.
Que exige la CNIL pour les cookies de votre page de vente ?
Un consentement préalable pour tout ce qui n'est pas strictement nécessaire, avec un refus aussi simple que l'acceptation. La recommandation de la CNIL, adoptée par la délibération n° 2020-092 du 17 septembre 2020, le formule ainsi au point 30 : le responsable doit offrir « tant la possibilité d'accepter que de refuser » avec « le même degré de simplicité ».
Le point 32 donne la solution que la CNIL juge valable : deux boutons au premier niveau, « au même niveau et sur le même format », du type « tout accepter » et « tout refuser ». Le point 31 explique pourquoi une bannière avec un clic pour accepter et plusieurs pour refuser pose problème : elle présente « le risque de biaiser le choix de l'utilisateur ».
Sur la durée de mémorisation du choix, le point 39 est précis : conserver le consentement et le refus « pendant une durée de 6 mois constitue une bonne pratique ». La recommandation s'appuie sur les lignes directrices 5/2020 du Comité européen de la protection des données sur le consentement, adoptées le 4 mai 2020. Leur point 3 précise qu'elles ne sont pas prescriptives : d'autres solutions sont valables si le consentement est conforme.
Sur une page de vente de billets, le risque habituel tient aux pixels publicitaires qui se chargent avant la bannière. Si le pixel d'un réseau social se déclenche à l'ouverture de la page de l'événement, le choix de l'utilisateur arrive trop tard. Selon la CNIL, les traceurs de mesure d'audience peuvent être exemptés « dès lors qu'ils respectent certaines conditions » ; ceux de publicité personnalisée, non.
Qu'est-ce qui change avec les mineurs et les données biométriques ?
Deux limites qui se rencontrent vite dans un événement : le public adolescent et la reconnaissance faciale à l'entrée.
Mineurs de moins de 15 ans
Le RGPD laisse l'âge à l'appréciation de chaque État. Son article 8.1 fixe 16 ans, et les États membres peuvent l'abaisser, « siempre que esta no sea inferior a 13 años » (à condition que cet âge ne soit pas inférieur à 13 ans). La France a choisi 15 ans. La recommandation 4 de la CNIL, du 9 juin 2021, explicite l'article 45 de la loi Informatique et Libertés : pour les services en ligne fondés sur le consentement, les titulaires de l'autorité parentale « doivent donner leur accord conjointement avec celui de leur enfant » si celui-ci a moins de 15 ans.
Cela concerne ce qui dépend du consentement, comme la newsletter ou les cookies publicitaires. L'achat repose sur le contrat, et la CNIL rappelle que, dans ce cas, le contrat peut être conclu par le mineur ou, à sa place, par les titulaires de l'autorité parentale. Pour un concert dont le public a de 13 à 15 ans, la case commerciale nécessite une voie de consentement parental ou ne doit pas être proposée à cette tranche d'âge.
Reconnaissance faciale à l'entrée
La CNIL a déjà dit non à un club. Le 18 février 2021, elle a adressé un avertissement à un club sportif qui testait un système de reconnaissance faciale pour identifier des personnes faisant l'objet d'une interdiction commerciale de stade. Le système « reposait sur le traitement de données biométriques », des données sensibles dont la collecte et l'utilisation sont, selon la CNIL, interdites sauf exceptions. Sans loi ni règlement qui l'autorise, il n'y a pas de base. La CNIL a prévenu que, si le club le déployait, il s'exposait à des mesures correctrices, y compris une amende.
Pour un contrôle d'accès en France, la voie sûre est le billet avec QR code ou le bracelet, qui identifient le titre d'accès et non le visage. Les règles de jauge et de fouille dans les établissements français figurent dans notre guide sur la jauge et la sécurité des événements en France.
Jusqu'à combien la CNIL peut-elle sanctionner, et que faire en cas de violation de données ?
Les amendes suivent deux échelles. Celle du RGPD, à son article 83.5, peut atteindre « 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global » (20 000 000 EUR au maximum ou, s'il s'agit d'une entreprise, un montant équivalent à 4 % au maximum du chiffre d'affaires annuel mondial total), « optándose por la de mayor cuantía » (le montant le plus élevé étant retenu). L'article 83.4 fixe un palier inférieur de 10 millions ou 2 %. Vingt millions représentent 4 % de 500 millions d'euros : en dessous de ce chiffre d'affaires, c'est le montant fixe qui fait plafond. Le calcul est de nous.
C'est la petite échelle qui concerne la plupart des organisateurs. La procédure de sanction simplifiée, prévue à l'article 22-1 de la loi Informatique et Libertés, permet un rappel à l'ordre, une injonction de mise en conformité assortie d'une astreinte, ou une amende :
| Mesure | Entreprise de moins de 50 M€ de chiffre d'affaires | Entreprise de plus de 50 M€ de chiffre d'affaires |
|---|---|---|
| Amende administrative maximale | 20 000 € | 100 000 € |
| Astreinte par jour de retard | 100 € | 500 € |
Les 16 sanctions simplifiées annoncées en octobre 2025 totalisent 108 000 euros, soit 6 750 euros en moyenne par sanction, selon notre division. La procédure ordinaire va plus haut. Le 15 mai 2025, la CNIL a infligé 900 000 euros d'amende à Solocal Marketing Services pour avoir envoyé des e-mails et des SMS à des prospects sans consentement valide. Elle n'a pas pu prouver ce consentement, comme l'exige l'article 7 du RGPD. La CNIL lui a en outre imposé une astreinte de 10 000 euros par jour de retard s'il ne se mettait pas en conformité dans un délai de neuf mois.
La violation de données : 72 heures
Si quelqu'un accède à votre base d'acheteurs, l'article 33.1 du RGPD oblige à notifier l'autorité « a más tardar 72 horas después de que haya tenido constancia de ella » (au plus tard 72 heures après en avoir pris connaissance). La page de notification de la CNIL précise que la notification se fait par son téléservice. Si le délai est dépassé, il faut expliquer « les motifs du retard ». Et en cas de risque élevé, « vous devez également notifier les personnes concernées ».
Les demandes d'accès ou d'effacement ont leur propre échéance. L'article 12.3 du RGPD prévoit un mois à compter de la réception, prorogeable de deux mois supplémentaires « en caso necesario » (en cas de nécessité). Au point 9 du référentiel, la CNIL recommande une adresse e-mail dédiée ou les coordonnées du délégué à la protection des données pour les centraliser.
Et Futura Tickets, quelle part de tout cela couvre-t-elle ?
Futura Tickets est une plateforme SaaS espagnole de billetterie pour les organisateurs professionnels, qui vend en 9 langues et sur 11 domaines nationaux, France comprise. Avec Futura Tickets, la base de données des participants appartient à 100 % à l'organisateur : e-mails et téléphones sont remis intégralement, dans le respect du RGPD. Cela a une conséquence juridique qu'il faut avoir bien en tête : si les données des acheteurs sont à vous, c'est vous le responsable de traitement devant la CNIL. C'est vous qui décidez de la case commerciale, des durées de suppression et du sponsor à qui vous cédez la liste. Quelle que soit la plateforme, demandez le contrat de sous-traitance de l'article 28 du RGPD, qui, selon l'article 28.3, se régit « por un contrato u otro acto jurídico » (par un contrat ou un autre acte juridique). Vérifiez aussi quels cookies la page de vente charge avant la bannière.
Liste de vérification avant d'ouvrir la vente en France
Sept vérifications que vous pouvez faire cette semaine.
Passez le formulaire d'achat en revue champ par champ. Pour chaque donnée, notez à quoi elle sert pour la bonne tenue de l'événement. Ce qui n'est pas indispensable au contrat sort du formulaire ou devient facultatif, avec sa finalité expliquée.
Séparez la case commerciale et laissez-la décochée. Une pour vos propres offres, une autre pour chaque cession à des tiers. Si vous faites gagner des billets, la participation ne doit pas dépendre de l'acceptation de la publicité.
N'utilisez l'exception client que pour les clients. Celui qui s'est inscrit sur la liste d'attente sans acheter a besoin d'un consentement préalable. Chaque envoi comporte une désinscription en un clic.
Programmez la suppression. Trois ans après le dernier contact réel pour la prospection, sans compter les ouvertures d'e-mail. Cryptogramme supprimé dès la clôture du paiement. Deux ans pour les comptes inactifs, avec avertissement préalable.
Mettez « tout refuser » à côté de « tout accepter ». Même niveau, même format. Aucun pixel publicitaire avant le choix. Mémorisez le choix six mois.
Décidez ce que vous faites pour les moins de 15 ans. La newsletter et les cookies publicitaires nécessitent un consentement parental conjoint. Si vous ne pouvez pas le recueillir, ne les proposez pas.
Rédigez le plan de réponse aux violations. Qui détecte, qui décide et qui notifie la CNIL sous 72 heures. Demandez à votre plateforme le contrat de l'article 28 et son engagement d'alerte immédiate.
Conclusion
La France applique le même RGPD que l'Espagne, mais la CNIL a fixé des durées et des formats concrets là où le règlement reste général : trois ans pour un prospect, six mois pour le choix des cookies, deux boutons identiques dans la bannière. Elle poursuit en outre la prospection sans consentement par des sanctions qui, dans la procédure simplifiée, avoisinent en moyenne 6 750 euros. Pour les autres démarches d'une tournée ou d'un festival en France, commencez par vendre des billets en France : récépissé, TVA et taxe CNM. Pour comparer avec le modèle britannique, consultez le guide sur les données de l'acheteur au Royaume-Uni.
Sources
- Règlement (UE) 2016/679, RGPD, articles 8, 12, 28, 33 et 83 (JOUE L 119, publié au BOE)
- Référentiel relatif aux traitements de données mis en œuvre aux fins de gestion des activités commerciales (CNIL, PDF)
- La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel, 10 juin 2026 (CNIL)
- Délibération n° 2020-092 du 17 septembre 2020, recommandation «cookies et autres traceurs» (CNIL, PDF)
- Cookies et autres traceurs: que dit la loi ?, 29 septembre 2020 (CNIL)
- Lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 (Comité européen de la protection des données)
- Recommandation 4: rechercher le consentement d'un parent pour les mineurs de moins de 15 ans, 9 juin 2021 (CNIL)
- Reconnaissance faciale et interdiction commerciale de stade: la CNIL adresse un avertissement à un club sportif, 18 février 2021 (CNIL)
- Les contrôles de la CNIL en 2024: données des mineurs, Jeux olympiques, droit d'accès et tickets de caisse, 8 février 2024 (CNIL)
- La procédure de sanction simplifiée (CNIL)
- La CNIL prononce 16 nouvelles sanctions dans le cadre de la procédure simplifiée, 13 octobre 2025 (CNIL)
- Courtiers en données: sanction de 900 000 euros à l'encontre de la société Solocal Marketing Services (CNIL)
- Notifier une violation de données personnelles (CNIL)
- Concerts de Céline Dion et données personnelles dans la prévente d'AXS France, 10 avril 2026 (UFC-Que Choisir)