Comment respecter le RGPD lorsqu'on organise des événements ?

Le Règlement (UE) 2016/679 (RGPD) concerne directement tout organisateur qui collecte des données de participants. E-mails, noms, téléphones, préférences d'achat... tout cela constitue des données personnelles qui doivent être traitées conformément à la réglementation. En Espagne, ce cadre est complété par la Loi organique 3/2018 relative à la protection des données personnelles et à la garantie des droits numériques (LOPDGDD). L'article 83.5 du RGPD fixe la tranche haute des amendes à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu ; l'article 83.4 fixe une tranche inférieure de 10 millions ou 2 %. Ce guide vous explique l'essentiel.

Le risque n'est pas théorique. L'Agence espagnole de protection des données (AEPD) a annoncé le 23 janvier 2026 avoir reçu 2 765 notifications de violations de données personnelles en 2025, dont 80 % provenant du secteur privé. Cela représente 7,6 notifications par jour (calcul propre à partir du chiffre de l'AEPD). Un organisateur disposant d'une base de données d'acheteurs se trouve dans cet univers.

Quelles données collectez-vous en tant qu'organisateur d'événements ?

En tant qu'organisateur d'événements, vous collectez plus de données que vous ne le pensez probablement. Il est important de les identifier toutes pour les gérer correctement.

• Données d'achat : nom, e-mail, téléphone, adresse de facturation
• Données d'accès : heure d'entrée, zone, tentatives de validation
• Données comportementales : pages visitées, paniers abandonnés
• Données d'appareil : IP, navigateur, système d'exploitation
• Données facultatives : préférences, date de naissance, genre

L'exercice utile ne consiste pas à les lister, mais à croiser chaque donnée avec sa base légale et sa durée de conservation. Ce tableau constitue l'ossature du registre des activités de traitement exigé par l'article 30 du RGPD :

Sources : articles 6.1, 9.2 et 30 du RGPD et article 22 de la LOPDGDD. Les délais fiscaux sont détaillés dans le guide de la fiscalité pour la vente de billets. Le détail de ce que vous pouvez demander ou non dans le formulaire d'achat figure dans le guide sur les données que vous pouvez demander à l'acheteur d'un billet.

Quelles bases légales existent pour le traitement des données ?

L'article 6.1 du RGPD exige que chaque traitement de données repose sur l'une des six bases légales qu'il énumère. Pour les organisateurs d'événements, les plus pertinentes sont :

• Exécution du contrat : vous avez besoin des données pour vendre et délivrer le billet
• Consentement : pour envoyer des newsletters ou des communications commerciales
• Intérêt légitime : pour prévenir la fraude ou améliorer le service
• Obligation légale : données fiscales que vous devez conserver en vertu de la loi. Consultez le guide de la fiscalité pour la vente de billets pour plus de détails

Deux remarques sur l'intérêt légitime. La première est que le point f) de l'article 6.1 le conditionne à ce que ne prévalent pas « los intereses o los derechos y libertades fundamentales del interesado » (les intérêts ou les droits et libertés fondamentaux de la personne concernée), ce qui exige une mise en balance écrite, pas une simple étiquette. La seconde est que l'article 21.2 du RGPD donne au participant le droit de s'opposer à tout moment au traitement à des fins de marketing direct, et dans ce cas « los datos personales dejarán de ser tratados para dichos fines » (les données personnelles ne seront plus traitées à ces fins). Aucune mise en balance ne résiste à une opposition.

Comment obtenir correctement le consentement ?

L'article 4.11 du RGPD définit le consentement comme une manifestation « libre, específica, informada e inequívoca » (libre, spécifique, éclairée et univoque), et l'article 7 ajoute les conditions pour le démontrer et le retirer. Cela signifie que vous ne pouvez pas utiliser de cases précochées, ni conditionner l'achat à l'acceptation du marketing, ni dissimuler le consentement dans des conditions générales génériques. Si vous envoyez par ailleurs des communications commerciales par e-mail ou SMS, l'article 21 de la loi 34/2002 (LSSI-CE) s'applique également.

• Des cases séparées pour chaque finalité (une pour le marketing, une autre pour les tiers)
• Un langage clair et compréhensible, sans jargon juridique
• Aussi facile de retirer le consentement que de le donner
• Un enregistrement du moment et de la manière dont chaque consentement a été obtenu

Le paragraphe 1 de cet article 21 est sans ambiguïté : « Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas » (l'envoi de communications publicitaires ou promotionnelles par e-mail ou tout autre moyen de communication électronique équivalent qui n'auraient pas été préalablement sollicitées ou expressément autorisées par leurs destinataires est interdit). Le paragraphe 2 ouvre la seule porte utile pour un promoteur : s'il existe une relation contractuelle préalable, si les données ont été obtenues licitement et si la communication porte sur des produits ou services similaires à ceux déjà contractés, vous pouvez écrire à quelqu'un qui vous a déjà acheté un billet. En contrepartie, vous devez proposer l'opposition par « un procedimiento sencillo y gratuito » (une procédure simple et gratuite), à la fois lors de la collecte de la donnée et dans chaque message. En pratique : une personne qui a acheté un billet pour votre festival peut recevoir l'annonce de la prochaine édition ; une personne qui a acheté un billet de théâtre n'est pas le public naturel de votre campagne pour un tiers. La façon de construire cette séquence est expliquée dans le guide sur l'email marketing pour les événements.

Quels droits les participants ont-ils sur leurs données ?

Les articles 15 à 22 du RGPD reconnaissent aux participants une série de droits sur leurs données que vous devez être en mesure de satisfaire. L'article 12.3 vous donne un mois à compter de la réception de la demande pour répondre, prorogeable de deux mois supplémentaires lorsque la complexité ou le nombre de demandes le justifie, en avertissant la personne concernée dans le premier mois et en expliquant le motif du retard.

• Accès : savoir quelles données vous détenez sur eux
• Rectification : corriger des données incorrectes
• Effacement : supprimer leurs données (avec des exceptions légales)
• Portabilité : recevoir leurs données dans un format structuré
• Opposition : refuser certains traitements

Deux nuances opérationnelles. La portabilité de l'article 20 ne concerne que les données que la personne concernée vous a elle-même fournies et les traitements fondés sur le consentement ou le contrat, et doit être livrée « en un formato estructurado, de uso común y lectura mecánica » (dans un format structuré, couramment utilisé et lisible par machine) : un CSV convient, une capture d'écran non. Et l'effacement de l'article 17 n'est pas absolu : le point 3.b) l'exclut lorsque le traitement est nécessaire « para el cumplimiento de una obligación legal » (pour le respect d'une obligation légale), ce qui est exactement votre cas avec les registres fiscaux d'une vente. Supprimer le profil marketing et conserver la facture n'est pas une contradiction : c'est ce que demande la réglementation.

Quand avez-vous besoin d'une analyse d'impact pour votre événement ?

Lorsque le traitement comporte un risque élevé. L'article 35.1 du RGPD impose de réaliser une analyse d'impact relative à la protection des données (AIPD) avant la mise en œuvre du traitement, et l'AEPD publie la liste des types de traitements nécessitant une analyse d'impact prévue par l'article 35.4. Cette liste fixe un critère pratique : une AIPD sera nécessaire « en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios » (dans la majorité des cas où ce traitement remplit deux critères ou plus) parmi les onze qu'elle énumère.

Plusieurs de ces critères se recoupent dans un grand festival : les traitements impliquant « perfilado o valoración de sujetos » (profilage ou évaluation de personnes, critère 1), « el uso de datos biométricos con el propósito de identificar de manera única a una persona física » (l'utilisation de données biométriques dans le but d'identifier de manière unique une personne physique, critère 5), « el uso de datos a gran escala » (l'utilisation de données à grande échelle, critère 7), « asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos » (l'association, la combinaison ou le croisement d'enregistrements de bases de données provenant de deux ou plusieurs traitements ayant des finalités différentes ou menés par des responsables distincts, critère 8) et « la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas » (l'utilisation de nouvelles technologies ou un usage innovant de technologies établies, critère 10).

Faisons le calcul sur un cas concret, qui relève de notre propre lecture de la liste et non d'une décision de l'AEPD : un festival qui valide l'accès par empreinte digitale, croise sa base d'acheteurs avec celle du cashless et segmente ses campagnes selon le comportement d'achat réunit les critères 5, 7, 8 et 10. Quatre critères sur onze : l'AIPD n'est plus discutable.

Pouvez-vous utiliser la reconnaissance faciale ou l'empreinte digitale pour le contrôle d'accès ?

Seulement avec une base juridique très solide, et presque jamais avec le seul consentement. L'AEPD a publié le 23 novembre 2023 le guide Traitements de contrôle de présence au moyen de systèmes biométriques et, dans son communiqué de presse, affirme qu'elle considère « el tratamiento de datos biométricos, tanto para identificación como para autenticación, como un tratamiento de alto riesgo que incluye categorías especiales de datos » (le traitement de données biométriques, tant pour l'identification que pour l'authentification, comme un traitement à haut risque qui inclut des catégories particulières de données).

Les conséquences sont au nombre de trois. Il faut une circonstance qui lève l'interdiction de l'article 9.1 du RGPD et, en plus, une condition de l'article 6 qui légitime le traitement. Il faut une AIPD « de forma previa al inicio del tratamiento » (préalable au début du traitement). Et il faut démontrer « la superación del triple análisis de idoneidad, necesidad y proporcionalidad » (le franchissement du triple test d'adéquation, de nécessité et de proportionnalité) : si un QR code nominatif ou un bracelet NFC résolvent le contrôle d'accès, l'empreinte digitale ne passe pas le test de nécessité. C'est pourquoi la plupart des sites se limitent au contrôle d'accès par QR code et NFC, qui traite beaucoup moins de données et n'entre pas dans le champ de l'article 9.

Qu'en est-il des prestataires et des sous-traitants ?

Lorsque vous utilisez une plateforme de ticketing, un service d'email marketing ou tout autre prestataire ayant accès aux données de vos participants, l'article 28 du RGPD exige un contrat de sous-traitance écrit. Cet article énumère ce que le contrat doit contenir au minimum : objet, durée, nature et finalité du traitement, type de données, catégories de personnes concernées et les obligations du sous-traitant, parmi lesquelles agir uniquement sur vos instructions et supprimer ou restituer les données à la fin de la prestation.

• Vérifiez que vos prestataires respectent le RGPD
• Signez des contrats de sous-traitance
• Vérifiez où sont stockées les données (transferts internationaux)
• Tenez un registre de tous les prestataires ayant accès aux données

Trois points qui échappent souvent aux contrats types. L'article 28.2 interdit au sous-traitant de recourir à un autre sous-traitant sans votre autorisation préalable, écrite, spécifique ou générale : si votre plateforme change de prestataire d'e-mail transactionnel, vous avez le droit d'en être informé et de vous y opposer. L'article 28.3.h) vous donne le droit de l'auditer ou de recevoir ses audits. Et si un prestataire traite les données hors de l'Espace économique européen sans décision d'adéquation, l'instrument habituel est les clauses contractuelles types de la Décision d'exécution (UE) 2021/914 de la Commission, qu'il faut signer et compléter par une évaluation du pays de destination. Le point de départ de cette conversation est simple : demandez par écrit la liste des sous-traitants ultérieurs et le pays où sont hébergées les données avant de signer, pas après le premier incident.

Que faire en cas de violation de données ?

L'article 33.1 du RGPD oblige à notifier la violation de données à l'autorité de contrôle — en Espagne, l'Agence espagnole de protection des données — « sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella » (sans délai indu et, si possible, au plus tard 72 heures après en avoir eu connaissance). Deux nuances sont souvent négligées : il n'est pas nécessaire de notifier si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes, et si le délai de 72 heures est dépassé, il faut motiver le retard. Si le risque est élevé, l'article 34 impose en outre d'en informer les personnes concernées. L'AEPD publie un guide de notification des violations ; avoir le protocole prêt avant que cela n'arrive, c'est ce qui fait la différence.

Les chiffres 2025 de l'AEPD permettent de prendre la mesure du phénomène. Sur les 2 765 notifications reçues, onze ont été transférées pour investigation complémentaire car considérées de sévérité élevée : soit 0,4 % (calcul propre). Notifier n'est pas avouer une infraction ; ne pas notifier, en revanche, constitue en soi un manquement à l'article 33. Les violations ayant eu le plus d'impact, selon l'Agence elle-même, résultaient de ransomwares et d'intrusions dans des systèmes d'information, mais parmi les plus fréquentes figurent des cas plus banals : l'envoi de données personnelles à des destinataires erronés et l'affichage de données personnelles par erreur. Un e-mail avec la liste des invités en copie visible correspond exactement à ce cas de figure.

Deux outils utiles. L'AEPD propose Comunica-Brecha RGPD pour décider s'il faut avertir les personnes concernées conformément à l'article 34. Et l'article 33.5 impose de documenter en interne toutes les violations, y compris celles qui ne sont pas notifiées, avec leurs effets et les mesures correctrices : ce registre est la première chose qu'un contrôle demande.

Quelles erreurs les organisateurs commettent-ils le plus souvent ?

Six, et aucune ne nécessite un pirate informatique.

• La liste des invités en copie visible. Un envoi avec cent adresses visibles constitue une violation de confidentialité, de celles que l'AEPD décrit comme les plus fréquentes.
• La case marketing précochée. Incompatible avec l'article 4.11 du RGPD, qui exige une manifestation univoque.
• Céder la base d'acheteurs au sponsor. C'est une finalité distincte qui nécessite sa propre base légale et une information préalable. Cela n'entre pas dans le contrat de vente du billet.
• Exporter la base vers un nouvel outil sans contrat de sous-traitance. L'article 28 s'applique aussi bien à un CRM de test qu'à la plateforme principale.
• Demander la carte d'identité « au cas où ». Le principe de minimisation de l'article 5.1.c) exige de ne collecter que ce qui est adéquat et limité au nécessaire.
• Conserver les images de vidéosurveillance plus d'un mois. L'article 22 de la LOPDGDD oblige à les supprimer dans ce délai, sauf si elles attestent d'actes illicites.

Pourquoi le RGPD est-il une opportunité et pas seulement une obligation ?

Le RGPD n'est pas seulement une obligation légale, c'est une opportunité de créer de la confiance avec vos participants. Gérer les données de façon transparente et responsable améliore votre réputation et réduit les risques. Investissez du temps pour mettre en place les bonnes bases et actualisez-les lorsque vos processus évoluent.

Et Futura Tickets, quelle partie de tout cela couvre-t-elle ?

Aucune plateforme ne vous rend automatiquement conforme : c'est vous qui êtes le responsable du traitement, et la plateforme n'est que sous-traitante. Ce qui change réellement selon le prestataire, c'est qui conserve les données. Futura Tickets est une plateforme SaaS espagnole de ticketing pour organisateurs professionnels. Avec Futura Tickets, la base de données des participants appartient à 100 % à l'organisateur : les e-mails et les téléphones sont restitués dans leur intégralité, dans le respect du RGPD. Cela compte le jour où un participant exerce son droit d'accès ou d'effacement : si vous ne pouvez ni exporter ni supprimer, vous ne pouvez pas y répondre dans le délai d'un mois fixé par l'article 12.3. Les conditions sont détaillées dans la section tarifs.

Que vérifier avant d'ouvrir la vente

Six vérifications, toutes à faire avant la vente du premier billet.

Rédigez le registre des activités avant le formulaire. L'article 30 du RGPD l'exige et, en plus, oblige à déterminer la base légale de chaque donnée. Si vous ne savez pas quelle base justifie un champ, ce champ est superflu.

Séparez les cases et conservez la preuve. Une pour l'achat, une autre pour le marketing, une autre pour les cessions. Et un enregistrement avec la date, l'heure et le texte affiché : l'article 7.1 vous rend responsable de la démonstration que le consentement a bien existé.

Signez le contrat de sous-traitance avec votre plateforme et demandez sa liste de sous-traitants ultérieurs. Avec le pays d'hébergement par écrit. S'il y a une destination hors EEE, les clauses types de la Décision 2021/914.

Décidez dès aujourd'hui qui traite une demande de droit d'accès. Vous avez un mois à compter de la demande. Une boîte e-mail sans responsable désigné est la façon la plus courante de manquer ce délai.

Préparez le protocole de violation avant l'événement. Qui détecte, qui évalue le risque, qui notifie et avec quelles données. Les 72 heures de l'article 33 courent aussi pendant un week-end de festival.

Vérifiez quelle technologie d'accès vous allez utiliser. Si quelqu'un propose l'empreinte digitale ou la reconnaissance faciale, la réponse courte est qu'il faut lever l'interdiction de l'article 9 et réaliser une AIPD préalable. Si un QR code nominatif suffit, utilisez le QR code.

Sources

Tous les liens ont été consultés le 11 octobre 2026. Ce guide est informatif et ne remplace pas un conseil juridique pour un cas particulier.

• Règlement (UE) 2016/679 (RGPD) — art. 4.11 et 7 (consentement), art. 5.1.c) (minimisation), art. 6.1 (bases légales), art. 9 (catégories particulières), art. 12.3 (délai de réponse), art. 15-22 (droits), art. 28 (sous-traitant), art. 30 (registre des activités), art. 33 et 34 (violations), art. 35 (analyse d'impact), art. 83.4 et 83.5 (amendes)
• Loi organique 3/2018, relative à la protection des données personnelles et à la garantie des droits numériques — art. 7 (mineurs de moins de quatorze ans) et art. 22 (vidéosurveillance)
• Loi 34/2002, sur les services de la société de l'information (LSSI-CE), art. 21
• Agence espagnole de protection des données
• AEPD : guide pour la gestion et la notification des violations de données (PDF)
• AEPD : l'Agence a reçu 2 765 notifications de violations de données personnelles en 2025 (communiqué de presse, 23 janvier 2026)
• AEPD : listes des types de traitements nécessitant une analyse d'impact, article 35.4 (PDF)
• AEPD : guide sur les traitements de contrôle de présence au moyen de systèmes biométriques, novembre 2023 (PDF)
• AEPD : communiqué de presse sur l'utilisation de données biométriques pour le contrôle de présence et d'accès
• AEPD : outil Comunica-Brecha RGPD
• Décision d'exécution (UE) 2021/914 de la Commission, clauses contractuelles types pour le transfert de données vers des pays tiers