In Francia, per vendere un biglietto non serve il consenso dell'acquirente: la base giuridica è il contratto. Hanno regole proprie, ed è lì che la CNIL multa, le cose che vengono dopo: l'email del prossimo concerto, la lista che chiede lo sponsor, il cookie della pagina di vendita e il tempo per cui conservi tutto questo.
Questa guida ripercorre ciò che la Commission nationale de l'informatique et des libertés (CNIL) si aspetta da un organizzatore, dal checkout fino alla cancellazione. Le citazioni sono in francese, con il rispettivo documento e la data. Tutte le fonti sono state consultate il 23 ottobre 2026.
Quali norme proteggono i dati dell'acquirente di biglietti in Francia?
Tre livelli. Il primo è il Regolamento (UE) 2016/679, il GDPR, lo stesso che vale in Italia. Il secondo è la loi n.º 78-17 du 6 janvier 1978, la loi Informatique et Libertés, che adatta il GDPR e recepisce la direttiva ePrivacy. Il terzo è il code des postes et des communications électroniques (CPCE), il cui articolo L34-5 regola la prospezione via email e SMS.
Il referencial della CNIL sulla gestione delle attività commerciali lo riassume nel punto 2: gli archivi di clienti e prospect sono soggetti al GDPR, alla legge del 1978 e a «des dispositions spécifiques relatives à la protection de la vie privée dans le secteur des communications électroniques». Questo referencial è il documento che questa guida usa di più. Non è vincolante: il testo stesso dice che «n'a pas de caractère contraignant». Ma è il riferimento della CNIL stessa, e chi se ne discosta deve poter dimostrare di rispettare comunque il GDPR.
I cookie seguono un'altra via. La pagina della CNIL sui cookie lo scrive chiaramente: «L'article 82 de la loi Informatique et Libertés transpose ces dispositions en droit français».
La CNIL non considera la biglietteria una questione secondaria. Nei suoi controlli prioritari del 2024, pubblicati l'8 febbraio 2024, ha annunciato che avrebbe esaminato il lato commerciale dei Giochi Olimpici, «notamment à la collecte de données opérée dans le cadre des services de billetterie». Quella stessa nota quantifica in 340 i controlli del 2023 e indica che i temi prioritari rappresentano in media il 30% del totale.
Se arrivi dal mercato spagnolo, il quadro comune lo trovi nella nostra guida ai dati dell'acquirente di biglietti e GDPR. Qui trovi ciò che cambia in Francia.
Serve il consenso dell'acquirente per vendergli il biglietto?
No. La tabella del punto 4 del referencial assegna la gestione degli ordini, la consegna e l'esecuzione del servizio alla base giuridica «Exécution du contrat». Lo stesso vale per i reclami e il servizio post-vendita. Emettere il biglietto, incassarlo e validarlo all'ingresso rientrano qui.
La sfumatura sta nei dati che chiedi. Il referencial cita il Comitato europeo per la protezione dei dati: il fatto che il contratto menzioni una raccolta concreta «ne suffit pas» a dimostrare che sia necessaria. La raccolta deve essere «indispensable pour fournir le service». Chiedere data di nascita, genere o CAP per vendere un biglietto generico non supera questo filtro, se non c'è un motivo legato all'evento.
Il caso della prevendita con carta
Nell'aprile 2026, UFC-Que Choisir ha pubblicato che il sorteggio per la prevendita dei concerti di Céline Dion a Parigi, gestito da AXS France, chiedeva numero di carta, data di scadenza e codice di sicurezza solo per iscriversi. Secondo la rivista, la CNIL ha risposto che quella raccolta «pourrait ne pas satisfaire au principe de minimisation». L'azienda ha sostenuto che servisse a frenare i bot. Non risultano sanzioni: è il parere che la CNIL ha dato alla rivista, non una decisione.
Il referencial va nella stessa direzione sul crittogramma, il codice a tre cifre. Il suo punto 7 dice che «doit être supprimé dès que le règlement de la prestation ou de l'achat est finalisé». Il numero della carta, invece, può essere conservato per acquisti successivi, alle condizioni della deliberazione n.º 2018-303 del 6 settembre 2018.
Un dettaglio che incide su come generi i biglietti: il punto 5 vieta che il codice interno che identifica il cliente sia «son numéro de carte bancaire, ni son numéro de sécurité sociale, ni encore celui de son titre d'identité». È una nostra lettura, non un testo della CNIL: l'identificativo di un QR o di un biglietto nominativo dovrebbe essere un codice proprio, mai uno di quei tre numeri.
Puoi inviare email di marketing a chi ha comprato un biglietto?
Sì, a certe condizioni. La regola generale la dà la CNIL nella sua scheda sulla prospezione, aggiornata il 10 giugno 2026: la pubblicità via email o SMS ai privati è possibile solo «à condition que les personnes aient donné leur consentement avant d'être démarchées». La casella non può essere preselezionata.
L'eccezione è quella del cliente. Non serve il consenso preventivo «si la prospection concerne les produits ou services similaires fournis par la même entreprise». La CNIL la delimita al ribasso: non vale «lorsqu'aucune vente ou prestation de service n'a été effectuée», e creare un account non basta. Chi si è registrato alla lista d'attesa e non ha comprato non è un cliente.
Per l'organizzatore la conseguenza è diretta. Chi ha comprato il biglietto per il festival del 2026 può ricevere l'annuncio dell'edizione 2027 senza consenso preventivo, purché abbia potuto opporsi quando ha fornito l'email e possa disiscriversi a ogni invio. La scheda richiede che ogni messaggio identifichi il mittente e permetta di rifiutare i successivi «par un moyen simple». Nel B2B la regola è più flessibile: con i professionisti basta il legittimo interesse, se il messaggio ha attinenza con la loro professione.
Per la parte operativa delle campagne, abbiamo una guida all'email marketing per eventi.
Sorteggi e concorsi: dove si è multato di più
Il 13 ottobre 2025, la CNIL ha annunciato 16 sanzioni in procedura semplificata, per un totale di 108.000 euro. Una riguardava un'azienda che acquisiva prospect con moduli di concorsi a premi. Il modulo metteva in evidenza la casella delle offerte commerciali e lasciava intendere che fosse l'unico modo per convalidare la partecipazione. Risultato: consenso non valido e «un manquement à l'article L. 34-5». Se sorteggi biglietti o pass backstage, la casella commerciale va separata, senza enfasi e senza condizionare il sorteggio.
E se lo sponsor vuole la tua lista?
È una trasmissione a un terzo con regole proprie, nel punto 6 del referencial. Se lo sponsor invierà email, ti serve il consenso dell'acquirente al momento della raccolta, con l'indicazione di chi riceverà i dati. La CNIL raccomanda un elenco esaustivo dei destinatari accessibile dal modulo, per esempio con un link. Ammette una sola casella per la cessione e l'uso successivo, «sous réserve de fournir une information préalable complète». Senza quel consenso, la prospezione dello sponsor è «illicite». La casella non può mai essere preselezionata.
Per le telefonate, il punto 9 aggiunge un altro obbligo: escludere chi è iscritto a Bloctel, la lista di opposizione degli articoli L223-1 e seguenti del code de la consommation.
Per quanto tempo puoi conservare i dati dell'acquirente?
Dipende dall'uso che ne fai. Il referencial non fissa un termine unico: lo lega a ciascuna finalità. Questi sono i termini proposti dalla CNIL che si applicano a una vendita di biglietti:
| Dato | Termine proposto dalla CNIL | A partire da | Fonte |
|---|---|---|---|
| Ordine, consegna del biglietto e reclami | Durata del rapporto contrattuale | Acquisto | Referencial, punto 4 |
| Contabilità e fatture | Termine di legge, per esempio 10 anni, in archivio intermedio | Fine del contratto | Referencial, punto 4 |
| Copia di un documento d'identità, se serve come prova | Massimo 6 anni | Raccolta | Referencial, punto 5 |
| Crittogramma della carta | Si cancella alla chiusura del pagamento | Pagamento | Referencial, punti 5 e 7 |
| Cliente usato per la prospezione | 3 anni | Fine del rapporto commerciale o ultimo contatto del cliente | Referencial, punto 7 |
| Prospect che non ha comprato | 3 anni | Raccolta o ultimo contatto del prospect | Referencial, punto 7 |
| Account online inattivo | 2 anni, termine che la CNIL ritiene proporzionato | Inizio dell'inattività | Referencial, punto 7 |
| Scelta sui cookie, accettata o rifiutata | 6 mesi come buona pratica | Scelta dell'utente | Raccomandazione 2020-092, punto 39 |
Che cosa conta come contatto è definito. Il referencial porta come esempio una richiesta di documentazione o un clic su un link dell'email. Invece, «la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect».
Un esempio con le date, calcolato da noi su questa regola. Un partecipante compra il 3 marzo 2026 per un festival di luglio. Se non interagisce più, il suo dato di prospezione scade il 3 marzo 2029. Se il 1° settembre 2026 clicca sulla newsletter, il termine riparte: 1° settembre 2029. Se si limita ad aprire le email, il termine non si sposta.
Allo scadere dei tre anni, la CNIL consente di ricontattare una volta per chiedere se si desidera continuare a ricevere offerte. Senza una risposta positiva ed esplicita, si deve cancellare o archiviare.
Che cosa richiede la CNIL ai cookie della tua pagina di vendita?
Consenso preventivo per tutto ciò che non è strettamente necessario, con un rifiuto facile quanto l'accettazione. La raccomandazione della CNIL, adottata con la deliberazione n.º 2020-092 del 17 settembre 2020, lo formula così al punto 30: il titolare deve consentire «tant la possibilité d'accepter que de refuser» con «le même degré de simplicité».
Il punto 32 offre la soluzione che la CNIL considera valida: due pulsanti al primo livello, «au même niveau et sur le même format», del tipo «tout accepter» e «tout refuser». Il punto 31 spiega perché un banner con un clic per accettare e più clic per rifiutare è un problema: presenta «le risque de biaiser le choix de l'utilisateur».
Su quanto tempo ricordare la scelta, il punto 39 è concreto: conservare il consenso e il rifiuto «pendant une durée de 6 mois constitue une bonne pratique». La raccomandazione si basa sulle linee guida 5/2020 del Comitato europeo per la protezione dei dati sul consenso, adottate il 4 maggio 2020. Il loro punto 3 chiarisce che non sono prescrittive: altre soluzioni valgono se il consenso è conforme.
Su una pagina di vendita di biglietti, il rischio più comune sono i pixel pubblicitari che si caricano prima del banner. Se il pixel di un social network si attiva all'apertura della pagina dell'evento, la scelta dell'utente arriva tardi. Secondo la CNIL, i tracker di misurazione dell'audience possono essere esenti «dès lors qu'ils respectent certaines conditions»; quelli di pubblicità personalizzata, no.
Che cosa cambia con i minori e con i dati biometrici?
Due limiti che in un evento emergono presto: il pubblico adolescente e il riconoscimento facciale all'accesso.
Minori di 15 anni
Il GDPR lascia l'età allo Stato. Il suo articolo 8.1 fissa 16 anni, e gli Stati membri possono abbassarla, «siempre que esta no sea inferior a 13 años» (purché non sia inferiore a 13 anni). La Francia ha scelto 15. La raccomandazione 4 della CNIL, del 9 giugno 2021, spiega l'articolo 45 della loi Informatique et Libertés: nei servizi online basati sul consenso, i titolari della responsabilità genitoriale «doivent donner leur accord conjointement avec celui de leur enfant» se questi ha meno di 15 anni.
Questo riguarda ciò che dipende dal consenso, come la newsletter o i cookie pubblicitari. L'acquisto si fonda sul contratto, e la CNIL ricorda che in questo caso il contratto può essere concluso dal minore o, al suo posto, dai titolari della responsabilità genitoriale. Per un concerto con pubblico dai 13 ai 15 anni, la casella commerciale richiede un percorso di consenso genitoriale oppure non deve essere offerta a quella fascia.
Riconoscimento facciale all'accesso
La CNIL ha già detto no a un club. Il 18 febbraio 2021 ha ammonito un club sportivo che sperimentava un sistema di riconoscimento facciale per identificare le persone con divieto commerciale di accesso allo stadio. Il sistema «reposait sur le traitement de données biométriques», dati sensibili la cui raccolta e il cui uso, secondo la CNIL, sono vietati salvo eccezioni. Senza una legge o un regolamento che lo autorizzi, manca la base giuridica. La CNIL ha avvertito che, se il club lo avesse messo in funzione, si sarebbe esposto a misure correttive, multa compresa.
Per un controllo accessi in Francia, la via sicura è il biglietto con QR o il braccialetto, che identificano il titolo di accesso e non il volto. Le regole su capienza e perquisizioni nei locali francesi sono nella nostra guida a capienza e sicurezza negli eventi in Francia.
Quanto può multare la CNIL e che cosa fai in caso di violazione?
Le sanzioni hanno due scale. Quella del GDPR, all'articolo 83.5, arriva a «20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global» (20 000 000 EUR al massimo o, per un'impresa, un importo pari al 4 % al massimo del fatturato totale annuo mondiale), «optándose por la de mayor cuantía» (optando per il importo più elevato). L'articolo 83.4 fissa un gradino inferiore di 10 milioni o il 2%. Venti milioni sono il 4% di 500 milioni di euro: sotto questo fatturato, il tetto che vale è la cifra fissa. Il calcolo è nostro.
La scala più piccola è quella che riguarda la maggior parte degli organizzatori. La procedura sanzionatoria semplificata, dell'articolo 22-1 della loi Informatique et Libertés, consente un richiamo, un'ingiunzione di conformità con penalità di mora o una multa:
| Misura | Impresa con fatturato inferiore a 50 M€ | Impresa con fatturato superiore a 50 M€ |
|---|---|---|
| Multa amministrativa massima | 20.000 € | 100.000 € |
| Penalità di mora per giorno di ritardo | 100 € | 500 € |
Le 16 sanzioni semplificate annunciate nell'ottobre 2025 hanno totalizzato 108.000 euro: 6.750 euro di media per sanzione, secondo una nostra divisione. La procedura ordinaria arriva più in alto. Il 15 maggio 2025, la CNIL ha multato Solocal Marketing Services per 900.000 euro per l'invio di email e SMS a prospect senza consenso valido. L'azienda non ha potuto provare quel consenso, come richiede l'articolo 7 del GDPR. Inoltre, la CNIL le ha imposto una penalità di mora di 10.000 euro al giorno se non si fosse messa in regola entro nove mesi.
La violazione: 72 ore
Se qualcuno accede alla tua base di acquirenti, l'articolo 33.1 del GDPR obbliga a notificare all'autorità «a más tardar 72 horas después de que haya tenido constancia de ella» (entro 72 ore dal momento in cui ne è venuto a conoscenza). La pagina di notifica della CNIL precisa che si fa tramite il suo teleservizio. Se il termine è scaduto, bisogna spiegare «les motifs du retard». E in caso di rischio elevato, «vous devez également notifier les personnes concernées».
Le richieste di accesso o di cancellazione hanno un orologio proprio. L'articolo 12.3 del GDPR concede un mese dal ricevimento, prorogabile di altri due «en caso necesario» (se necessario). La CNIL raccomanda, nel punto 9 del referencial, un'email dedicata o i recapiti del responsabile della protezione dei dati per gestirle.
E Futura Tickets, quale parte di tutto questo copre?
Futura Tickets è una piattaforma SaaS spagnola di ticketing per organizzatori professionali, e vende in 9 lingue e su 11 domini nazionali, Francia compresa. Con Futura Tickets il database dei partecipanti è al 100% dell'organizzatore: email e telefoni vengono consegnati integralmente, nel rispetto del GDPR. Questo ha una conseguenza legale che conviene avere chiara: se i dati degli acquirenti sono tuoi, sei tu il titolare del trattamento davanti alla CNIL. Sei tu a decidere la casella commerciale, i tempi di cancellazione e a quale sponsor cedi la lista. Con qualsiasi piattaforma, chiedi il contratto di responsabile del trattamento dell'articolo 28 del GDPR, che secondo l'articolo 28.3 si regge «por un contrato u otro acto jurídico» (su un contratto o altro atto giuridico). Verifica anche quali cookie carica la pagina di vendita prima del banner.
Checklist prima di aprire la vendita in Francia
Sette controlli che puoi fare questa settimana.
Rivedi il modulo di acquisto campo per campo. Per ogni dato, annota a cosa serve nella consegna dell'evento. Ciò che non è indispensabile per il contratto esce dal modulo o diventa facoltativo, con la sua finalità spiegata.
Separa la casella commerciale e lasciala deselezionata. Una per le tue offerte, un'altra per ogni cessione a terzi. Se sorteggi biglietti, la partecipazione non deve dipendere dall'accettare la pubblicità.
Usa l'eccezione del cliente solo con i clienti. Chi si è iscritto alla lista d'attesa e non ha comprato ha bisogno del consenso preventivo. Ogni invio contiene una disiscrizione in un clic.
Programma la cancellazione. Tre anni dall'ultimo contatto reale per la prospezione, senza contare le aperture delle email. Crittogramma eliminato non appena si chiude il pagamento. Due anni per gli account inattivi, con preavviso.
Metti «tout refuser» accanto a «tout accepter». Stesso livello, stesso formato. Nessun pixel pubblicitario prima della scelta. Ricorda la scelta per sei mesi.
Decidi che cosa fare con i minori di 15 anni. La newsletter e i cookie pubblicitari richiedono il consenso congiunto dei genitori. Se non puoi raccoglierlo, non offrirli.
Metti per iscritto il piano per le violazioni. Chi rileva, chi decide e chi notifica alla CNIL entro 72 ore. Chiedi alla tua piattaforma il contratto dell'articolo 28 e il suo impegno a un avviso immediato.
Conclusione
La Francia applica lo stesso GDPR dell'Italia, ma la CNIL ha fissato termini e formati concreti dove il regolamento parla in generale: tre anni per un prospect, sei mesi per la scelta sui cookie, due pulsanti uguali nel banner. Inoltre, persegue la prospezione senza consenso con sanzioni che, nella procedura semplificata, si aggirano in media sui 6.750 euro. Per gli altri adempimenti di un tour o di un festival in Francia, parti da vendere biglietti in Francia: récépissé, IVA e taxe CNM. Per un confronto con il modello britannico, c'è la guida ai dati dell'acquirente nel Regno Unito.
Fonti
- Reglamento (UE) 2016/679, RGPD, artículos 8, 12, 28, 33 y 83 (DOUE L 119, en BOE)
- Référentiel relatif aux traitements de données mis en œuvre aux fins de gestion des activités commerciales (CNIL, PDF)
- La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel, 10 giugno 2026 (CNIL)
- Délibération n° 2020-092 du 17 septembre 2020, recommandation «cookies et autres traceurs» (CNIL, PDF)
- Cookies et autres traceurs: que dit la loi ?, 29 settembre 2020 (CNIL)
- Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 (Comité Europeo de Protección de Datos)
- Recommandation 4: rechercher le consentement d'un parent pour les mineurs de moins de 15 ans, 9 giugno 2021 (CNIL)
- Reconnaissance faciale et interdiction commerciale de stade: la CNIL adresse un avertissement à un club sportif, 18 febbraio 2021 (CNIL)
- Les contrôles de la CNIL en 2024: données des mineurs, Jeux olympiques, droit d'accès et tickets de caisse, 8 febbraio 2024 (CNIL)
- La procédure de sanction simplifiée (CNIL)
- La CNIL prononce 16 nouvelles sanctions dans le cadre de la procédure simplifiée, 13 ottobre 2025 (CNIL)
- Courtiers en données: sanction de 900 000 euros à l'encontre de la société Solocal Marketing Services (CNIL)
- Notifier une violation de données personnelles (CNIL)
- Conciertos de Céline Dion y datos personales en la preventa de AXS France, 10 aprile 2026 (UFC-Que Choisir)