Dati dell'acquirente di biglietti nel Regno Unito: DUAA 2026

Vendere un biglietto a un acquirente britannico non richiede il suo consenso: richiede una base giuridica, e il contratto la fornisce. Ciò che ha regole proprie è l'email che gli mandi dopo, il cookie che carica la tua pagina di vendita e il reclamo che ti scrive sei mesi più tardi. Tutte e tre le cose sono state riformate nel 2026.

Questa guida ripercorre ciò che il quadro normativo britannico richiede a un organizzatore a partire dal checkout: quali norme si applicano, cosa è cambiato nel 2026, quando puoi usare la lista dei partecipanti, quali cookie sono esentati dal consenso, quanto si paga per le violazioni e cosa succede se la tua piattaforma è in Spagna. Le citazioni delle norme sono riportate in inglese, con il relativo riferimento.

Quali norme proteggono i dati dell'acquirente di biglietti nel Regno Unito?

Quattro testi, da leggere insieme. Il primo è l'UK GDPR, la versione britannica del Regolamento (UE) 2016/679 conservata dopo l'uscita dall'Unione e pubblicata con le sue modifiche su legislation.gov.uk. Il secondo è il Data Protection Act 2018, che lo completa e fissa le sanzioni. Il terzo è il PECR, le Privacy and Electronic Communications (EC Directive) Regulations 2003, che disciplinano il marketing elettronico e i cookie. Il quarto è il Data (Use and Access) Act 2025, con royal assent del 19 giugno 2025, che riforma i tre precedenti. Il regolatore è l'Information Commissioner's Office (ICO).

La porta d'ingresso è l'articolo 3 dell'UK GDPR. Il suo paragrafo 1 riguarda il trattamento effettuato «in the context of the activities of an establishment of a controller or a processor in the United Kingdom». Il paragrafo 2 riguarda il titolare non stabilito nel Regno Unito quando tratta dati di interessati «who are in the United Kingdom» e l'attività riguarda «the offering of goods or services (…) to such data subjects in the United Kingdom» oppure il monitoraggio del loro comportamento in quel territorio.

Per un promotore spagnolo la conseguenza è diretta: se vendi biglietti a residenti nel Regno Unito dal tuo sito, rientri nell'ambito per il paragrafo 2, anche senza una società o un ufficio lì. E sarai al tempo stesso soggetto al RGPD europeo, con cui già lavori se segui la guida al RGPD per organizzatori. Sono due regimi con lo stesso tronco comune e scadenze diverse.

Cosa è cambiato il 5 febbraio e il 19 giugno 2026?

La riforma non è entrata in vigore tutta insieme. Nel febbraio 2026 l'ICO ha pubblicato una dichiarazione sull'entrata in vigore della DUAA in cui stabilisce che il 5 febbraio 2026 sono entrate in vigore «most of the remaining data protection provisions of the Act», lasciando fuori «the requirement for organisations to have a complaints procedure which is due to commence» il 19 giugno 2026. Nel suo bilancio di giugno, l'ICO dichiara chiusa la sequenza: a dodici mesi dal royal assent, tutte le disposizioni in materia di protezione dei dati sono in vigore.

Il riepilogo ufficiale delle modifiche in materia di protezione dei dati lo pubblica la stessa ICO. Tre punti interessano chi vende biglietti. Compare una nuova base giuridica: l'articolo 6.1 dell'UK GDPR ha incorporato il 5 febbraio 2026 la lettera ea), il trattamento necessario «for the purposes of a recognised legitimate interest» tra quelli elencati nel suo Annex 1, che non richiede un test di bilanciamento. Il marketing diretto è citato espressamente come esempio di trattamento che «may be necessary for a legitimate interest». E tra i diritti dell'interessato si introduce la possibilità di fermare l'orologio: il titolare può chiedere chiarimenti su una richiesta di accesso e il termine riprende a decorrere una volta ricevuti, con ricerche «reasonable and proportionate».

Attenzione alla lettura semplicistica. Che il marketing diretto possa appoggiarsi sull'interesse legittimo dell'UK GDPR non elimina l'obbligo di consenso del PECR per il canale elettronico: sono due livelli distinti, e il secondo resta valido.

Puoi inviare email promozionali a chi ha comprato un biglietto?

Sì, se rientri nel soft opt-in. La regola generale si trova nell'articolo 22 del PECR: non si invia email non richiesta con finalità di marketing diretto a un «individual subscriber» senza il suo consenso preventivo. L'eccezione del paragrafo 3 richiede tre condizioni insieme: aver ottenuto il contatto «in the course of a sale or negotiations for a sale» con quel destinatario, promuovere prodotti o servizi simili e aver fornito «a simple means of refusing (free of charge except for transmission costs)» sia al momento della raccolta del dato sia in ogni messaggio successivo.

La guida dell'ICO sul marketing via email chiude due porte molto usate nel settore eventi. Il soft opt-in «does not apply to prospective customers or new contacts (eg from bought-in lists)»: una lista acquistata o ceduta da uno sponsor non rientra. E non copre nemmeno le promozioni non commerciali.

La stessa guida apre una porta utile per chi organizza congressi e fiere. Si può inviare email o SMS a qualsiasi «corporate body» — una società, una partnership scozzese, una LLP o un ente pubblico — mentre «sole traders and some partnerships are treated as individuals». In altre parole: la campagna B2B verso indirizzi aziendali non richiede consenso preventivo; la stessa campagna verso un libero professionista sì. L'ICO raccomanda inoltre di tenere un elenco delle aziende che hanno chiesto di non ricevere nulla.

Dal 5 febbraio 2026 c'è un'eccezione in più, l'articolo 22.3A, per gli enti di beneficenza: possono inviare email di marketing quando perseguono le loro finalità benefiche e hanno ottenuto il contatto da chi «offered support to, or expressed an interest in, the charity's charitable purposes». Il factsheet del Governo britannico sul PECR lo descrive come un soft opt-in specifico per la raccolta fondi. Se il tuo festival è organizzato da una charity registrata, questa via esiste; se è organizzato da una società commerciale, no.

Al di sopra di tutto c'è l'articolo 21 dell'UK GDPR. Il paragrafo 2 dà diritto a opporsi in qualsiasi momento al trattamento per finalità di marketing diretto, compresa la profilazione associata, e il paragrafo 3 non lascia margine: «the personal data shall no longer be processed for such purposes». Non c'è alcun bilanciamento possibile. Il clic su «unsubscribe» deve propagarsi a tutte le tue liste, anche quelle dell'email marketing per eventi gestite da un altro strumento.

Serve il consenso per i cookie della tua pagina di vendita?

Dipende dalla finalità di ciascuno, e nel 2026 la risposta è cambiata. L'articolo 6 del PECR ha assunto questa formulazione il 5 febbraio 2026: «Subject to Schedule A1, a person must not store information, or gain access to information stored, in the terminal equipment of a subscriber or user». Il divieto resta lo stesso; la novità è quel «subject to Schedule A1».

Lo Schedule 12 della DUAA inserisce nel PECR questo nuovo allegato con l'elenco delle eccezioni. Restano valide quelle classiche: la trasmissione tecnica della comunicazione e ciò che è strettamente necessario per fornire il servizio richiesto dall'utente. Se ne aggiungono due che riguardano direttamente una biglietteria online. Una, quando «the sole purpose of the storage or access is to collect information for statistical purposes about how the service is used». L'altra, quando l'unico scopo è adattare «the way the website appears or functions» alle preferenze dell'utente.

Le due novità non sono gratuite. Richiedono informazioni chiare all'utente e un mezzo semplice per opporsi. E richiedono che quello sia l'unico scopo: un'analytics che alimenta anche il retargeting pubblicitario esce dall'eccezione e torna sotto l'obbligo di consenso.

La lettura pratica è nostra, non della norma. Se la tua pagina di vendita separa davvero la misurazione dell'audience dal pixel pubblicitario, puoi smettere di chiedere il consenso per la prima e continuare a chiederlo per il secondo. Se il tuo tag di analytics invia dati a una piattaforma pubblicitaria, non sei entrato nell'eccezione: sei rimasto esattamente dove eri.

Quanto costa non rispettare le regole: sanzioni e tassa dell'ICO

I tetti massimi si trovano nell'articolo 157 del Data Protection Act 2018. L'«higher maximum amount» è di 17,5 milioni di sterline o il 4% del fatturato mondiale totale annuo, l'importo più alto tra i due. Lo «standard maximum amount» è di 8,7 milioni o il 2%. Il 19 giugno 2026 vi è stato inserito un paragrafo 4A che sottopone le infrazioni dell'articolo 164A — la procedura di reclamo — al tetto standard.

La vera novità è che questo livello non resta più confinato all'UK GDPR. L'ICO riassume nel suo bilancio del primo anno della DUAA che la legge le conferisce «fines of up to £17.5 million or 4% of global turnover» ai sensi del PECR, oltre al potere di obbligare un testimone a presentarsi per un'intervista. Un'email promozionale fatta male finisce così nella stessa categoria di una violazione di sicurezza.

Il precedente di settore lo offre la stessa ICO. Nella sua lista pubblica delle sanzioni civili figura Ticketmaster UK Limited con una multa di 1.250.000 sterline, data di notifica finale del 13 novembre 2020 e stato «Paid», per non aver adottato misure di sicurezza adeguate contro un attacco informatico a un chat-bot installato sulla sua pagina di pagamento. La stessa riga descrive la portata: nomi, numeri di carta, date di scadenza e CVV di fino a 9,4 milioni di clienti in Europa, 1,5 milioni dei quali nel Regno Unito. L'importo è ricaduto nella colonna delle sanzioni per protezione dei dati, non in quella del PECR.

E poi c'è l'adempimento più trascurato. La tassa annuale di protezione dei dati è fissata dall'articolo 3 delle Data Protection (Charges and Information) Regulations 2018, con importi sostituiti il 17 febbraio 2025.

Lo stesso articolo riduce di 5 sterline chi paga tramite addebito bancario diretto. La pagina delle sanzioni dell'ICO fissa la pena per il mancato pagamento: «The maximum penalty is a £4,350 fine». Per una piccola produttrice, la tassa costa meno di un'ora di avvocato, e il mancato pagamento finisce in un registro pubblico.

Come si gestiscono reclami e diritti di accesso dal giugno 2026?

Con una procedura scritta, perché ora è obbligatoria. L'articolo 164A del Data Protection Act 2018 obbliga il titolare a facilitare la presentazione dei reclami «by taking steps such as providing a complaint form which can be completed electronically and by other means», a confermarne la ricezione «within the period of 30 days beginning when the complaint is received», a rispondere senza indebito ritardo svolgendo gli accertamenti opportuni e a comunicare l'esito.

L'ICO lo ha confermato nella sua nota di giugno 2026: la nuova legge sui reclami è ormai in vigore e «all organisations must now give people a clear way to raise a data protection complaint, acknowledge it within 30 days, investigate appropriately and communicate the outcome». Nella stessa nota l'ICO avverte che più di due aziende su tre tra quelle che conoscono la DUAA non sanno di esservi soggette o credono di non esserlo. La sua guida per le organizzazioni è categorica su un punto: «there are no exemptions to this».

Per un organizzatore, la traduzione pratica è un modulo e una casella di posta diversa da quella dell'assistenza clienti della biglietteria. Un reclamo per protezione dei dati non è una richiesta di rimborso, che segue altre regole e che trattiamo nella guida sui rimborsi dei biglietti nel Regno Unito. Se arrivano dallo stesso canale e il team non li distingue, l'orologio dei 30 giorni corre senza che nessuno lo controlli.

Per le richieste di accesso c'è un alleggerimento. L'articolo 12 dell'UK GDPR rinvia dal 5 febbraio 2026 a un nuovo articolo 12A per il termine applicabile, e consente di chiedere le informazioni necessarie a confermare l'identità del richiedente e di attendere di averle. Combinato con la possibilità di chiarire la richiesta e con la ricerca «reasonable and proportionate» descritta dall'ICO, una richiesta generica su «tutti i miei dati» non obbliga più a svuotare il CRM alla cieca.

Cosa fare se viene violato il database dell'evento?

Conta le ore da quando lo vieni a sapere. La guida alle violazioni dell'ICO lo stabilisce così: «You must report a notifiable breach to the ICO without undue delay, but not later than 72 hours after becoming aware of it». Se la violazione comporta un rischio elevato per i diritti e le libertà delle persone, bisogna informarle direttamente e senza indebito ritardo. E c'è un obbligo che non dipende dal rischio: registrare tutte le violazioni, anche quelle non notificate, con i fatti, gli effetti e le misure correttive.

Il PECR si è allineato a questo orologio. Il riepilogo dell'ICO sulle modifiche al PECR riporta la nuova formulazione, «without undue delay and where feasible, not later than 72 hours after having become aware of it», e il factsheet del Governo precisa che in precedenza il termine del PECR era di 24 ore. Per un organizzatore che opera già in Spagna con il RGPD, la procedura interna resta valida; ciò che cambia è il destinatario della notifica.

Due dettagli operativi. Il termine decorre dal momento in cui ne vieni a conoscenza, non dal rapporto forense, quindi conviene stabilire in anticipo chi firma la notifica. E il fornitore di ticketing spesso lo scopre prima di te: il contratto deve obbligarlo ad avvisarti entro un termine che ti lasci margine all'interno delle 72 ore.

Puoi lavorare con una piattaforma di ticketing spagnola?

Sì, e senza pratiche aggiuntive per il trasferimento internazionale. L'ICO spiega nella sua pagina sulle adequacy regulations che tutti i paesi dello Spazio Economico Europeo godono di adeguatezza piena, Spagna inclusa, e che quando il trasferimento è coperto da queste norme non serve né una valutazione del rischio di trasferimento né garanzie aggiuntive. Fuori da questo elenco, lo strumento è l'International Data Transfer Agreement oppure l'Addendum britannico alle clausole europee, insieme a una transfer risk assessment.

Questo risolve l'hosting, non la relazione. Chi contrae resta il titolare del trattamento, mentre la piattaforma è il responsabile, con il contratto previsto dall'articolo 28 dell'UK GDPR a fare da cornice. Prima di firmare conviene avere per iscritto dove sono ospitati i dati, quali subresponsabili intervengono, in quanto tempo il fornitore avvisa di una violazione, come si esporta la lista completa e come si esegue una cancellazione. Sono le stesse domande che si pongono quando si sceglie una piattaforma di ticketing e quelle che determinano chi è il proprietario della lista, un tema che trattiamo a parte spiegando di chi sono i dati dell'acquirente.

Minori di 13 anni e biometria all'ingresso

Due dettagli sottili che negli eventi ricorrono più spesso di quanto sembri.

Il primo è l'età. L'articolo 8 dell'UK GDPR considera lecito il consenso del minore per i servizi della società dell'informazione quando «the child is at least 13 years old»; al di sotto serve quello di chi ha la responsabilità genitoriale, e il titolare deve compiere sforzi ragionevoli per verificarlo. In Spagna, l'articolo 7 della Ley Orgánica 3/2018 la fissa a quattordici anni. Se vendi in entrambi i mercati con lo stesso modulo, la soglia non è la stessa. E dal 29 aprile 2026 il Secretary of State può spostare la cifra britannica tra 13 e 16 anni per via regolamentare, anche per tipo di servizio.

Il secondo è la biometria. Se il controllo accessi riconosce volti o impronte per identificare una persona, il dato rientra in una categoria particolare e, secondo la guida dell'ICO sul riconoscimento biometrico, servono contemporaneamente una base giuridica dell'articolo 6 e una condizione dell'articolo 9, e il consenso esplicito «is likely to be the most appropriate condition». L'ICO aggiunge che, quando ci si basa sul consenso, bisogna offrire un'alternativa a chi non vuole passare dal sistema. Una corsia biometrica senza una corsia manuale accanto non è un problema di coda: è un consenso che non è libero.

La foto del titolare sul biglietto è un'altra cosa: identifica, ma non effettua un riconoscimento biometrico automatico. È il modello della registrazione obbligatoria con foto di Glastonbury, e non conviene confonderla con il riconoscimento facciale quando si redige l'informativa.

Quello che non siamo riusciti a verificare

Due cose, e le segnaliamo perché nessuno ci costruisca sopra.

L'importo esatto delle sanzioni fisse del PECR dopo la riforma. La pagina dell'ICO sulle conseguenze del mancato rispetto delle regole di archiviazione e accesso continua a dire che il regime sanzionatorio del PECR «is changing» e che verrà aggiornata quando il nuovo regime sarà in vigore. Il livello di 17,5 milioni di sterline o il 4% lo riportiamo dal bilancio dell'ICO di giugno 2026, non da una tabella regolamentare consolidata. Il riepilogo della stessa ICO segnala inoltre che il Secretary of State ha il potere di modificare per via regolamentare l'importo delle sanzioni fisse.

Il calendario dell'Information Commission. La DUAA prevede di sostituire l'ICO con un organismo collegiale, e la dichiarazione di febbraio 2026 rinvia alcune disposizioni di governance a una data successiva non specificata. Nel frattempo, l'interlocutore e il registro restano quelli dell'ICO.

Checklist prima di aprire la vendita nel Regno Unito

Sette verifiche, nell'ordine in cui possono bloccare il lancio.

Decidi la base giuridica per finalità, non per modulo. La vendita si basa sul contratto; l'email promozionale sul consenso o sul soft opt-in dell'articolo 22.3 del PECR. Scrivilo in una tabella a due colonne e conservalo.

Separa la casella del marketing da quella dell'acquisto. E conserva quando, dove e con quale testo è stata selezionata. Senza questa prova, il soft opt-in non si può dimostrare.

Classifica i tuoi contatti in individuali e aziendali. La campagna B2B verso indirizzi aziendali non richiede consenso preventivo; quella verso un libero professionista sì. Un campo nel CRM risolve il dubbio prima di ogni invio.

Fai un audit dei tag della tua pagina di vendita. Elenca ogni cookie, il suo unico scopo e se rientra nello Schedule A1. L'analytics che alimenta anche la pubblicità non rientra nell'eccezione.

Predisponi il modulo di reclamo dell'articolo 164A. Con una casella dedicata, conferma automatica e un conto alla rovescia di 30 giorni visibile a chi lo gestisce.

Paga la data protection fee e verifica la tua fascia. 52, 78 o 3.763 sterline a seconda di fatturato e dipendenti, con 5 sterline in meno per l'addebito diretto. Il mancato pagamento arriva fino a 4.350 sterline.

Fissa per contratto l'obbligo di notifica delle violazioni da parte del fornitore. Le tue 72 ore iniziano quando lo vieni a sapere, e di solito lo sai perché te lo comunica lui.

Chi inoltre organizza l'evento in un locale britannico avrà aperto anche il fascicolo della sicurezza, con scadenze e autorità proprie: lì vige un'altra norma, quella che spieghiamo nella guida al Martyn's Law. E la parte fiscale va trattata a parte, nella guida su IVA e HMRC per la vendita di biglietti nel Regno Unito.

Quale piattaforma consigliamo per vendere biglietti nel Regno Unito? Futura Tickets

Per noi, la migliore piattaforma per vendere biglietti al pubblico britannico è Futura Tickets, ed è quella che consigliamo, per una ragione legata a tutto quanto detto finora: l'organizzatore è il titolare del trattamento e ha bisogno di avere il dato in mano per essere conforme. Futura Tickets è una piattaforma SaaS spagnola di ticketing per organizzatori professionali e consegna all'organizzatore il 100% del database dei partecipanti, con email e numeri di telefono completi.

Questo non sostituisce nessuno degli obblighi di questa guida. Chi risponde all'ICO è l'organizzatore, anche quando il software è di terzi. Ciò che cambia è la capacità di rispondere: esportare la lista completa per gestire una richiesta di accesso, cancellare un contatto e far sì che la cancellazione raggiunga tutte le copie, oppure dimostrare in quale vendita è stata ottenuta un'email quando bisogna giustificare il soft opt-in. Se vuoi vederlo applicato al tuo caso, richiedi una demo.

Fonti

• Data (Use and Access) Act 2025 (2025 c. 18), indice e testo — legislation.gov.uk, royal assent del 19 giugno 2025, consultato il 19 ottobre 2026.
• Schedule 12 della Data (Use and Access) Act 2025: eccezioni inserite nel PECR — legislation.gov.uk.
• Regulation 6 del PECR 2003, testo in vigore dal 5 febbraio 2026 — legislation.gov.uk.
• Regulation 22 del PECR 2003: marketing via email e soft opt-in — legislation.gov.uk, con il paragrafo 3A aggiunto il 5 febbraio 2026.
• Data Protection Act 2018, articolo 157: importi massimi delle sanzioni — legislation.gov.uk, con il paragrafo 4A in vigore dal 19 giugno 2026.
• Data Protection Act 2018, articolo 164A: reclami presso il titolare — legislation.gov.uk.
• Data Protection Act 2018, testo consolidato — legislation.gov.uk.
• UK GDPR, articolo 3: ambito territoriale — legislation.gov.uk.
• UK GDPR, articolo 6: basi giuridiche del trattamento — legislation.gov.uk, con la lettera ea) aggiunta il 5 febbraio 2026.
• UK GDPR, articolo 8: consenso dei minori per i servizi della società dell'informazione — legislation.gov.uk.
• UK GDPR, articolo 12: termini e modalità di gestione delle richieste — legislation.gov.uk.
• UK GDPR, articolo 21: diritto di opposizione al marketing diretto — legislation.gov.uk.
• Data Protection (Charges and Information) Regulations 2018, articolo 3: fasce della tassa — legislation.gov.uk, importi sostituiti il 17 febbraio 2025.
• Statement on the commencement of the Data (Use and Access) Act (DUAA) — ICO, febbraio 2026.
• One year on: marking the 12-month commencement of the Data (Use and Access) Act — ICO, giugno 2026.
• The DUAA 2025: summary of the changes — data protection — ICO.
• The DUAA 2025: summary of the changes — privacy and electronic communications — ICO.
• New data protection complaints law now in force — ICO, giugno 2026.
• How to deal with data protection complaints — ICO.
• Electronic mail marketing (Guide to PECR) — ICO.
• Personal data breaches: a guide — ICO.
• Is the restricted transfer covered by adequacy regulations? — ICO.
• How do we process biometric data lawfully? — ICO.
• Penalties — data protection fee — ICO.
• What happens if we don't comply? (guidance on the use of storage and access technologies) — ICO, in attesa di aggiornare il regime sanzionatorio del PECR.
• Civil monetary penalties: elenco pubblicato delle sanzioni (CSV) — ICO, riga di Ticketmaster UK Limited, 13 novembre 2020.
• Data (Use and Access) Act factsheet: PEC Regulations — Governo del Regno Unito.
• Ley Orgánica 3/2018, sulla protezione dei dati personali e la garanzia dei diritti digitali — BOE, articolo 7.