Come rispettare il GDPR organizzando eventi?

Il Regolamento (UE) 2016/679 (GDPR) riguarda direttamente qualsiasi organizzatore che raccolga dati dei partecipanti. Email, nomi, numeri di telefono, preferenze d'acquisto... tutto questo sono dati personali che devono essere trattati in conformità alla normativa. In Spagna la normativa è completata dalla Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD, legge organica spagnola sulla protezione dei dati personali). L'articolo 83.5 del GDPR fissa la fascia alta delle sanzioni in 20 milioni di euro o il 4% del fatturato totale annuo globale, l'importo più elevato tra i due; l'articolo 83.4 fissa una fascia inferiore di 10 milioni o il 2%. Questa guida ti spiega l'essenziale.

Il rischio non è teorico. L'Agencia Española de Protección de Datos (AEPD, l'autorità spagnola di controllo) ha comunicato il 23 gennaio 2026 di aver ricevuto 2.765 notifiche di violazioni di dati personali nel 2025, l'80% delle quali nel settore privato. Sono 7,6 notifiche al giorno (calcolo nostro sul dato dell'AEPD). Un organizzatore con un database di acquirenti si trova in questo stesso scenario.

Quali dati raccogli come organizzatore di eventi?

Come organizzatore di eventi, raccogli più dati di quanto probabilmente pensi. È importante identificarli tutti per gestirli correttamente.

• Dati di acquisto: nome, email, telefono, indirizzo di fatturazione
• Dati di accesso: orario di ingresso, zona, tentativi di validazione
• Dati di comportamento: pagine visitate, carrelli abbandonati
• Dati del dispositivo: IP, browser, sistema operativo
• Dati opzionali: preferenze, data di nascita, genere

L'esercizio utile non è elencarli, ma incrociare ogni dato con la sua base giuridica e il suo termine di conservazione. Questa tabella è lo scheletro del registro delle attività di trattamento richiesto dall'articolo 30 del GDPR:

Fonti: articoli 6.1, 9.2 e 30 del GDPR e articolo 22 della LOPDGDD. I termini fiscali sono approfonditi nella guida sulla fiscalità per la vendita di biglietti. Il dettaglio di cosa puoi chiedere e cosa no nel modulo di acquisto si trova nella guida su quali dati puoi richiedere all'acquirente di un biglietto.

Quali basi giuridiche esistono per il trattamento dei dati?

L'articolo 6.1 del GDPR richiede che ogni trattamento di dati si fondi su una delle sei basi giuridiche che elenca. Per gli organizzatori di eventi, le più rilevanti sono:

• Esecuzione del contratto: hai bisogno dei dati per vendere e consegnare il biglietto
• Consenso: per inviare newsletter o comunicazioni commerciali
• Legittimo interesse: per prevenire le frodi o migliorare il servizio
• Obbligo legale: dati fiscali che devi conservare per legge. Consulta la guida sulla fiscalità per la vendita di biglietti per maggiori dettagli

Due avvertenze sul legittimo interesse. La prima è che la lettera f) dell'articolo 6.1 lo subordina al fatto che non prevalgano «gli interessi o i diritti e le libertà fondamentali dell'interessato», quindi richiede una valutazione scritta, non un'etichetta. La seconda è che l'articolo 21.2 del GDPR dà al partecipante il diritto di opporsi in qualsiasi momento al trattamento per finalità di marketing diretto, e in quel caso «i dati personali non sono più oggetto di trattamento per tali finalità». Non c'è valutazione che resista a un'opposizione.

Come ottenere correttamente il consenso?

L'articolo 4.11 del GDPR definisce il consenso come una manifestazione «libera, specifica, informata e inequivocabile», e l'articolo 7 aggiunge le condizioni per dimostrarlo e revocarlo. Questo significa che non puoi usare caselle precompilate, né condizionare l'acquisto all'accettazione del marketing, né nascondere il consenso in termini e condizioni generici. Se inoltre invii comunicazioni commerciali per email o SMS, si applica anche l'articolo 21 della Ley 34/2002 (LSSI-CE), la legge spagnola sui servizi della società dell'informazione.

• Caselle separate per ogni finalità (una per il marketing, un'altra per i terzi)
• Linguaggio chiaro e comprensibile, senza gergo legale
• Revocare il consenso deve essere facile quanto darlo
• Un registro di quando e come è stato ottenuto ogni consenso

Il paragrafo 1 di questo articolo 21 è categorico: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas» (è vietato l'invio di comunicazioni pubblicitarie o promozionali tramite posta elettronica o altro mezzo di comunicazione elettronica equivalente che non siano state preventivamente richieste o espressamente autorizzate dai destinatari). Il paragrafo 2 apre l'unica porta utile per un promotore: se esiste un rapporto contrattuale precedente, i dati sono stati ottenuti legalmente e la comunicazione riguarda prodotti o servizi simili a quelli contrattati, puoi scrivere a chi ha già acquistato da te. In cambio, devi offrire la possibilità di opporsi tramite «un procedimiento sencillo y gratuito» (una procedura semplice e gratuita) sia al momento della raccolta del dato che in ogni messaggio. In pratica: chi ha acquistato un biglietto del tuo festival può ricevere l'annuncio della prossima edizione; chi ha acquistato un biglietto per uno spettacolo teatrale non è pubblico naturale della tua campagna per conto di terzi. Come costruire questa sequenza, nella guida sull'email marketing per eventi.

Quali diritti hanno i partecipanti sui propri dati?

Gli articoli da 15 a 22 del GDPR riconoscono ai partecipanti una serie di diritti sui propri dati che devi essere in grado di soddisfare. L'articolo 12.3 ti dà un mese dal ricevimento della richiesta per rispondere, prorogabile di altri due mesi quando la complessità o il numero di richieste lo giustifichino, informando l'interessato entro il primo mese e spiegando il motivo del ritardo.

• Accesso: sapere quali dati hai su di loro
• Rettifica: correggere dati errati
• Cancellazione: eliminare i propri dati (con eccezioni legali)
• Portabilità: ricevere i propri dati in un formato strutturato
• Opposizione: rifiutare determinati trattamenti

Due precisazioni operative. La portabilità dell'articolo 20 riguarda solo i dati che l'interessato stesso ti ha fornito e i trattamenti basati su consenso o contratto, e deve essere fornita «in un formato strutturato, di uso comune e leggibile da dispositivo automatico»: un CSV va bene, uno screenshot no. E la cancellazione dell'articolo 17 non è assoluta: il paragrafo 3.b) la esclude quando il trattamento è necessario «per l'adempimento di un obbligo legale», che è esattamente ciò che accade con i registri fiscali di una vendita. Eliminare il profilo di marketing e conservare la fattura non è una contraddizione: è ciò che richiede la norma.

Quando ti serve una valutazione d'impatto per il tuo evento?

Quando il trattamento comporta un rischio elevato. L'articolo 35.1 del GDPR obbliga a effettuare la valutazione d'impatto (DPIA) prima di avviare il trattamento, e l'AEPD pubblica la lista dei tipi di trattamenti che richiedono una valutazione d'impatto prevista dall'articolo 35.4. Quella lista fissa un criterio pratico: sarà necessaria una DPIA «en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios» (nella maggior parte dei casi in cui tale trattamento soddisfi due o più criteri) degli undici elencati.

Diversi di questi criteri si incrociano in un grande festival: trattamenti che implicano «perfilado o valoración de sujetos» (profilazione o valutazione di soggetti, criterio 1), «el uso de datos biométricos con el propósito de identificar de manera única a una persona física» (l'uso di dati biometrici con lo scopo di identificare in modo univoco una persona fisica, criterio 5), «el uso de datos a gran escala» (l'uso di dati su larga scala, criterio 7), la «asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos» (associazione, combinazione o collegamento di registri di basi di dati di due o più trattamenti con finalità diverse o da parte di titolari distinti, criterio 8) e «la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas» (l'utilizzo di nuove tecnologie o un uso innovativo di tecnologie consolidate, criterio 10).

Facciamo il conto su un caso concreto, che è una nostra lettura della lista e non una decisione dell'AEPD: un festival che valida l'accesso con l'impronta digitale, incrocia il database degli acquirenti con quello del cashless e segmenta le campagne in base al comportamento d'acquisto riunisce i criteri 5, 7, 8 e 10. Sono quattro su undici: la DPIA smette di essere discutibile.

Puoi usare il riconoscimento facciale o l'impronta digitale nel controllo degli accessi?

Solo con una base giuridica molto solida, e quasi mai con il semplice consenso. L'AEPD ha pubblicato il 23 novembre 2023 la guida Tratamientos de control de presencia mediante sistemas biométricos (trattamenti di controllo delle presenze mediante sistemi biometrici) e, nel suo comunicato stampa, sostiene di considerare «el tratamiento de datos biométricos, tanto para identificación como para autenticación, como un tratamiento de alto riesgo que incluye categorías especiales de datos» (il trattamento di dati biometrici, sia per l'identificazione che per l'autenticazione, come un trattamento ad alto rischio che include categorie particolari di dati).

Le conseguenze sono tre. Serve una circostanza che sollevi il divieto dell'articolo 9.1 del GDPR e, inoltre, una condizione dell'articolo 6 che legittimi il trattamento. Serve una DPIA «de forma previa al inicio del tratamiento» (prima dell'inizio del trattamento). E bisogna dimostrare «la superación del triple análisis de idoneidad, necesidad y proporcionalidad» (il superamento della triplice analisi di idoneità, necessità e proporzionalità): se un QR nominativo o un braccialetto NFC risolvono il controllo degli accessi, l'impronta digitale non supera il test di necessità. Per questo la maggior parte delle location si limita al controllo degli accessi con QR e NFC, che tratta molti meno dati e non rientra nell'articolo 9.

Cosa succede con i fornitori e i responsabili del trattamento?

Quando usi una piattaforma di ticketing, un servizio di email marketing o qualsiasi altro fornitore che accede ai dati dei tuoi partecipanti, l'articolo 28 del GDPR richiede un contratto di responsabile del trattamento in forma scritta. Quell'articolo elenca cosa deve contenere il contratto come minimo: oggetto, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati e gli obblighi del responsabile, tra cui agire solo seguendo le tue istruzioni e cancellare o restituire i dati al termine del servizio.

• Verifica che i tuoi fornitori rispettino il GDPR
• Firma contratti di responsabile del trattamento
• Controlla dove archiviano i dati (trasferimenti internazionali)
• Mantieni un registro di tutti i fornitori con accesso ai dati

Tre punti che spesso si perdono nei contratti standard. L'articolo 28.2 vieta al responsabile di subappaltare senza la tua autorizzazione preventiva, scritta, specifica o generale: se la tua piattaforma cambia fornitore di posta transazionale, hai il diritto di saperlo e di opporti. L'articolo 28.3.h) ti dà il diritto di sottoporlo ad audit o di riceverne i risultati. E se qualche fornitore tratta i dati fuori dallo Spazio Economico Europeo senza una decisione di adeguatezza, lo strumento abituale sono le clausole contrattuali tipo della Decisione di Esecuzione (UE) 2021/914 della Commissione, che vanno firmate e completate con una valutazione del paese di destinazione. Il punto di partenza di questa conversazione è semplice: chiedi per scritto l'elenco dei sub-responsabili e il paese dove sono ospitati i dati prima di firmare, non dopo il primo incidente.

Cosa fare in caso di violazione di sicurezza?

L'articolo 33.1 del GDPR obbliga a notificare la violazione di sicurezza all'autorità di controllo — in Spagna, l'Agencia Española de Protección de Datos — «senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza». Ci sono due precisazioni che spesso si trascurano: non bisogna notificare se è improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone, e se si superano le 72 ore bisogna motivare il ritardo. Se il rischio è elevato, l'articolo 34 obbliga inoltre a comunicarlo agli interessati. L'AEPD pubblica una guida alla notifica delle violazioni; avere il protocollo pronto prima che accada è ciò che fa la differenza.

I dati del 2025 dell'AEPD aiutano a dare la misura del problema. Delle 2.765 notifiche ricevute, undici sono state trasferite a un'indagine supplementare per essere considerate di gravità elevata: lo 0,4% (calcolo nostro). Notificare non è confessare un'infrazione; non notificare sì lo è, di per sé, una violazione dell'articolo 33. Le violazioni di maggiore impatto, secondo la stessa Agenzia, sono state quelle derivate da ransomware e intrusioni nei sistemi informativi, ma tra le più frequenti ci sono quelle banali: inviare dati personali a destinatari sbagliati e mostrare dati personali per errore. Un'email con la lista degli invitati in copia visibile è esattamente questo.

Due strumenti utili. L'AEPD offre Comunica-Brecha RGPD per decidere se bisogna avvisare gli interessati conforme all'articolo 34. E l'articolo 33.5 obbliga a documentare internamente tutte le violazioni, anche quelle che non vengono notificate, con i loro effetti e le misure correttive: quel registro è la prima cosa che chiede un'ispezione.

Quali errori commettono più spesso gli organizzatori?

Sei, e nessuno richiede un hacker.

• La lista degli invitati in copia visibile. Un invio con cento indirizzi visibili è una violazione di riservatezza, di quelle che l'AEPD descrive come le più frequenti.
• La casella precompilata per il marketing. Incompatibile con l'articolo 4.11 del GDPR, che richiede una manifestazione inequivocabile.
• Cedere il database degli acquirenti allo sponsor. È una finalità diversa e richiede una propria base giuridica e un'informativa preventiva. Non rientra nel contratto di vendita del biglietto.
• Esportare il database su uno strumento nuovo senza contratto di responsabile del trattamento. L'articolo 28 si applica allo stesso modo a un CRM di prova e alla piattaforma principale.
• Chiedere il documento d'identità «per sicurezza». Il principio di minimizzazione dell'articolo 5.1.c) richiede di raccogliere solo ciò che è adeguato e limitato al necessario.
• Conservare le immagini delle telecamere per più di un mese. L'articolo 22 della LOPDGDD obbliga a eliminarle entro quel termine, salvo che documentino atti illeciti.

Perché il GDPR è un'opportunità e non solo un obbligo?

Il GDPR non è solo un obbligo legale, è un'opportunità per creare fiducia con i tuoi partecipanti. Gestire i dati in modo trasparente e responsabile migliora la tua reputazione e riduce i rischi. Investi tempo nell'implementare correttamente le basi giuridiche e aggiornale quando cambiano i tuoi processi.

E Futura Tickets, quale parte di tutto questo copre?

Nessuna piattaforma ti rende automaticamente conforme: il titolare del trattamento sei tu, e la piattaforma è il responsabile. Ciò che cambia davvero secondo il fornitore è chi conserva i dati. Futura Tickets è una piattaforma SaaS spagnola di ticketing per organizzatori professionali. Con Futura Tickets il database dei partecipanti è al 100% dell'organizzatore: email e numeri di telefono vengono forniti integralmente, nel rispetto del GDPR. Questo conta il giorno in cui un partecipante esercita il proprio diritto di accesso o di cancellazione: se non puoi esportare né eliminare, non puoi soddisfarlo entro il mese previsto dall'articolo 12.3. Le condizioni sono disponibili alla pagina prezzi.

Cosa verificare prima di aprire la vendita

Sei verifiche, tutte precedenti alla vendita del primo biglietto.

Scrivi il registro delle attività prima del modulo. L'articolo 30 del GDPR lo richiede e, inoltre, obbliga a decidere la base giuridica di ogni dato. Se non sai quale base copre un campo, quel campo è superfluo.

Separa le caselle e conserva la prova. Una per l'acquisto, un'altra per il marketing, un'altra per le cessioni. E un registro con data, ora e testo mostrato: l'articolo 7.1 ti rende responsabile di dimostrare che il consenso è esistito.

Firma il contratto di responsabile del trattamento con la tua piattaforma e chiedi l'elenco dei sub-responsabili. Con il paese di hosting indicato per scritto. Se la destinazione è fuori dallo SEE, le clausole tipo della Decisione 2021/914.

Decidi oggi chi gestisce una richiesta di accesso. Hai un mese dalla richiesta. Una casella di posta senza un responsabile è il modo più comune per non rispettare quel termine.

Prepara il protocollo per le violazioni prima dell'evento. Chi rileva, chi valuta il rischio, chi notifica e con quali dati. Le 72 ore dell'articolo 33 corrono anche durante il fine settimana del festival.

Rivedi quale tecnologia di accesso utilizzerai. Se qualcuno propone l'impronta digitale o il volto, la risposta breve è che bisogna rimuovere il divieto dell'articolo 9 e fare una DPIA preventiva. Se basta un QR nominativo, usa il QR.

Fonti

Tutti i link sono stati consultati l'11 ottobre 2026. Questa guida ha finalità informativa e non sostituisce la consulenza legale per un caso specifico.

• Reglamento (UE) 2016/679 (RGPD) — art. 4.11 e 7 (consenso), art. 5.1.c) (minimizzazione), art. 6.1 (basi giuridiche), art. 9 (categorie particolari), art. 12.3 (termine di risposta), artt. 15-22 (diritti), art. 28 (responsabile del trattamento), art. 30 (registro delle attività), art. 33 e 34 (violazioni), art. 35 (valutazione d'impatto), art. 83.4 e 83.5 (sanzioni)
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (legge organica spagnola sulla protezione dei dati) — art. 7 (minori di quattordici anni) e art. 22 (videosorveglianza)
• Ley 34/2002, de servicios de la sociedad de la información (LSSI-CE), art. 21 (legge spagnola sui servizi della società dell'informazione)
• Agencia Española de Protección de Datos (AEPD, l'autorità spagnola di controllo)
• AEPD: guida per la gestione e la notifica delle violazioni di sicurezza (PDF)
• AEPD: l'Agenzia ha ricevuto 2.765 notifiche di violazioni di dati personali nel 2025 (comunicato stampa, 23 gennaio 2026)
• AEPD: liste dei tipi di trattamenti che richiedono una valutazione d'impatto, articolo 35.4 (PDF)
• AEPD: guida sui trattamenti di controllo delle presenze mediante sistemi biometrici, novembre 2023 (PDF)
• AEPD: comunicato stampa sull'utilizzo di dati biometrici per il controllo delle presenze e degli accessi
• AEPD: strumento Comunica-Brecha RGPD
• Decisión de Ejecución (UE) 2021/914 de la Comisión, cláusulas contractuales tipo para la transferencia de datos a terceros países