Rozporządzenie (UE) 2016/679 (RODO) dotyczy bezpośrednio każdego organizatora, który zbiera dane uczestników. E-maile, imiona i nazwiska, numery telefonów, preferencje zakupowe... to wszystko dane osobowe, które muszą być przetwarzane zgodnie z przepisami. W Hiszpanii uzupełnia je Ustawa Organiczna 3/2018 o ochronie danych osobowych i gwarancji praw cyfrowych (LOPDGDD). Artykuł 83.5 RODO ustala górny pułap kar na 20 milionów euro albo 4% całkowitego globalnego rocznego obrotu – w zależności od tego, która kwota jest wyższa; artykuł 83.4 przewiduje niższy pułap 10 milionów euro albo 2%. Ten przewodnik wyjaśnia najważniejsze kwestie.
Zagrożenie nie jest teoretyczne. Hiszpańska Agencja Ochrony Danych Osobowych (AEPD) poinformowała 23 stycznia 2026 roku, że otrzymała 2765 zgłoszeń naruszeń danych osobowych w 2025 roku, z czego 80% pochodziło z sektora prywatnego. To 7,6 zgłoszenia dziennie (obliczenie własne na podstawie danych AEPD). Organizator posiadający bazę danych kupujących biletów znajduje się w tej grupie.
Jakie dane zbierasz jako organizator eventów?
Jako organizator eventów zbierasz więcej danych, niż prawdopodobnie myślisz. Ważne jest, aby zidentyfikować je wszystkie, aby zarządzać nimi prawidłowo.
- Dane zakupowe: imię i nazwisko, e-mail, telefon, adres do faktury
- Dane dostępu: godzina wejścia, strefa, próby walidacji
- Dane behawioralne: odwiedzone strony, opuszczone koszyki
- Dane urządzenia: IP, przeglądarka, system operacyjny
- Dane opcjonalne: preferencje, data urodzenia, płeć
Samo wylistowanie ich nie wystarczy – przydatne jest powiązanie każdego z nich z podstawą prawną i okresem przechowywania. Ta tabela to szkielet rejestru czynności przetwarzania, który wymaga artykuł 30 RODO:
| Dane | Do czego służą | Podstawa prawna (art. 6.1 RODO) | Jak długo |
|---|---|---|---|
| Imię, nazwisko i e-mail kupującego | Wystawienie i wysyłka biletu | Wykonanie umowy, lit. b) | Przez czas trwania umowy i terminów przedawnienia |
| Dane do faktury | Wypełnienie obowiązków podatkowych | Obowiązek prawny, lit. c) | Okres wymagany przez przepisy podatkowe |
| E-mail do newslettera | Promocja kolejnego eventu | Zgoda, lit. a) | Do momentu jej wycofania |
| Godzina i punkt walidacji | Kontrola limitu osób i dostępu | Prawnie uzasadniony interes, lit. f) | Czas niezbędny do organizacji eventu |
| Nagrania z kamer | Bezpieczeństwo obiektu | Prawnie uzasadniony interes, lit. f) | Jeden miesiąc (art. 22 LOPDGDD) |
| Dane o zdrowiu lub dostępności | Przydzielenie miejsca dostosowanego | Wyraźna zgoda, art. 9.2.a) | Czas niezbędny do świadczenia usługi |
Źródła: artykuły 6.1, 9.2 i 30 RODO oraz artykuł 22 LOPDGDD. Terminy podatkowe są szczegółowo opisane w przewodniku po podatkach przy sprzedaży biletów. Szczegóły dotyczące tego, o jakie dane możesz prosić w formularzu zakupu, a o jakie nie, znajdziesz w przewodniku jakie dane możesz zbierać od kupującego bilet.
Jakie podstawy prawne istnieją dla przetwarzania danych?
Artykuł 6.1 RODO wymaga, aby każde przetwarzanie danych opierało się na jednej z sześciu wymienionych w nim podstaw prawnych. Dla organizatorów eventów najważniejsze są:
- Wykonanie umowy: potrzebujesz danych, aby sprzedać i dostarczyć bilet
- Zgoda: do wysyłania newsletterów lub komunikacji handlowej
- Prawnie uzasadniony interes: do zapobiegania oszustwom lub poprawy usługi
- Obowiązek prawny: dane podatkowe, które musisz przechowywać z mocy prawa. Zobacz przewodnik po podatkach przy sprzedaży biletów, aby dowiedzieć się więcej
Dwie uwagi dotyczące prawnie uzasadnionego interesu. Pierwsza: litera f) artykułu 6.1 warunkuje go tym, aby nie przeważały «los intereses o los derechos y libertades fundamentales del interesado» (interesy lub podstawowe prawa i wolności osoby, której dane dotyczą), co wymaga pisemnego testu równowagi, a nie samej etykiety. Druga: artykuł 21.2 RODO daje uczestnikowi prawo do wniesienia w każdym momencie sprzeciwu wobec przetwarzania do celów marketingu bezpośredniego, a wtedy «los datos personales dejarán de ser tratados para dichos fines» (dane osobowe nie będą już przetwarzane do tych celów). Żaden test równowagi nie oprze się sprzeciwowi.
Jak prawidłowo uzyskać zgodę?
Artykuł 4.11 RODO definiuje zgodę jako przejaw woli, który jest «libre, específica, informada e inequívoca» (dobrowolny, konkretny, świadomy i jednoznaczny), a artykuł 7 dodaje warunki jej wykazania i wycofania. Oznacza to, że nie możesz używać domyślnie zaznaczonych checkboksów, nie możesz uzależniać zakupu od zgody na marketing, ani skrywać zgody w ogólnych warunkach regulaminu. Jeśli dodatkowo wysyłasz komunikację handlową e-mailem lub SMS-em, zastosowanie ma również artykuł 21 Ustawy 34/2002 (LSSI-CE).
- Odrębne checkboksy dla każdego celu (jeden na marketing, drugi na przekazywanie danych osobom trzecim)
- Jasny i zrozumiały język, bez prawniczego żargonu
- Wycofanie zgody równie łatwe jak jej wyrażenie
- Rejestr tego, kiedy i jak uzyskano każdą zgodę
Ustęp 1 tego artykułu jest jednoznaczny: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas» (zakazane jest wysyłanie komunikacji reklamowej lub promocyjnej za pomocą poczty elektronicznej lub innego równoważnego środka komunikacji elektronicznej, która nie była wcześniej żądana lub wyraźnie autoryzowana przez jej odbiorców). Ustęp 2 otwiera jedyną użyteczną możliwość dla promotora: jeśli istnieje wcześniejsza relacja umowna, dane zostały uzyskane legalnie, a komunikacja dotyczy produktów lub usług podobnych do zakupionych, możesz napisać do osoby, która już u ciebie kupiła bilet. W zamian musisz zapewnić możliwość sprzeciwu poprzez «un procedimiento sencillo y gratuito» (prostą i bezpłatną procedurę) – zarówno przy zbieraniu danych, jak i przy każdej wiadomości. W praktyce: osoba, która kupiła bilet na twój festiwal, może otrzymać informację o kolejnej edycji; osoba, która kupiła bilet do teatru, nie jest naturalnym odbiorcą twojej kampanii dla strony trzeciej. Jak zbudować taką sekwencję, opisuje przewodnik e-mail marketing dla eventów.
Jakie prawa mają uczestnicy w zakresie swoich danych?
Artykuły 15–22 RODO przyznają uczestnikom szereg praw dotyczących ich danych, które musisz być w stanie zrealizować. Artykuł 12.3 daje ci miesiąc od otrzymania żądania na odpowiedź, z możliwością wydłużenia o kolejne dwa miesiące, gdy uzasadnia to złożoność lub liczba żądań – pod warunkiem poinformowania osoby zainteresowanej w ciągu pierwszego miesiąca i wyjaśnienia przyczyny opóźnienia.
- Dostęp: dowiedzieć się, jakie dane na ich temat przechowujesz
- Sprostowanie: poprawienie nieprawidłowych danych
- Usunięcie: wykreślenie ich danych (z wyjątkami przewidzianymi prawem)
- Przenoszenie: otrzymanie swoich danych w ustrukturyzowanym formacie
- Sprzeciw: odmowa wobec określonych rodzajów przetwarzania
Dwa praktyczne niuanse. Przenoszenie danych z artykułu 20 obejmuje tylko dane, które sama osoba zainteresowana ci przekazała, oraz przetwarzanie oparte na zgodzie lub umowie, i musi zostać przekazane «en un formato estructurado, de uso común y lectura mecánica» (w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego): plik CSV wystarczy, zrzut ekranu nie. A usunięcie danych z artykułu 17 nie jest absolutne: ustęp 3.b) wyłącza je, gdy przetwarzanie jest niezbędne «para el cumplimiento de una obligación legal» (do wypełnienia obowiązku prawnego), co dokładnie dotyczy twoich zapisów podatkowych ze sprzedaży. Usunięcie profilu marketingowego i jednoczesne zachowanie faktury nie jest sprzecznością – tego właśnie wymaga przepis.
Kiedy potrzebujesz oceny skutków dla ochrony danych dla swojego eventu?
Gdy przetwarzanie wiąże się z wysokim ryzykiem. Artykuł 35.1 RODO zobowiązuje do przeprowadzenia oceny skutków dla ochrony danych (DPIA) przed rozpoczęciem przetwarzania, a AEPD publikuje listę rodzajów przetwarzania wymagających oceny skutków przewidzianą w artykule 35.4. Lista ta ustanawia praktyczne kryterium: DPIA będzie konieczna «en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios» (w większości przypadków, gdy dane przetwarzanie spełnia dwa lub więcej kryteriów) z jedenastu, które wymienia.
Kilka z tych kryteriów nakłada się na siebie w przypadku dużego festiwalu: przetwarzanie obejmujące «perfilado o valoración de sujetos» (profilowanie lub ocenę osób, kryterium 1), «el uso de datos biométricos con el propósito de identificar de manera única a una persona física» (wykorzystanie danych biometrycznych w celu jednoznacznej identyfikacji osoby fizycznej, kryterium 5), «el uso de datos a gran escala» (wykorzystanie danych w dużej skali, kryterium 7), «asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos» (łączenie lub powiązanie rejestrów baz danych z dwóch lub więcej procesów przetwarzania o różnych celach lub prowadzonych przez różnych administratorów, kryterium 8) oraz «la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas» (wykorzystanie nowych technologii lub innowacyjne użycie ugruntowanych technologii, kryterium 10).
Sprawdźmy to na konkretnym przykładzie – to nasza interpretacja listy, a nie stanowisko AEPD: festiwal, który weryfikuje wstęp odciskiem palca, łączy bazę kupujących z bazą cashless i segmentuje kampanie według zachowań zakupowych, spełnia kryteria 5, 7, 8 i 10. To cztery z jedenastu: DPIA przestaje być kwestią dyskusyjną.
Czy możesz używać rozpoznawania twarzy lub odcisku palca w kontroli dostępu?
Tylko przy bardzo solidnej podstawie prawnej i prawie nigdy przy samej zgodzie. AEPD opublikowała 23 listopada 2023 roku przewodnik Przetwarzanie danych w kontroli obecności za pomocą systemów biometrycznych i w swojej notatce prasowej, stwierdza, że uznaje «el tratamiento de datos biométricos, tanto para identificación como para autenticación, como un tratamiento de alto riesgo que incluye categorías especiales de datos» (przetwarzanie danych biometrycznych, zarówno do identyfikacji, jak i do uwierzytelniania, za przetwarzanie wysokiego ryzyka obejmujące szczególne kategorie danych).
Konsekwencje są trzy. Potrzebna jest okoliczność znosząca zakaz z artykułu 9.1 RODO, a dodatkowo warunek z artykułu 6 legitymizujący przetwarzanie. Potrzebna jest DPIA «de forma previa al inicio del tratamiento» (przeprowadzona przed rozpoczęciem przetwarzania). I należy wykazać «la superación del triple análisis de idoneidad, necesidad y proporcionalidad» (spełnienie trzyczęściowego testu adekwatności, niezbędności i proporcjonalności): jeśli spersonalizowany kod QR lub opaska NFC rozwiązują problem kontroli dostępu, odcisk palca nie przechodzi testu niezbędności. Dlatego większość obiektów pozostaje przy kontroli dostępu za pomocą QR i NFC, która przetwarza znacznie mniej danych i nie wchodzi w zakres artykułu 9.
Co z dostawcami i podmiotami przetwarzającymi?
Kiedy korzystasz z platformy do sprzedaży biletów, usługi e-mail marketingu lub jakiegokolwiek innego dostawcy mającego dostęp do danych twoich uczestników, artykuł 28 RODO wymaga pisemnej umowy powierzenia przetwarzania danych. Artykuł ten wylicza, co umowa musi zawierać jako minimum: przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, których dane dotyczą, oraz obowiązki podmiotu przetwarzającego, w tym działanie wyłącznie na podstawie twoich instrukcji oraz usunięcie lub zwrot danych po zakończeniu usługi.
- Sprawdź, czy twoi dostawcy przestrzegają RODO
- Podpisuj umowy powierzenia przetwarzania danych
- Zweryfikuj, gdzie przechowywane są dane (transfery międzynarodowe)
- Prowadź rejestr wszystkich dostawców z dostępem do danych
Trzy punkty, które umykają w standardowych umowach. Artykuł 28.2 zabrania podmiotowi przetwarzającemu podpowierzania bez twojej wcześniejszej pisemnej zgody, szczególnej lub ogólnej: jeśli twoja platforma zmienia dostawcę poczty transakcyjnej, masz prawo o tym wiedzieć i zgłosić zastrzeżenie. Artykuł 28.3.h) daje ci prawo do audytu lub do otrzymania jego wyników. A jeśli jakiś dostawca przetwarza dane poza Europejskim Obszarem Gospodarczym bez decyzji o adekwatności, standardowym narzędziem są standardowe klauzule umowne z Decyzji Wykonawczej Komisji (UE) 2021/914, które należy podpisać i uzupełnić oceną kraju docelowego. Punkt wyjścia tej rozmowy jest prosty: zapytaj na piśmie o listę podpowierzających i kraj, w którym przechowywane są dane, jeszcze przed podpisaniem umowy – nie po pierwszym incydencie.
Co robić w przypadku naruszenia bezpieczeństwa danych?
Artykuł 33.1 RODO zobowiązuje do zgłoszenia naruszenia bezpieczeństwa organowi nadzorczemu – w Hiszpanii Hiszpańskiej Agencji Ochrony Danych Osobowych (AEPD) – «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella» (bez zbędnej zwłoki, a jeśli jest to możliwe, nie później niż 72 godziny po stwierdzeniu naruszenia). Są dwa często przeoczane niuanse: nie trzeba zgłaszać naruszenia, jeśli jest mało prawdopodobne, że stwarza ono ryzyko dla praw i wolności osób, a jeśli zgłoszenie nastąpi po 72 godzinach, należy uzasadnić opóźnienie. Jeśli ryzyko jest wysokie, artykuł 34 zobowiązuje dodatkowo do poinformowania osób, których dane dotyczą. AEPD publikuje przewodnik dotyczący zgłaszania naruszeń; przygotowanie protokołu zanim coś się wydarzy to właśnie to, co robi różnicę.
Dane za 2025 rok od AEPD pomagają to ocenić. Z 2765 otrzymanych zgłoszeń jedenaście przekazano do dodatkowego dochodzenia jako przypadki o wysokiej wadze: 0,4% (obliczenie własne). Zgłoszenie nie jest przyznaniem się do naruszenia; brak zgłoszenia sam w sobie stanowi naruszenie artykułu 33. Naruszenia o największym wpływie, według samej Agencji, wynikały z ransomware i włamań do systemów informatycznych, ale do najczęstszych należą te bardzo przyziemne: wysłanie danych osobowych do niewłaściwych odbiorców i przypadkowe ujawnienie danych osobowych. E-mail z listą gości wysłany z widocznymi adresatami w polu „do" to właśnie to.
Dwa przydatne narzędzia. AEPD udostępnia Comunica-Brecha RODO, aby zdecydować, czy należy powiadomić osoby, których dane dotyczą, zgodnie z artykułem 34. Artykuł 33.5 zobowiązuje też do wewnętrznego dokumentowania wszystkich naruszeń, również tych niezgłaszanych, wraz z ich skutkami i środkami naprawczymi: ten rejestr jest pierwszą rzeczą, o którą pyta kontrola.
Jakie błędy najczęściej popełniają organizatorzy?
Sześć, i żaden z nich nie wymaga hakera.
- Lista gości wysłana z widocznymi adresami w polu „do". Wiadomość ze stu widocznymi adresami to naruszenie poufności – AEPD opisuje takie przypadki jako jedne z najczęstszych.
- Domyślnie zaznaczony checkbox marketingowy. Niezgodny z artykułem 4.11 RODO, który wymaga jednoznacznego przejawu woli.
- Przekazanie bazy kupujących sponsorowi. To odrębny cel, który wymaga własnej podstawy prawnej i wcześniejszej informacji. Nie mieści się w umowie sprzedaży biletu.
- Eksport bazy do nowego narzędzia bez umowy powierzenia. Artykuł 28 obowiązuje w przypadku testowego CRM-u tak samo jak w przypadku głównej platformy.
- Proszenie o dowód osobisty „na wszelki wypadek". Zasada minimalizacji z artykułu 5.1.c) wymaga zbierania tylko danych adekwatnych i ograniczonych do tego, co niezbędne.
- Przechowywanie nagrań z kamer dłużej niż miesiąc. Artykuł 22 LOPDGDD zobowiązuje do ich usunięcia w tym terminie, chyba że dokumentują czyny niezgodne z prawem.
Dlaczego RODO jest szansą, a nie tylko obowiązkiem?
RODO to nie tylko obowiązek prawny – to szansa na budowanie zaufania wśród uczestników twoich eventów. Zarządzanie danymi w sposób przejrzysty i odpowiedzialny poprawia twoją reputację i zmniejsza ryzyko. Zainwestuj czas we wdrożenie odpowiednich podstaw prawnych i aktualizuj je, gdy zmieniają się twoje procesy.
A Futura Tickets, jaką część tego pokrywa?
Żadna platforma nie zrobi z ciebie zgodnego z prawem administratora danych automatycznie: administratorem przetwarzania jesteś ty, a platforma jest podmiotem przetwarzającym. To, co faktycznie się zmienia w zależności od dostawcy, to kto zatrzymuje dane. Futura Tickets to hiszpańska platforma SaaS do sprzedaży biletów dla profesjonalnych organizatorów. W Futura Tickets baza danych uczestników należy w 100% do organizatora: e-maile i numery telefonów są przekazywane w całości, zgodnie z RODO. To ma znaczenie w dniu, gdy uczestnik korzysta ze swojego prawa dostępu lub usunięcia danych: jeśli nie możesz eksportować ani usuwać danych, nie zdołasz zrealizować tego żądania w ciągu miesiąca wymaganego przez artykuł 12.3. Warunki znajdziesz na stronie cennika.
Co sprawdzić przed otwarciem sprzedaży
Sześć kontroli, wszystkie przed sprzedażą pierwszego biletu.
Napisz rejestr czynności przetwarzania, zanim stworzysz formularz. Artykuł 30 RODO tego wymaga i jednocześnie zobowiązuje do określenia podstawy prawnej dla każdego pola danych. Jeśli nie wiesz, jaka podstawa uzasadnia dane pole, to pole jest zbędne.
Rozdziel checkboksy i zachowaj dowód. Jeden na zakup, drugi na marketing, trzeci na przekazywanie danych. Oraz rejestr z datą, godziną i wyświetlonym tekstem: artykuł 7.1 nakłada na ciebie obowiązek wykazania, że zgoda istniała.
Podpisz umowę powierzenia przetwarzania z twoją platformą i poproś o listę podpowierzających. Z krajem przechowywania danych podanym na piśmie. Jeśli dane trafiają poza EOG, zastosuj standardowe klauzule umowne z Decyzji 2021/914.
Zdecyduj już dziś, kto odpowiada za prawo dostępu. Masz miesiąc od złożenia żądania. Skrzynka mailowa bez właściciela to najczęstszy sposób na niedotrzymanie tego terminu.
Przygotuj protokół postępowania na wypadek naruszenia, zanim odbędzie się event. Kto wykrywa, kto ocenia ryzyko, kto zgłasza i z jakimi danymi. 72 godziny z artykułu 33 liczą się także w weekend festiwalowy.
Sprawdź, jaką technologię dostępu zamierzasz zastosować. Jeśli ktoś proponuje odcisk palca lub rozpoznawanie twarzy, krótka odpowiedź brzmi: trzeba znieść zakaz z artykułu 9 i przeprowadzić wcześniejszą DPIA. Jeśli wystarczy spersonalizowany QR, użyj QR.
Źródła
Wszystkie linki sprawdzono 11 października 2026 roku. Ten przewodnik ma charakter informacyjny i nie zastępuje porady prawnej w konkretnym przypadku.
- Rozporządzenie (UE) 2016/679 (RODO) — art. 4.11 i 7 (zgoda), art. 5.1.c) (minimalizacja), art. 6.1 (podstawy prawne), art. 9 (szczególne kategorie danych), art. 12.3 (termin odpowiedzi), art. 15–22 (prawa), art. 28 (podmiot przetwarzający), art. 30 (rejestr czynności przetwarzania), art. 33 i 34 (naruszenia), art. 35 (ocena skutków dla ochrony danych), art. 83.4 i 83.5 (kary)
- Ustawa Organiczna 3/2018 o ochronie danych osobowych i gwarancji praw cyfrowych (LOPDGDD) — art. 7 (osoby poniżej czternastego roku życia) i art. 22 (wideo-nadzór)
- Ustawa 34/2002 o usługach społeczeństwa informacyjnego (LSSI-CE), art. 21
- Hiszpańska Agencja Ochrony Danych Osobowych (AEPD)
- AEPD: przewodnik dotyczący zarządzania i zgłaszania naruszeń bezpieczeństwa (PDF)
- AEPD: Agencja otrzymała 2765 zgłoszeń naruszeń danych osobowych w 2025 roku (notatka prasowa, 23 stycznia 2026)
- AEPD: listy rodzajów przetwarzania wymagających oceny skutków dla ochrony danych, artykuł 35.4 (PDF)
- AEPD: przewodnik dotyczący przetwarzania danych w kontroli obecności za pomocą systemów biometrycznych, listopad 2023 (PDF)
- AEPD: notatka prasowa na temat wykorzystania danych biometrycznych do kontroli obecności i dostępu
- AEPD: narzędzie Comunica-Brecha RODO
- Decyzja Wykonawcza Komisji (UE) 2021/914, standardowe klauzule umowne dotyczące przekazywania danych do państw trzecich