Como gerir as listas de convidados de um evento?

As listas de convidados são uma das fontes de problemas mais comuns em eventos. Nomes mal escritos, duplicados, alterações de última hora, pessoas que não aparecem na lista... O resultado são filas, conflitos à entrada e uma má experiência para quem devia receber o melhor tratamento. A solução passa por digitalizar completamente o processo.

Há uma segunda camada que quase ninguém trata com o mesmo cuidado: uma lista de convidados é um ficheiro de dados pessoais. Nomes, e-mails, telefones, empresa, por vezes o DNI que a empresa de segurança pede. Tudo isto cai sob o Regulamento Geral sobre a Proteção de Dados e a Ley Orgánica 3/2018. Este guia percorre as duas camadas: a operacional e a legal.

Que problemas têm as listas de convidados tradicionais?

As listas em papel ou em folhas de cálculo partilhadas geram problemas previsíveis que se repetem evento após evento.

• Versões desatualizadas: cada pessoa trabalha com uma cópia diferente (um problema clássico documentado pela Airtable)
• Erros de transcrição: nomes mal escritos ou confundidos
• Sem rastreabilidade: não se sabe quem adicionou quem nem quando
• Difícil de pesquisar: encontrar um nome à entrada demora tempo
• Impossível de auditar: não há registo de quem entrou realmente

Há um custo que só se vê quando surge um problema. Uma folha que circula por e-mail ou por mensagens acaba copiada em meia dúzia de dispositivos pessoais, sem controlo de quem a tem nem forma de a apagar depois. Se essa cópia se perder ou for publicada, o responsável pelo tratamento é o organizador, não quem a reencaminhou.

Que vantagens traz um sistema digital centralizado?

Um sistema digital de gestão de convidados resolve estes problemas com uma fonte única de verdade acessível a todos os envolvidos.

• Base de dados única atualizada em tempo real
• Permissões por função: quem pode ver, adicionar ou editar
• Histórico completo de alterações com autor e data
• Pesquisa instantânea por nome, empresa ou responsável
• Geração automática de passes ou QR personalizados

As permissões por função e o histórico não são apenas uma comodidade: são a forma prática de cumprir o artigo 32.1 do RGPD, que obriga a aplicar «medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo» (medidas técnicas e organizativas apropriadas para garantir um nível de segurança adequado ao risco) e menciona expressamente «la seudonimización y el cifrado de datos personales» (a pseudonimização e a cifragem de dados pessoais).

Que base legal do RGPD ampara uma lista de convidados?

Duas, dependendo de quem for o convidado. Quando há um contrato envolvido — o artista, o fornecedor, o patrocinador e os seus acreditados —, a base é o artigo 6.1.b): o tratamento «es necesario para la ejecución de un contrato en el que el interesado es parte» (é necessário para a execução de um contrato no qual o titular dos dados é parte). Quando o convite é promocional e nasce de uma decisão do organizador, a base costuma ser o interesse legítimo do artigo 6.1.f), que só é válido «siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado» (sempre que sobre esses interesses não prevaleçam os interesses ou os direitos e liberdades fundamentais do titular dos dados). Interesse legítimo significa ponderar e deixar essa ponderação registada por escrito.

Por cima da base legal há dois limites. O artigo 5.1.c) exige dados «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados» (adequados, pertinentes e limitados ao necessário relativamente às finalidades para que são tratados): o nome e uma forma de identificar a pessoa à entrada bastam para quase qualquer lista; a cópia do DNI «por si acaso» (por precaução), não. E o artigo 5.1.e) impede manter os dados identificáveis «durante no más tiempo del necesario para los fines del tratamiento» (durante mais tempo do que o necessário para as finalidades do tratamento).

Falta o dever de informar. Se os dados forem fornecidos pelo próprio convidado, informa-se nesse momento; a LOPDGDD permite, no seu artigo 11, fazê-lo por camadas, com a informação básica à vista e uma ligação para o resto. E uma obrigação que muitos organizadores pequenos pensam não ter: o artigo 30.5 do RGPD isenta do registo das atividades de tratamento as organizações com menos de 250 pessoas, mas não quando o tratamento «no sea ocasional» (não for ocasional). Uma lista de convidados que se repete em cada evento não é ocasional.

Qual é o fluxo de trabalho ideal para gerir convidados?

O processo ideal para gerir convidados segue estes passos:

• Define responsáveis: quem pode adicionar convidados e com que cota
• Estabelece datas-limite: encerramento da lista 24-48h antes do evento
• Automatiza confirmações: e-mail automático ao convidado com o seu passe
• Valida à entrada: leitura de QR com registo instantâneo. Para otimizar este passo, consulta como organizar um check-in sem filas
• Reporta depois: relatório de quem assistiu realmente vs. convidados

Adiciona um passo que quase nunca está presente: informar. O e-mail automático com o passe é o momento natural para dizer quem trata os seus dados, para que finalidade e durante quanto tempo. Resolve a formalidade legal sem acrescentar trabalho manual.

Como gerir as cotas e os limites de convites?

Quando várias pessoas podem adicionar convidados (patrocinadores, artistas, diretores), é essencial estabelecer cotas claras. Cada responsável tem um número máximo de convites que pode gerir. O sistema deve mostrar em tempo real quantos já usou e quantos lhe restam.

• Cotas por pessoa ou departamento
• Alertas quando se aproxima do limite
• Aprovação para exceder a cota (se for o caso)
• Visibilidade do estado de cada cota em tempo real

A cota não é só uma questão de orçamento: um convidado ocupa capacidade da mesma forma que um comprador. O Reglamento General de Policía de Espectáculos Públicos, norma nacional de 1982 hoje parcialmente revogada e substituída pela normativa regional, estabelece no seu artigo 43.2 que na resolução de autorização se fixa «el aforo máximo permitido» (a capacidade máxima permitida). E o seu artigo 65 limita o que pode ficar fora da bilheteira: as empresas «deberán despachar directamente al público cuando menos el 50 por 100 de cada clase de localidades» (deverão despachar diretamente ao público pelo menos 50% de cada categoria de lugares), percentagem que só excecionalmente baixa para 25%.

A capacidade também determina o seguro. Na Catalunha, o Canal Empresa publica os valores mínimos de responsabilidade civil exigidos pelo regulamento de espetáculos:

Por isso o contador de convites tem de viver no mesmo sítio que o contador de bilhetes vendidos, e não numa folha separada. Como se faz essa contagem em tempo real está no guia de gestão de capacidade.

O que fazer se o patrocinador te enviar a sua lista?

Informar tu, mesmo que os dados não te tenham sido fornecidos pelo convidado. O artigo 14 do RGPD regula exatamente esse caso e fixa o prazo no seu n.º 3: a informação deve ser facilitada «dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes» (num prazo razoável, após a obtenção dos dados pessoais, e o mais tardar um mês depois), ou «a más tardar en el momento de la primera comunicación» (o mais tardar no momento da primeira comunicação) se contactares essa pessoa antes disso. O artigo 14.2.f) acrescenta um dado que se esquece sempre: é preciso dizer «la fuente de la que proceden los datos personales» (a fonte de onde provêm os dados pessoais). Ou seja, que patrocinador te passou esse nome.

Com os fornecedores que tocam na lista — a empresa de segurança, a agência de hospedeiras, a plataforma — a figura é outra: subcontratante do tratamento. O artigo 28.3 exige um contrato que fixe «el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados» (o objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados pessoais e categorias de titulares dos dados), e a sua alínea g) obriga o subcontratante a eliminar ou devolver todos os dados «una vez finalice la prestación de los servicios de tratamiento» (uma vez terminada a prestação dos serviços de tratamento). Um acordo verbal com o chefe de segurança não cumpre nada disto.

Como se gerem os convidados no dia do evento?

Com um sistema digital, a gestão à entrada simplifica-se drasticamente, especialmente se a integrares com o teu controlo de acessos geral. O pessoal de acesso só precisa de um dispositivo com a app. O convidado mostra o seu QR (ou dá o nome, se não o tiver) e o sistema valida instantaneamente. Se houver algum problema, o histórico mostra quem adicionou essa pessoa e resolve-se em segundos.

A entrada tem também regras próprias. A Ley 15/2022, integral para la igualdad de trato y la no discriminación obriga, no seu artigo 21, a que os critérios de admissão garantam «la ausencia de cualquier forma de discriminación» (a ausência de qualquer forma de discriminação) pelas causas previstas no seu artigo 2, e no n.º 3 a que os titulares dos estabelecimentos «den a conocer en un espacio visible los criterios y limitaciones que resulten del ejercicio del derecho de admisión» (deem a conhecer, num espaço visível, os critérios e limitações resultantes do exercício do direito de admissão). Uma lista fechada é legítima; um critério de admissão que não é publicado e se aplica na fila, não.

E convém pensar duas vezes antes de usar o rosto como chave. A AEPD publicou, em novembro de 2023, um guía sobre tratamientos de control de presencia mediante sistemas biométricos — marcado «EN REVISIÓN» (EM REVISÃO) na capa — que dedica capítulos inteiros a explicar por que razão a identificação e a autenticação biométricas são categorias especiais de dados e o que é necessário para levantar a proibição de as tratar. Para uma lista de convidados, o QR nominativo resolve o mesmo problema sem entrar nesse terreno.

Quanto tempo podes conservar a lista de convidados?

O que tiveres fixado e puderes justificar, e não mais do que isso. O artigo 5.1.e) do RGPD é quem manda, e na prática obriga a escrever um prazo diferente para cada coisa: a lista operacional do evento, o registo de acessos e os contactos que passam para o marketing, que precisam ainda da sua própria base legal.

Se algo correr mal, os prazos apertam. O artigo 33.1 do RGPD obriga a notificar a violação à autoridade de controlo «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella» (sem demora injustificada e, se possível, no prazo de 72 horas após ter tido conhecimento da mesma), salvo se for improvável que implique um risco. O artigo 34.1 obriga a comunicá-la também ao titular dos dados quando o risco for elevado, e o 34.3.a) isenta desse aviso se os dados estavam cifrados de forma a ficarem ininteligíveis. O artigo 33.5 exige documentar qualquer violação, mesmo que não seja notificada. A AEPD tem publicado um guía para la notificación de brechas de datos personales, na sua versão de junho de 2021, com o procedimento e o conteúdo da notificação.

Podes enviar o convite por e-mail?

Sim, com cuidado, porque um convite para um evento comercial é uma comunicação comercial. O artigo 21.1 da Ley 34/2002, de servicios de la sociedad de la información proíbe «el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios» (o envio de comunicações publicitárias ou promocionais por correio eletrónico ou outro meio de comunicação eletrónica equivalente que previamente não tenham sido solicitadas ou expressamente autorizadas pelos destinatários).

O n.º 2 abre a porta a quem já é cliente: pode enviar-se publicidade de produtos ou serviços semelhantes aos contratados, se os dados tiverem sido obtidos licitamente nessa relação, e oferecendo sempre um meio gratuito e simples de oposição, tanto no momento da recolha do dado como em cada mensagem. Um convidado que nunca comprou nada não entra nessa exceção.

Erros comuns na gestão de listas de convidados

• A folha de cálculo que circula por mensagens: cada reenvio é uma cópia que já não controlas
• Reutilizar a lista do ano anterior sem prazo de conservação nem informação prévia
• Pedir o DNI completo quando basta um identificador para a entrada
• Não registar quem adicionou cada convidado, que é a primeira coisa que se pergunta quando há um conflito
• Entregar a lista à empresa de segurança sem contrato de subcontratação do tratamento
• Deixar a lista no telemóvel do RRPP depois do evento
• Contar os convites separadamente da capacidade vendida

Lista de verificação antes de abrir as portas

Uma só lista, com permissões por função. Se houver dois ficheiros, há duas versões da verdade e uma delas entra pela porta errada.

A base legal, por escrito. Contrato para quem o tem, interesse legítimo ponderado para o resto.

Informação ao convidado no e-mail do passe. Quem trata os seus dados, para quê, durante quanto tempo e como exercer os seus direitos.

Contrato de subcontratação com quem tocar na lista. Segurança, hospedeiras, plataforma; com a cláusula de eliminação ao terminar.

Cotas ligadas à capacidade autorizada. O contador de convites e o de bilhetes vendidos, no mesmo sítio.

Critérios de admissão publicados e não discriminatórios. Visíveis antes da fila, não na fila.

Prazo de conservação e eliminação efetiva. Incluindo a eliminação das cópias em dispositivos da equipa.

Vale a pena digitalizar as listas de convidados?

Digitalizar as listas de convidados não é um luxo, é uma necessidade operacional. O tempo que poupas, os erros que evitas e a experiência que ofereces aos teus participantes justificam sobejamente o investimento. Lembra-te de que gerir listas de convidados implica tratar dados pessoais, o que exige cumprir o RGPD. Começa por eventos pequenos para testar o sistema e escala quando tiveres o processo ajustado.

*Este artigo é informativo e não constitui aconselhamento jurídico. As normas citadas correspondem às fontes ligadas, consultadas em 16 de outubro de 2026.*

Fontes

• Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados (texto publicado no Jornal Oficial da União Europeia, PDF) — artigos 5.1.c), 5.1.e), 6.1.b), 6.1.f), 14.2.f), 14.3, 28.3, 30.5, 32.1, 33.1, 33.5, 34.1 e 34.3.a).
• Ficha do Regulamento (UE) 2016/679 no BOE — referência DOUE-L-2016-80807.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado, BOE) — artigos 11 e 12.
• Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico, artículo 21 (texto consolidado, BOE).
• Real Decreto 2816/1982, Reglamento General de Policía de Espectáculos Públicos y Actividades Recreativas (texto consolidado, BOE) — artigos 43.2, 59.1.e) e 65; boa parte do regulamento está revogada pelo Real Decreto 314/2006 e pelo Real Decreto 393/2007.
• Ley 15/2022, de 12 de julio, integral para la igualdad de trato y la no discriminación (texto consolidado, BOE) — artigo 21.
• AEPD: Guía para la notificación de brechas de datos personales (PDF) — versão de junho de 2021.
• AEPD: Guía sobre tratamientos de control de presencia mediante sistemas biométricos (PDF) — versão de novembro de 2023, marcada «EN REVISIÓN».
• Canal Empresa (Generalitat de Catalunya): requisitos y obligaciones de los espectáculos públicos y las actividades recreativas — valores mínimos de responsabilidade civil por níveis de capacidade.