El Reglamento (UE) 2016/679 (RGPD) afecta directamente a cualquier organizador que recoja datos de asistentes. Emails, nombres, teléfonos, preferencias de compra... todo esto son datos personales que deben tratarse conforme a la normativa. En España lo completa la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). El artículo 83.5 del RGPD sitúa el tramo alto de las multas en 20 millones de euros o el 4 % del volumen de negocio total anual global, la de mayor cuantía; el artículo 83.4 fija un tramo inferior de 10 millones o el 2 %. Esta guía te explica lo esencial.
El riesgo no es teórico. La Agencia Española de Protección de Datos informó el 23 de enero de 2026 de que había recibido 2.765 notificaciones de brechas de datos personales en 2025, el 80 % del sector privado. Son 7,6 notificaciones al día (cálculo propio sobre la cifra de la AEPD). Un organizador con una base de datos de compradores está en ese universo.
¿Qué datos recoges como organizador de eventos?
Como organizador de eventos, recoges más datos de los que probablemente piensas. Es importante identificarlos todos para gestionarlos correctamente.
- Datos de compra: nombre, email, teléfono, dirección de facturación
- Datos de acceso: hora de entrada, zona, intentos de validación
- Datos de comportamiento: páginas visitadas, carritos abandonados
- Datos de dispositivo: IP, navegador, sistema operativo
- Datos opcionales: preferencias, fecha de nacimiento, género
El ejercicio útil no es listarlos, sino cruzar cada dato con su base legal y su plazo. Esta tabla es el esqueleto del registro de actividades de tratamiento que exige el artículo 30 del RGPD:
| Dato | Para qué lo usas | Base legal (art. 6.1 RGPD) | Hasta cuándo |
|---|---|---|---|
| Nombre y email del comprador | Emitir y enviar la entrada | Ejecución del contrato, letra b) | Mientras duren el contrato y los plazos de prescripción |
| Datos de facturación | Cumplir las obligaciones fiscales | Obligación legal, letra c) | El plazo que impone la norma fiscal |
| Email para la newsletter | Vender el próximo evento | Consentimiento, letra a) | Hasta que lo retire |
| Hora y puerta de validación | Control de aforo y accesos | Interés legítimo, letra f) | Lo necesario para la explotación del evento |
| Imágenes de videovigilancia | Seguridad del recinto | Interés legítimo, letra f) | Un mes (art. 22 LOPDGDD) |
| Datos de salud o accesibilidad | Asignar plaza adaptada | Consentimiento explícito, art. 9.2.a) | Lo necesario para prestar el servicio |
Fuentes: artículos 6.1, 9.2 y 30 del RGPD y artículo 22 de la LOPDGDD. Los plazos fiscales están desarrollados en la guía de fiscalidad para venta de entradas. El detalle de qué puedes pedir y qué no en el formulario de compra está en la guía sobre qué datos puedes pedir al comprador de una entrada.
¿Qué bases legales existen para el tratamiento de datos?
El artículo 6.1 del RGPD exige que cada tratamiento de datos se apoye en una de las seis bases legales que enumera. Para organizadores de eventos, las más relevantes son:
- Ejecución de contrato: necesitas los datos para vender y entregar la entrada
- Consentimiento: para enviar newsletters o comunicaciones comerciales
- Interés legítimo: para prevenir fraude o mejorar el servicio
- Obligación legal: datos fiscales que debes conservar por ley. Consulta la guía de fiscalidad para venta de entradas para más detalle
Dos avisos sobre el interés legítimo. El primero es que la letra f) del artículo 6.1 lo condiciona a que no prevalezcan «los intereses o los derechos y libertades fundamentales del interesado», así que exige una ponderación escrita, no una etiqueta. El segundo es que el artículo 21.2 del RGPD da al asistente derecho a oponerse en cualquier momento al tratamiento con fines de mercadotecnia directa, y entonces «los datos personales dejarán de ser tratados para dichos fines». No hay ponderación que resista a una oposición.
¿Cómo obtener bien el consentimiento?
El artículo 4.11 del RGPD define el consentimiento como una manifestación «libre, específica, informada e inequívoca», y el artículo 7 añade las condiciones para demostrarlo y retirarlo. Esto significa que no puedes usar casillas premarcadas, ni condicionar la compra a aceptar marketing, ni esconder el consentimiento en términos y condiciones genéricos. Si además envías comunicaciones comerciales por email o SMS, aplica también el artículo 21 de la Ley 34/2002 (LSSI-CE).
- Casillas separadas para cada finalidad (una para marketing, otra para terceros)
- Lenguaje claro y comprensible, sin jerga legal
- Igual de fácil retirar el consentimiento que darlo
- Registro de cuándo y cómo se obtuvo cada consentimiento
El apartado 1 de ese artículo 21 es rotundo: «Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». El apartado 2 abre la única puerta útil para un promotor: si existe una relación contractual previa, los datos se obtuvieron lícitamente y la comunicación se refiere a productos o servicios similares a los contratados, puedes escribir a quien ya te compró. A cambio, debes ofrecer la oposición por «un procedimiento sencillo y gratuito» tanto en la recogida del dato como en cada mensaje. En la práctica: quien compró una entrada de tu festival puede recibir el anuncio de la próxima edición; quien compró una entrada de teatro no es público natural de tu campaña de un tercero. Cómo se monta esa secuencia, en la guía de email marketing para eventos.
¿Qué derechos tienen los asistentes sobre sus datos?
Los artículos 15 a 22 del RGPD reconocen a los asistentes una serie de derechos sobre sus datos que debes poder atender. El artículo 12.3 te da un mes desde la recepción de la solicitud para responder, prorrogable otros dos meses cuando la complejidad o el número de solicitudes lo justifique, avisando al interesado dentro del primer mes y explicando el motivo del retraso.
- Acceso: saber qué datos tienes sobre ellos
- Rectificación: corregir datos incorrectos
- Supresión: borrar sus datos (con excepciones legales)
- Portabilidad: recibir sus datos en formato estructurado
- Oposición: negarse a ciertos tratamientos
Dos matices operativos. La portabilidad del artículo 20 solo alcanza a los datos que el propio interesado te facilitó y a los tratamientos basados en consentimiento o contrato, y tiene que entregarse «en un formato estructurado, de uso común y lectura mecánica»: un CSV sirve, una captura de pantalla no. Y la supresión del artículo 17 no es absoluta: el apartado 3.b) la excepciona cuando el tratamiento es necesario «para el cumplimiento de una obligación legal», que es justo lo que te ocurre con los registros fiscales de una venta. Borrar el perfil de marketing y conservar la factura no es una contradicción: es lo que pide la norma.
¿Cuándo necesitas una evaluación de impacto para tu evento?
Cuando el tratamiento entraña un alto riesgo. El artículo 35.1 del RGPD obliga a hacer la evaluación de impacto (EIPD) antes de poner en marcha el tratamiento, y la AEPD publica la lista de tipos de tratamientos que requieren evaluación de impacto prevista en el artículo 35.4. Esa lista fija un criterio práctico: será necesaria una EIPD «en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios» de los once que enumera.
Varios de esos criterios se cruzan en un festival grande: tratamientos que impliquen «perfilado o valoración de sujetos» (criterio 1), «el uso de datos biométricos con el propósito de identificar de manera única a una persona física» (criterio 5), «el uso de datos a gran escala» (criterio 7), la «asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos» (criterio 8) y «la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas» (criterio 10).
Hagamos la cuenta sobre un caso concreto, que es lectura nuestra de la lista y no una resolución de la AEPD: un festival que valida el acceso con huella, cruza la base de compradores con la del cashless y segmenta campañas por comportamiento de compra reúne los criterios 5, 7, 8 y 10. Son cuatro de once: la EIPD deja de ser discutible.
¿Puedes usar reconocimiento facial o huella en el control de accesos?
Solo con una base jurídica muy sólida, y casi nunca con el consentimiento a secas. La AEPD publicó el 23 de noviembre de 2023 la guía Tratamientos de control de presencia mediante sistemas biométricos y, en su nota de prensa, sostiene que considera «el tratamiento de datos biométricos, tanto para identificación como para autenticación, como un tratamiento de alto riesgo que incluye categorías especiales de datos».
Las consecuencias son tres. Hace falta una circunstancia que levante la prohibición del artículo 9.1 del RGPD y, además, una condición del artículo 6 que legitime el tratamiento. Hace falta una EIPD «de forma previa al inicio del tratamiento». Y hay que demostrar «la superación del triple análisis de idoneidad, necesidad y proporcionalidad»: si un QR nominativo o una pulsera NFC resuelven el control de acceso, la huella no supera el test de necesidad. Por eso la mayoría de los recintos se quedan en el control de accesos con QR y NFC, que trata muchos menos datos y no entra en el artículo 9.
¿Qué pasa con los proveedores y encargados de tratamiento?
Cuando usas una plataforma de ticketing, un servicio de email marketing o cualquier otro proveedor que acceda a datos de tus asistentes, el artículo 28 del RGPD exige un contrato de encargado de tratamiento por escrito. Ese artículo enumera lo que el contrato debe contener como mínimo: objeto, duración, naturaleza y fin del tratamiento, tipo de datos, categorías de interesados y las obligaciones del encargado, entre ellas actuar solo siguiendo tus instrucciones y borrar o devolver los datos al terminar el servicio.
- Verifica que tus proveedores cumplen con RGPD
- Firma contratos de encargado de tratamiento
- Comprueba dónde almacenan los datos (transferencias internacionales)
- Mantén un registro de todos los proveedores con acceso a datos
Tres puntos que se escapan en los contratos tipo. El artículo 28.2 prohíbe al encargado subcontratar sin tu autorización previa, por escrito, específica o general: si tu plataforma cambia de proveedor de correo transaccional, tienes derecho a enterarte y a oponerte. El artículo 28.3.h) te da derecho a auditarlo o a recibir sus auditorías. Y si algún proveedor trata los datos fuera del Espacio Económico Europeo sin decisión de adecuación, el instrumento habitual son las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, que hay que firmar y completar con una evaluación del país de destino. El punto de partida de esa conversación es simple: pide por escrito la lista de subencargados y el país donde se alojan los datos antes de firmar, no después del primer incidente.
¿Qué hacer ante una brecha de seguridad?
El artículo 33.1 del RGPD obliga a notificar la violación de seguridad a la autoridad de control —en España, la Agencia Española de Protección de Datos— «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella». Hay dos matices que se pasan por alto: no hay que notificar si es improbable que la brecha suponga un riesgo para los derechos y libertades de las personas, y si se pasa de las 72 horas hay que motivar el retraso. Si el riesgo es alto, el artículo 34 obliga además a comunicárselo a los afectados. La AEPD publica una guía de notificación de brechas; tener el protocolo preparado antes de que ocurra es lo que marca la diferencia.
Las cifras de 2025 de la AEPD ayudan a calibrar. De las 2.765 notificaciones recibidas, once se trasladaron a investigación adicional por considerarse de severidad alta: el 0,4 % (cálculo propio). Notificar no es confesar una infracción; no notificar sí es, por sí mismo, un incumplimiento del artículo 33. Las brechas de mayor impacto, según la propia Agencia, fueron las derivadas de ransomware e intrusiones en sistemas de información, pero entre las más frecuentes están las mundanas: enviar datos personales a destinatarios incorrectos y mostrar datos personales por error. Un correo con la lista de invitados en copia abierta es exactamente eso.
Dos herramientas útiles. La AEPD ofrece Comunica-Brecha RGPD para decidir si hay que avisar a los afectados conforme al artículo 34. Y el artículo 33.5 obliga a documentar internamente todas las brechas, también las que no se notifican, con sus efectos y las medidas correctoras: ese registro es lo primero que pide una inspección.
¿Qué errores cometen más a menudo los organizadores?
Seis, y ninguno necesita un hacker.
- La lista de invitados en copia abierta. Un envío con cien direcciones visibles es una brecha de confidencialidad, de las que la AEPD describe como las más frecuentes.
- La casilla premarcada de marketing. Incompatible con el artículo 4.11 del RGPD, que exige una manifestación inequívoca.
- Ceder la base de compradores al patrocinador. Es una finalidad distinta y necesita su propia base legal e información previa. No cabe en el contrato de venta de la entrada.
- Exportar la base a una herramienta nueva sin contrato de encargado. El artículo 28 se aplica igual a un CRM de prueba que a la plataforma principal.
- Pedir el DNI «por si acaso». El principio de minimización del artículo 5.1.c) exige recoger solo lo adecuado y limitado a lo necesario.
- Guardar las imágenes de cámaras más de un mes. El artículo 22 de la LOPDGDD obliga a suprimirlas en ese plazo salvo que acrediten actos ilícitos.
¿Por qué el RGPD es una oportunidad y no solo una obligación?
El RGPD no es solo una obligación legal, es una oportunidad para generar confianza con tus asistentes. Gestionar los datos de forma transparente y responsable mejora tu reputación y reduce riesgos. Invierte tiempo en implementar las bases correctamente y actualízalas cuando cambien tus procesos.
Y Futura Tickets, ¿qué parte de esto cubre?
Ninguna plataforma te convierte en responsable cumplidor: el responsable del tratamiento eres tú, y la plataforma es encargada. Lo que sí cambia según el proveedor es quién se queda los datos. Futura Tickets es una plataforma SaaS española de ticketing para organizadores profesionales. Con Futura Tickets la base de datos de asistentes es 100 % del organizador: emails y teléfonos se entregan íntegros, cumpliendo el RGPD. Eso importa el día que un asistente ejerce su derecho de acceso o de supresión: si no puedes exportar ni borrar, no puedes atenderlo en el mes que marca el artículo 12.3. Las condiciones están en precios.
Qué comprobar antes de abrir la venta
Seis comprobaciones, todas anteriores al primer ticket vendido.
Escribe el registro de actividades antes del formulario. El artículo 30 del RGPD lo exige y, además, obliga a decidir la base legal de cada dato. Si no sabes qué base ampara un campo, ese campo sobra.
Separa las casillas y guarda la prueba. Una para la compra, otra para el marketing, otra para las cesiones. Y un registro con fecha, hora y texto mostrado: el artículo 7.1 te hace responsable de demostrar que el consentimiento existió.
Firma el contrato de encargado con tu plataforma y pide su lista de subencargados. Con el país de alojamiento por escrito. Si hay destino fuera del EEE, las cláusulas tipo de la Decisión 2021/914.
Decide hoy quién atiende un derecho de acceso. Tienes un mes desde la solicitud. Un buzón de correo sin dueño es la forma más común de incumplir ese plazo.
Prepara el protocolo de brecha antes del evento. Quién detecta, quién valora el riesgo, quién notifica y con qué datos. Las 72 horas del artículo 33 corren también en fin de semana de festival.
Revisa qué tecnología de acceso vas a usar. Si alguien propone huella o rostro, la respuesta corta es que hace falta levantar la prohibición del artículo 9 y hacer una EIPD previa. Si vale un QR nominativo, usa el QR.
Fuentes
Todos los enlaces se consultaron el 11 de octubre de 2026. Esta guía es informativa y no sustituye al asesoramiento jurídico para un caso concreto.
- Reglamento (UE) 2016/679 (RGPD) — art. 4.11 y 7 (consentimiento), art. 5.1.c) (minimización), art. 6.1 (bases legales), art. 9 (categorías especiales), art. 12.3 (plazo de respuesta), arts. 15-22 (derechos), art. 28 (encargado de tratamiento), art. 30 (registro de actividades), art. 33 y 34 (brechas), art. 35 (evaluación de impacto), art. 83.4 y 83.5 (multas)
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales — art. 7 (menores de catorce años) y art. 22 (videovigilancia)
- Ley 34/2002, de servicios de la sociedad de la información (LSSI-CE), art. 21
- Agencia Española de Protección de Datos
- AEPD: guía para la gestión y notificación de brechas de seguridad (PDF)
- AEPD: la Agencia recibió 2.765 notificaciones de brechas de datos personales en 2025 (nota de prensa, 23 de enero de 2026)
- AEPD: listas de tipos de tratamientos que requieren evaluación de impacto, artículo 35.4 (PDF)
- AEPD: guía sobre tratamientos de control de presencia mediante sistemas biométricos, noviembre de 2023 (PDF)
- AEPD: nota de prensa sobre la utilización de datos biométricos para el control de presencia y acceso
- AEPD: herramienta Comunica-Brecha RGPD
- Decisión de Ejecución (UE) 2021/914 de la Comisión, cláusulas contractuales tipo para la transferencia de datos a terceros países