En resumen
- Normativas aplicables: RGPD, AI Act.
- El sector de eventos recoge datos de participantes de forma masiva y, con frecuencia, bajo presión de tiempo: ticketing, formularios de inscripción, acreditaciones e insignias, listas de invitados, datos de pago.
- RGPD hasta 20 M€ o el 4 %, AI Act hasta 35 M€ o el 7 % para las prácticas prohibidas.
- El sector de eventos concentra tratamientos de datos RGPD masivos y puntuales: el rigor recae en las bases legales por finalidad, la información sobre la captación y la seguridad del pago.
Plazos normativos
Las fechas clave de las normativas aplicables a su sector.
Mayo de 2018
RGPDEntrada en aplicación
En vigorAgosto de 2024
AI ActEntrada en vigor
En vigorFebrero de 2025
AI ActProhibición de prácticas prohibidas
En vigorAgosto de 2025
AI ActModelos de IA de uso general (GPAI) y gobernanza
En vigorAgosto de 2026
AI ActObligaciones de sistemas de alto riesgo (Anexo III)
En vigorAgosto de 2027
AI ActAlto riesgo integrado en productos (Anexo I)
PróximamentePor qué el sector «Eventos» está concernido
El sector de los eventos recoge datos de participantes de forma masiva y a menudo con urgencia: venta de entradas, formularios de inscripción, acreditaciones y credenciales, listas de invitados, datos de pago. Cada finalidad (acceso, facturación, marketing) requiere una base jurídica y un plazo de conservación propios.
La captación fotográfica y de vídeo es sistemática y plantea cuestiones de derecho a la imagen acumuladas con el RGPD, especialmente cuando hay menores presentes. Informar a los participantes sobre la captación y su difusión es esencial.
La tentación del reconocimiento facial para agilizar el acceso pone en juego datos biométricos: el AI Act restringe fuertemente la identificación biométrica a distancia en tiempo real en los espacios accesibles al público, y el RGPD trata la biometría como un dato sensible.
RGPD — participantes, acreditaciones, captación
El organizador es responsable del tratamiento para la venta de entradas, las inscripciones, los acreditaciones, las listas de invitados y la captación de imágenes. Debe definir bases jurídicas por finalidad, informar sobre la captación y el derecho a la propia imagen, garantizar la seguridad de los datos de pago y limitar los plazos de conservación.
Los eventos internacionales implican con frecuencia transferencias de datos fuera de la UE que deben encuadrarse.
Obligaciones clave
- Bases legales por finalidad (acceso, facturación, marketing).
- Información sobre la captación de imágenes y el derecho a la propia imagen.
- Seguridad de los datos de pago.
- Regulación de las transferencias fuera de la UE.
AI Act — la biometría de acceso
El reconocimiento facial para el control de acceso implica datos biométricos. El AI Act restringe severamente la identificación biométrica remota en tiempo real en espacios de acceso público y regula la categorización biométrica. Las cámaras «inteligentes» requieren la misma vigilancia.
Las soluciones menos intrusivas (boletería nominativa, códigos QR) son generalmente preferibles.
Obligaciones clave
- Prohibir la biometría de acceso no autorizada.
- Calificar los dispositivos de cámaras inteligentes.
- Transparencia sobre el uso de la IA.
- Articulación con el RGPD (biometría sensible).
Vista comparada de las regulaciones
| Regulación | Rol | Obligación clave | Sanción máx. |
|---|---|---|---|
| RGPD | Responsable | Participantes + captación + pago | 20 M€ / 4 % |
| AI Act | Desplegador | Biometría de acceso encuadrada | 35 M€ / 7 % |
Cómo se articulan estas normativas
El sector del eventos concentra tratamientos RGPD masivos y puntuales: el rigor recae sobre las bases jurídicas por finalidad, la información relativa a la captación y la seguridad del pago. La captación de imágenes articula el RGPD y el derecho a la propia imagen.
La biometría de acceso ilustra la acumulación RGPD / AI Act: dato sensible (RGPD) y uso fuertemente restringido (AI Act). En la gran mayoría de los casos, deben priorizarse soluciones no biométricas.
Calendario de aplicación
- 1RGPD. En vigor; vigilancia sobre captación y transferencias.
- 2AI Act. Prohibiciones: Restricciones biométricas desde febrero de 2025.
Sanciones aplicables
RGPD hasta 20 M€ o el 4 %, AI Act hasta 35 M€ o el 7 % para las prácticas prohibidas. La captación no controlada, la seguridad del pago y la biometría de acceso son los puntos de mayor exposición.
Hoja de ruta de puesta en conformidad
- 1Cartografiar. Registrar venta de entradas, inscripciones, acreditaciones, captación y pago.
- 2Delimitar las finalidades. Definir bases legales y plazos por finalidad.
- 3Informar sobre la captación. Garantizar la información y gestionar el derecho a la imagen.
- 4Proteger el pago y las transferencias. Asegurar el pago y encuadrar las transferencias fuera de la UE.
- 5Descartar la biometría. Priorizar soluciones de acceso no biométricas.
Cómo Data Comply One acompaña al sector
Data Comply One cubre RGPD y AI Act en una plataforma única, con DPO externalizado, y acompaña a los organizadores en la gestión de entradas, la captación, las transferencias internacionales y la cuestión de la biometría de acceso.
DCO ofrece modelos adaptados (menciones de ticketing, información sobre captación, gestión de las transferencias).
Preguntas frecuentes
La ejecución del contrato como base para el acceso, otras bases (consentimiento, interés legítimo) para el marketing, con plazos diferenciados.
Guías detalladas por normativa
¿Cómo va su cumplimiento?
Haga balance en unos minutos o hable con un experto dedicado a su sector.
Ya confían en nosotros
Descubra cómo organizaciones del sector eventos aseguraron su cumplimiento con DCO.