LGPD em eventos: o que o produtor precisa fazer com os dados dos inscritos

Em um evento, o produtor normalmente é o controlador dos dados dos participantes: é quem decide para que eles servem, como a lista de inscritos, o credenciamento e as comunicações do evento. A plataforma de ingressos atua como operadora quando trata esses dados em nome do produtor. Isso significa que o produtor responde pelo uso que faz das listas que exporta, dos e-mails que envia e dos pedidos dos participantes sobre os próprios dados.

Controlador e operador: quem é quem

A LGPD define (art. 5º, VI e VII):

• controlador: a quem competem as decisões sobre o tratamento de dados pessoais;
• operador: quem realiza o tratamento em nome do controlador.

A Política de Privacidade da SuperTixs segue essa divisão: a SuperTixs é controladora dos dados necessários à operação da plataforma, como conta, antifraude e suporte, e atua como operadora quando trata dados em nome do organizador, como lista de participantes, check-in e comunicações do evento. Nesses casos, o organizador é o controlador.

Quais dados um evento costuma coletar

Princípios que mais pesam em eventos

• Finalidade (art. 6º, I): use os dados para propósitos legítimos, específicos e informados ao participante. Lista de inscritos de um congresso não vira base de vendas de outro negócio sem base legal para isso.
• Necessidade (art. 6º, III): colete o mínimo necessário. Se o CPF não é usado para nada no credenciamento, não pergunte.

Base legal: por que você pode tratar cada dado

O art. 7º lista as hipóteses. As mais comuns em eventos são:

• execução de contrato (inciso V): emitir o ingresso, controlar a entrada, avisar sobre mudanças;
• obrigação legal (inciso II): por exemplo, registros fiscais e o histórico de transferências de cada ingresso, que o Decreto nº 13.108/2026 manda guardar por pelo menos dois anos;
• consentimento (inciso I): envio de promoções e ofertas;
• legítimo interesse (inciso IX): usos compatíveis com a relação, desde que não prevaleçam os direitos do titular.

Consentimento para marketing e imagem

Pela LGPD, consentimento é a manifestação livre, informada e inequívoca para uma finalidade determinada (art. 5º, XII). Autorizações genéricas são nulas (art. 8º, § 4º), e o consentimento pode ser revogado a qualquer momento por procedimento gratuito e facilitado (art. 8º, § 5º).

No checkout da SuperTixs, a caixa Aceito receber promoções e descontos do produtor deste evento (opcional) vem desmarcada, e a plataforma não envia e-mails promocionais do produtor a quem não marcou. Os e-mails do produtor enviados pela plataforma trazem link de descadastro, com opção de sair da lista de um evento, de um produtor ou de todos.

Para fotos e vídeos, informe no ingresso, no site e na entrada que haverá captação de imagem e para que ela será usada.

Compartilhamento com patrocinadores

Passar a lista de participantes a um patrocinador é um novo uso, com nova finalidade, e precisa de base legal própria, em geral o consentimento específico. Alternativas que dispensam repassar dados: o patrocinador oferece um cupom no local, ou o próprio produtor envia a oferta a quem consentiu receber promoções.

Dados sensíveis e menores de idade

• Dado referente à saúde é dado sensível (art. 5º, II). Comprovantes de deficiência para meia-entrada exigem cuidado redobrado: acesso restrito e uso só para conferir o benefício. O art. 11 traz as hipóteses em que esses dados podem ser tratados.
• Dados de crianças e adolescentes devem ser tratados no melhor interesse deles (art. 14). Para crianças, que o Estatuto da Criança e do Adolescente define como pessoas de até 12 anos incompletos, é preciso consentimento específico e em destaque de pelo menos um dos pais ou responsável (art. 14, § 1º).

Na SuperTixs, os comprovantes de meia-entrada ficam em armazenamento restrito: podem ver o próprio comprador, a equipe de vendas do evento e administradores da plataforma.

Quanto tempo guardar e quando apagar

O tratamento termina quando a finalidade é alcançada (art. 15), e os dados devem ser eliminados depois disso, com exceções como o cumprimento de obrigação legal (art. 16). Para o produtor, isso quer dizer: planilhas exportadas para o credenciamento não precisam ficar para sempre no computador da equipe. Defina quem guarda, onde e até quando.

Direitos dos participantes

O titular pode pedir confirmação, acesso, correção, eliminação de dados tratados com consentimento, informação sobre compartilhamento e revogação do consentimento, entre outros direitos (art. 18), sem custo (art. 18, § 5º). Quando o organizador é o controlador, pedidos sobre o uso que ele faz dos dados devem ser respondidos por ele. Tenha um e-mail de contato visível para isso.

Encarregado e incidentes

• O controlador deve indicar um encarregado de dados (art. 41). Agentes de tratamento de pequeno porte podem ser dispensados, mas precisam manter um canal de comunicação com os titulares (Resolução CD/ANPD nº 2/2022, art. 11). A dispensa não vale para quem faz tratamento de alto risco, o que pode incluir dados sensíveis ou de crianças e adolescentes em larga escala.
• Se uma planilha de inscritos vazar, o controlador deve comunicar a ANPD e os titulares quando o incidente puder gerar risco ou dano relevante (art. 48), no prazo de três dias úteis definido pela Resolução CD/ANPD nº 15/2024.
• As multas podem chegar a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração (art. 52, II).

O que a SuperTixs faz e o que fica com o produtor

Checklist rápido

• Revise o formulário e apague perguntas que você não usa.
• Separe consentimento de marketing da compra do ingresso.
• Informe captação de imagem antes e durante o evento.
• Restrinja quem da equipe pode exportar listas.
• Combine com patrocinadores ações que não exijam repassar dados.
• Defina prazo para apagar planilhas depois do evento.
• Publique um canal para pedidos sobre dados pessoais.

Leia também meia-entrada: regras e configuração, check-in por QR Code, carrinho abandonado e a Política de Privacidade da SuperTixs.