Introducción: el retrato que dibujan tus salidas
Vigilamos nuestro historial médico, nuestro extracto bancario, las cámaras del edificio. Casi nadie se preocupa por su historial de compra de entradas.
Y sin embargo, toma tres años de salidas y mira lo que eso cuenta. Un concierto de rap en una sala de 500 plazas. Dos conferencias organizadas por una asociación confesional. Un festival de cine militante. Un espectáculo infantil un sábado por la mañana — o sea, un niño de cuatro o cinco años. Una exposición sobre las adicciones. Un abono «solidario» a tarifa reducida acreditando una prestación social mínima. Un partido en el estadio en la grada de la afición visitante. Una obra de teatro LGBT un martes por la noche, pagada en solitario, una única entrada.
Tu ocio no dice lo que haces con tus días. Dice lo que te importa de verdad — tus convicciones, tu entorno social, tus ingresos, tu estado de salud, la composición de tu hogar y la ciudad donde duermes. Y, a diferencia del historial médico, ese retrato no está protegido por ningún secreto profesional.
Esta guía hace inventario de lo que las plataformas de venta de entradas en línea, las pulseras cashless, los carnés de abono y los dispositivos de control de acceso registran realmente, recuerda qué es obligatorio y qué no lo es — la diferencia es enorme — y propone después gestos concretos para seguir saliendo sin alimentar un expediente.
Parte 1 — El inventario: quién recopila qué, y por qué
La venta de entradas en línea: el verdadero centro de gravedad
Cuando compras una entrada de concierto, casi nunca tratas con la sala. Tratas con una plataforma de venta de entradas, que es un actor económico distinto, a menudo internacional, y cuyo modelo se basa en parte en el conocimiento de su audiencia.
Lo que acaba en la base de datos, más allá de lo estrictamente necesario:
| Dato | Utilidad real para el evento | Lo que revela |
|---|---|---|
| Nombre y apellidos | Baja (salvo entrada nominativa obligatoria) | Identidad civil |
| Dirección postal | Nula para una entrada electrónica | Domicilio, barrio, nivel de vida |
| Fecha de nacimiento | Útil solo si hay tarifa o edad regulada | Edad exacta |
| Número de móvil | Aviso de cancelación | Identificador pivote de toda tu vida digital |
| Historial de compras | Nula después del evento | Convicciones, gustos, entorno |
| Tarifa aplicada | Contable | Situación social (estudiante, desempleado, discapacidad, renta mínima) |
| Número de plazas | Logística | Situación familiar o soltería |
La tarifa reducida es el detalle más locuaz de todos. Marcar «beneficiario de la renta mínima», «demandante de empleo», «titular de una tarjeta de movilidad por discapacidad» o «estudiante» equivale a declarar un dato socioeconómico — a veces un dato de salud — a una empresa privada cuyo oficio no es ese.
El cashless de los festivales: un extracto bancario de tu fin de semana
La pulsera RFID que te colocan en la muñeca a la entrada de un festival ha sustituido a las fichas de cartón. Técnicamente, se trata de una cuenta de prepago vinculada a un identificador, vinculado a su vez a tu inscripción en línea — es decir, a tu tarjeta bancaria y a tu correo electrónico.
Resultado: un historial con marca horaria de tus consumos. Número de cervezas, hora de la última, puesto de merchandising, terminal donde recargaste, escenario por delante del que pasaste si los arcos están instrumentados. Es un extracto de comportamiento, mucho más granular que un extracto bancario clásico, y sobrevive a menudo varios años «para la gestión de los reembolsos de saldos».
La CNIL se ha pronunciado en varias ocasiones sobre estos dispositivos: el cashless es lícito, pero debe seguir siendo proporcionado y, sobre todo, no desembocar en una elaboración de perfiles individuales de los festivaleros sin una base legal clara. En la práctica, el consentimiento rara vez es libre: sin pulsera, no hay compras en el recinto.
Los museos: abonos, terminales y conteo
Un museo que vende una entrada con marca horaria por unidad apenas te conoce. Un museo que vende un abono anual con foto te conoce muy bien: frecuencia de visita, horarios, exposiciones elegidas, personas acompañantes en las entradas combinadas.
A esto se suman dispositivos a menudo ignorados por el público:
- El conteo mediante cámara o sensor de flujo, en principio anónimo y estadístico — pero cuya configuración (estimación de edad, de género, medición del tiempo frente a una obra) lo convierte en tratamiento de datos personales si permite individualizar a un visitante;
- Las aplicaciones de visita que piden la geolocalización en interiores (balizas Bluetooth) y reconstruyen tu recorrido sala por sala;
- El wifi gratuito, punto de recogida clásico cuya dirección MAC y hora de conexión bastan para demostrar tu presencia;
- Las audioguías y auriculares asociados a un documento de identidad en depósito.
Sobre este último punto: dejar el DNI en depósito para una audioguía es una práctica extendida y jurídicamente frágil. Un justificante no debe conservarse, y mucho menos fotocopiarse. Una alternativa igual de eficaz consiste en usar material propio: unos auriculares con cable compactos bastan para las visitas que ofrecen un recorrido en audio en línea, y evitan dejar un documento de identidad en el guardarropa.
Los estadios y los grandes recintos: el terreno de experimentación
Ahí es donde la vigilancia está más avanzada. Entrada estrictamente nominativa e infalsificable, prohibición de revenderla fuera de la plataforma oficial, control de identidad en la entrada, cacheo, a veces cámaras llamadas «aumentadas» para la detección de movimientos de masas.
Francia ha regulado estas cámaras algorítmicas mediante una experimentación legal, cuyo uso corresponde controlar a la CNIL. Un punto importante que conviene conocer: el reconocimiento facial no está autorizado en este marco — solo se contemplan casos de uso de detección de acontecimientos (movimiento de masas, objeto abandonado, densidad). La frontera es técnica y, por tanto, frágil; merece ser conocida más que fantaseada.
Parte 2 — Qué es obligatorio y qué no lo es
Esta es la parte que los formularios nunca te explican. El RGPD impone la minimización: solo se recopila lo necesario para la finalidad anunciada. Aplicado a tus salidas, eso traza una línea divisoria nítida.
Legítimo y difícilmente eludible:
- El nombre en una entrada cuando la nominatividad es obligatoria: grandes eventos deportivos, aforos elevados sujetos a resolución administrativa, mecanismos de lucha contra la reventa especulativa;
- Una prueba de edad para un espectáculo prohibido a menores o para el acceso a bebidas alcohólicas;
- Un justificante de tarifa que se presenta el mismo día, en mano, a un agente de control;
- Un medio para localizarte en caso de cancelación: una dirección de correo electrónico basta.
No obligatorio, aunque el formulario lo muestre como campo requerido:
- Tu dirección postal completa para una entrada digital;
- Tu número de móvil cuando ya existe un correo electrónico;
- Tu fecha de nacimiento exacta cuando basta una casilla de «mayor de edad»;
- La conservación de una copia de tu justificante de tarifa reducida o de tu documento de identidad;
- Tu consentimiento para la newsletter, para los socios comerciales, para la publicidad personalizada: esas casillas deben estar desmarcadas por defecto y la negativa no puede privarte de la entrada;
- La creación de una cuenta cuando es técnicamente posible comprar como invitado.
Regla sencilla: todo lo que sirve después de la función pertenece al marketing, no a la venta de entradas. Y todo lo que pertenece al marketing es rechazable.
Los plazos de conservación
No existe un plazo único fijado por la ley, sino una regla: la conservación debe limitarse a lo necesario. En la práctica, los referenciales de la CNIL sobre gestión comercial manejan un orden de magnitud de tres años desde el último contacto para un fichero de prospección, conservándose los documentos contables aparte, durante el plazo legal, sin necesidad de guardar tu perfil detallado.
Un historial de compras culturales guardado «de por vida» para «recomendarte mejor» no tiene ninguna base sólida. Es exactamente el objeto de una solicitud de supresión.
Parte 3 — Los gestos concretos, del más sencillo al más exigente
Nivel 1 — Compartimentar la identidad de ocio
El problema viene sobre todo de que tus entradas, tus compras, tu banco y tu vida profesional comparten los mismos identificadores. Sepáralos.
- Una dirección de correo dedicada al ocio o, mejor aún, alias desechables distintos para cada plataforma. Un alias comprometido o revendido se corta en tres segundos, y sabes de inmediato quién ha filtrado tu dirección.
- Deja de dar tu número de móvil. Se ha convertido en el identificador pivote que permite cruzar bases de datos entre sí. Cuando se exige una confirmación por SMS, un número secundario o un servicio de envío y recepción sin vínculo con tu línea principal resuelve la cuestión.
- No crees una cuenta cuando exista la compra como invitado. Sin cuenta, no hay historial consolidado.
- Desactiva el autorrellenado del navegador en estos formularios: completa campos que tú no habrías rellenado.
Nivel 2 — Pagar sin contar tu vida
El medio de pago es la costura entre tu expediente de entradas y tu expediente bancario.
- Da preferencia a los números de tarjeta virtuales de un solo uso que ofrecen la mayoría de los bancos: importe limitado, duración limitada, ningún vínculo explotable de una plataforma a otra;
- Para las entradas en taquilla, el efectivo sigue siendo el único método realmente no rastreable. Las taquillas físicas de las salas municipales, los teatros y los cines independientes todavía venden entradas en el mostrador;
- En un festival, recarga tu pulsera en efectivo en una terminal física en lugar de con tarjeta en línea: el vínculo con tu identidad bancaria desaparece;
- Acuérdate de reclamar el saldo de tu cashless después del evento: no solo recuperas tu dinero, sino que cierras una cuenta activa.
Nivel 3 — Reducir las huellas sobre el terreno
- Desactiva el wifi y el Bluetooth del móvil cuando entres en un espacio cultural. Es el gesto más rentable de toda la lista: corta de golpe las balizas de recorrido, las terminales de conteo y las redes de recogida de datos. Una funda aislante anti-RFID para credenciales o tarjetas completa muy bien el dispositivo para los títulos de transporte y las tarjetas sin contacto que lleves encima.
- No instales la aplicación del evento si existe un plano en papel o una versión web. Si la instalas, rechaza la localización en segundo plano y desinstálala al salir.
- Evita las fotos de entradas en redes sociales: un código QR fotografiado sigue siendo legible, y un número de pedido basta a veces para acceder al expediente.
- Para las visitas al aire libre o los festivales, una batería externa compacta evita enchufar el móvil en los puntos de recarga públicos, algunos de los cuales pasan por un cable de datos.
- El transporte: un billete sencillo comprado en efectivo es preferible a pasar con un abono nominativo para acudir a una concentración sensible.
Nivel 4 — Ejercer tus derechos, una vez al año
Una hora al año basta para limpiar lo esencial.
- Derecho de acceso: pide a dos o tres plataformas de venta de entradas una copia de tus datos. El plazo de respuesta es de un mes. El contenido suele ser instructivo: historial completo, segmento de marketing asignado, socios destinatarios.
- Derecho de supresión: solicita la eliminación de las cuentas inactivas y de los historiales de compra de más de tres años.
- Oposición a la prospección comercial: basta un correo electrónico, sin necesidad de justificarlo.
- Reclamación ante la CNIL en caso de falta de respuesta o de negativa: el procedimiento es en línea y gratuito.
Para quienes quieran entender la mecánica en lugar de padecerla, una guía práctica sobre el RGPD y los datos personales cabe en una estantería y evita muchas idas y venidas.
Parte 4 — Tres casos sensibles
La tarifa reducida que revela tu situación
Estás en situación de desempleo, cobras una renta mínima o tienes una tarjeta de movilidad por discapacidad. La tarifa existe, es legítima, está hecha para ti — y te obliga a declarar esa información a una plataforma privada.
La buena práctica: reserva a tarifa completa en línea si el importe es bajo, o compra en taquilla, donde el justificante se mira y se devuelve, sin registro. Cuando la plataforma exige subir un documento, envía uno tachado: solo son necesarias las menciones útiles para comprobar el derecho a la tarifa, no tu número de la seguridad social ni el detalle de tus ingresos.
El compromiso que te clasifica
Conferencia sindical, proyección militante, encuentro confesional, evento comunitario: estas inscripciones corresponden a categorías especiales de datos en el sentido del RGPD — opiniones políticas, convicciones religiosas, orientación sexual, salud. Su tratamiento está, en principio, prohibido, salvo excepciones.
Un organizador serio no pide, por tanto, nada más que un nombre y un correo electrónico. Si reclama una dirección completa y un teléfono para una reunión pública y gratuita, la pregunta merece plantearse en voz alta.
El menor al que apuntamos a una actividad
Taller en el museo, curso de teatro, escuela de música, colonia cultural: estos expedientes acumulan la identidad del menor, fotos, a veces un certificado médico y autorizaciones de derechos de imagen. La autorización para difundir fotos es siempre facultativa y disociable de la inscripción. Una negativa por escrito, clara y fechada, es jurídicamente sólida. Para conservar los recuerdos sin alimentar ninguna nube, una pequeña cámara digital compacta confiada al niño cumple perfectamente, y las imágenes se quedan en casa.
Conclusión: salir sin contar tu vida
La cultura nunca ha necesitado tu identidad. Se entraba al teatro con un trozo de cartón, al museo con una moneda, al concierto con una entrada de pie comprada esa misma noche. El anonimato no era un privilegio: era la norma.
Lo que ha cambiado no es la ley — el RGPD está más bien del lado del espectador. Es la costumbre. Los formularios muestran campos requeridos que no lo son, las plataformas consolidan historiales de los que no tienen ningún uso legítimo, y nosotros rellenamos todo eso sin pensarlo, porque el concierto empieza en veinte minutos.
Tres reflejos resumen lo esencial: una dirección de correo dedicada, ningún número de móvil, las radios del teléfono apagadas al entrar. El resto — pago compartimentado, solicitudes de supresión anuales, justificantes tachados — se añade a medida que la costumbre se instala.
Tienes derecho a amar lo que amas sin que eso constituya un expediente.
