Quando a LGPD entra em jogo
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) se aplica a qualquer coleta e tratamento de dados pessoais realizado no Brasil - independente do tamanho do evento. No dia a dia de quem vende ingresso, isso acontece o tempo todo:
- Cadastro na compra (nome, CPF, e-mail, telefone);
- Processamento de pagamento;
- Check-in na portaria com validação de identidade;
- Disparo de e-mail ou WhatsApp de divulgação e lembrete;
- Cadastro de promoters e listas de convidados.
Quem organiza o evento é, tecnicamente, o controlador dos dados - e responde pelo uso correto deles, mesmo quando a coleta acontece através de uma plataforma terceira.
Consentimento e finalidade
A regra de ouro da LGPD é simples: use o dado só para o que você disse que ia usar. Na prática, isso separa dois fluxos diferentes:
- Dados operacionais (nome, CPF, e-mail para emissão e validação do ingresso): a base legal é a execução do contrato de compra, sem exigir consentimento separado - mas exige transparência sobre o uso;
- Dados de marketing (envio de e-mail sobre próximos eventos, ofertas): exige consentimento específico, informado e com opção clara e fácil de descadastro.
Regra prática: se o dado sai do fluxo "comprei um ingresso, recebo o que preciso para usá-lo", pergunte antes. Marcar uma caixinha pré-marcada ou esconder a opção de recusa não vale como consentimento válido.
Segurança e retenção de dados
A lei exige medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, vazamento ou uso indevido. Para organizadores, isso significa:
- Usar plataforma de venda com pagamento e dados criptografados;
- Limitar quem, na equipe, acessa a lista completa de compradores;
- Guardar os dados apenas pelo tempo necessário - prestação de contas fiscal, por exemplo, tem prazo legal definido; fora isso, elimine ou anonimize;
- Ter um canal simples para o participante pedir exclusão ou correção dos dados.
Compartilhamento com fornecedores e patrocinadores
Se um patrocinador pede a lista de participantes para uma ação de marketing, isso é compartilhamento de dados - e precisa de base legal e, em geral, consentimento específico do participante. O organizador pode ser responsabilizado solidariamente por uso indevido feito por parceiros, então vale formalizar em contrato a finalidade autorizada e a obrigação de descarte após o uso.
Fiscalização em alta a partir de 2026
A Lei nº 15.352/2026 transformou a ANPD em agência reguladora, com mais autonomia e estrutura para fiscalizar - e a mudança já apareceu na prática: só em junho de 2026, a autoridade abriu 19 novos processos sancionadores. As multas podem chegar a R$ 50 milhões por infração, e o erro que mais pesa nos casos já sancionados não é o incidente de segurança em si, mas a demora em comunicá-lo - o prazo é de 3 dias úteis após a empresa tomar conhecimento do incidente. Veja o detalhamento completo em ANPD vira agência reguladora e multas chegam a R$ 50 milhões.
Perguntas frequentes
A LGPD se aplica a organizadores de eventos pequenos?
Sim. A lei se aplica a qualquer coleta e tratamento de dados no Brasil, independentemente do porte do evento. Quem coleta nome, CPF ou e-mail na venda de ingresso é controlador de dados.
Preciso pedir consentimento para enviar e-mail de divulgação?
Sim, para marketing o ideal é consentimento específico com opção clara de descadastro. Para dados usados só na compra (confirmação, ingresso, suporte), a base legal é a execução do contrato.
Por quanto tempo posso guardar os dados após o evento?
Apenas pelo tempo necessário à finalidade que justificou a coleta, como prestação de contas fiscal. Dados sem finalidade ativa devem ser eliminados ou anonimizados.
O organizador responde por vazamento de dados de um fornecedor?
Pode responder solidariamente se envolver dados compartilhados pelo organizador. Por isso, contratos com fornecedores e patrocinadores devem prever cláusulas de proteção de dados.
As multas da LGPD aumentaram em 2026?
Sim - a ANPD virou agência reguladora em 2026 e abriu 19 processos sancionadores só em junho. As multas podem chegar a R$ 50 milhões por infração, com prazo de 3 dias úteis para notificar um vazamento.
Dados protegidos desde o checkout
O Borai usa pagamento e ingresso criptografados, com controle de acesso e QR Code antifraude - segurança de dados como padrão, não como extra.
Entrar na lista de espera →