Un théâtre pense souvent n’avoir qu’une billetterie à protéger. En réalité, il empile fichier d’abonnés, caméras, listes d’invités, badges du personnel et données bancaires. Voici comment mettre tout cela en conformité sans freiner la programmation.
Quelles données une salle de spectacle traite-t-elle vraiment ?
La billetterie n’est que la partie visible. Chaque réservation crée une fiche : nom, email, téléphone, historique d’achats, parfois moyen de paiement.
À cela s’ajoutent le fichier des abonnés, les listes de presse et d’invités, la newsletter, les caméras de la salle et les accès du personnel. Sans oublier les données des artistes et intermittents.
La première étape reste toujours la même : cartographier ces flux. Un registre des traitements clair et à jour vous évite de découvrir un fichier oublié le jour d’un contrôle.
Sur quelle base légale repose la billetterie ?
Vendre un billet, c’est exécuter un contrat. La base légale de la billetterie est donc le contrat, pas le consentement.
Vous n’avez pas besoin de cocher une case pour traiter les données strictement nécessaires à la vente et à l’accès au spectacle. En revanche, envoyer une newsletter ou proposer d’autres événements relève d’une autre logique.
Cette distinction est capitale. Confondre les finalités mène à des collectes trop larges. Notre article sur les bases légales du RGPD expliquées simplement détaille comment séparer proprement chaque usage.
Peut-on relancer ses abonnés par email sans risque ?
Oui, mais à condition de respecter les règles de la prospection. Un acheteur de billet peut être recontacté pour des spectacles similaires, au titre de l’intérêt légitime, avec un lien de désinscription visible.
Pour une prospection plus large ou le partage avec des partenaires, le consentement devient nécessaire. La case ne doit jamais être pré-cochée.
Pensez aussi aux mineurs, fréquents dans les programmations jeune public. Pour cadrer vos campagnes, appuyez-vous sur nos conseils pour concilier prospection et protection des données et sur le régime du consentement RGPD valable.
Entre billetterie externalisée, caméras et fichiers marketing, la salle cumule plusieurs responsabilités qui s’entremêlent vite. Se faire épauler par un DPO externalisé qui structure votre conformité permet de garder la maîtrise sans mobiliser une équipe interne dédiée.
Combien de temps garder les données des spectateurs ?
Rien ne justifie de conserver un historique à vie. Chaque finalité a sa propre durée, qui doit figurer dans votre registre.
| Type de données | Durée conseillée | Puis |
|---|---|---|
| Compte client actif | Durée de la relation | Archivage 3 ans après dernier achat |
| Prospects, newsletter | 3 ans sans interaction | Suppression ou nouveau consentement |
| Données bancaires | Le temps de la transaction | Suppression immédiate |
| Images de vidéosurveillance | 30 jours maximum | Effacement automatique |
Comment gérer les caméras et le contrôle d’accès ?
Une salle filme souvent ses entrées, ses caisses et ses circulations. La vidéosurveillance est un traitement à part entière, très encadré.
Les caméras ne doivent pas filmer en continu les postes de travail des salariés ni les zones de repos. Une information visible du public est obligatoire, par panneau à l’entrée.
Le contrôle d’accès par badge ou QR code suit la même logique de proportionnalité. Retrouvez les règles détaillées dans notre guide sur la conformité des caméras au RGPD.
Quels réflexes adopter dès maintenant ?
Inutile de tout révolutionner. Une check-list simple permet déjà de sécuriser l’essentiel.
- Recenser tous les fichiers, y compris les tableurs partagés en interne.
- Vérifier le contrat qui vous lie à votre prestataire de billetterie en ligne.
- Séparer clairement billetterie et communication marketing.
- Afficher une information caméras à chaque entrée concernée.
- Définir et appliquer des durées de conservation par finalité.
- Prévoir une procédure en cas de fuite de données spectateurs.
Ce dernier point est souvent négligé. Une base d’abonnés compromise doit parfois être signalée sous 72 heures, comme le rappelle la CNIL. Notre article sur la notification d’une violation sous 72 heures vous guide pas à pas.
La conformité d’une salle de spectacle n’est pas une contrainte artistique. Bien menée, elle renforce la confiance du public et la relation avec les abonnés. Pour aller plus loin, consultez la fiche officielle de la CNIL sur les règles à suivre en cas de violation de données.
FAQ
Une petite salle associative est-elle vraiment concernée ?
Oui. Le RGPD s’applique dès qu’un organisme traite des données personnelles, quelle que soit sa taille ou son statut. Une association qui gère une billetterie et un fichier d’abonnés doit donc respecter les mêmes principes : information, base légale, durées de conservation et sécurité, même sans salarié dédié à ces questions.
Faut-il un DPO pour une salle de spectacle ?
La désignation d’un délégué n’est pas toujours obligatoire, mais elle est vivement conseillée dès que la vidéosurveillance et les fichiers marketing prennent de l’ampleur. Un référent, interne ou externe, sécurise vos pratiques, répond aux demandes du public et sert d’interlocuteur unique face à la CNIL en cas de contrôle.
Mon prestataire de billetterie est-il responsable à ma place ?
Non. Vous restez responsable de traitement pour les données de vos spectateurs. Le prestataire agit généralement comme sous-traitant, qui traite les données pour votre compte. Un contrat écrit doit encadrer cette relation, préciser les mesures de sécurité et interdire toute réutilisation des données à d’autres fins.
Peut-on photographier le public pendant un spectacle ?
Photographier ou filmer la salle nécessite une information claire et, selon le contexte, le recueil du consentement des personnes reconnaissables. Une signalétique visible et une mention à la réservation limitent les risques. Pour un usage sur vos réseaux ou supports de communication, le consentement reste la base la plus sûre.
