Comment protéger ses données personnelles en festival ?

Ton bracelet est au poignet, ton téléphone dans la poche, ton billet dans Apple Wallet et ton Instagram est en train de documenter absolument chaque minute du festival.

Pratique ? Oui.

Sans risque pour ta vie privée ? Pas forcément.

Entre les QR codes, le Wi-Fi du festival, les applications mobiles, la géolocalisation, les photos, le cashless, les réseaux sociaux et les formulaires à remplir pour participer à un concours, un festival peut générer beaucoup plus de données personnelles que tu ne l’imagines.

Et non, le RGPD n’interdit pas aux festivals de collecter des données.

Il impose notamment aux organismes qui les traitent de respecter des principes de licéité, transparence, finalité, minimisation, sécurité et limitation de la conservation. La CNIL rappelle également que les personnes disposent de droits sur leurs données personnelles.

Pour le festivalier, l’objectif est donc simple : profiter du festival sans distribuer gratuitement toute ta vie numérique.

Qu’est-ce qu’une donnée personnelle ?

Pour la CNIL, une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable.

Cela peut être évidemment :

• ton nom ;
• ton prénom ;
• ton numéro de téléphone ;
• ton adresse e-mail ;
• ton adresse postale.

Mais aussi :

• ton adresse IP ;
• un identifiant de compte ;
• certaines données de localisation ;
• une photo permettant de t’identifier ;
• ta voix ;
• certains identifiants techniques.

L’identification peut être directe ou indirecte.

Autrement dit : « Ce n’est qu’un numéro » n’est pas forcément une bonne réponse.

1. QR code : ne partage jamais ton billet en clair

Tu viens d’acheter ton billet.

Tu es tellement content que tu postes une story :

« ON Y EST !!! 🔥🔥🔥 »

Avec ton billet parfaitement visible.

Mauvaise idée.

Pourquoi un QR code peut poser problème ?

Un billet électronique peut contenir un QR code ou un code-barres associé à ton titre d’accès, à ta réservation ou à un identifiant unique.

Selon le système utilisé par l’organisateur, ces informations peuvent être nécessaires au contrôle de ton billet.

Ne publie donc pas ton QR code ou ton code-barres en clair sur Instagram, TikTok, Facebook ou X.

Si tu veux montrer ton billet

Tu peux :

• masquer le QR code ;
• masquer le code-barres ;
• masquer le numéro de réservation ;
• masquer les références personnelles ;
• conserver uniquement les informations visuelles sans valeur opérationnelle.

Même chose lorsque tu revends un billet : évite de publier une image permettant à n’importe qui de récupérer des informations utilisables.

Une capture d’écran n’est pas anodine

Une capture de ton billet peut contenir davantage d’informations que tu ne le penses :

• nom ;
• adresse e-mail ;
• numéro de commande ;
• référence client ;
• QR code ;
• identifiant de billet.

Avant de publier, zoome sur ton propre screenshot.

C’est généralement là qu’on découvre le petit numéro qu’on n’avait jamais remarqué.

2. Wi-Fi du festival : pratique, mais pas pour tout

Le festival propose un Wi-Fi gratuit.

Ton téléphone capte enfin quelque chose.

Tu te connectes.

Puis tu te dis :

« Tant qu’à faire, je vais regarder mon compte bancaire. »

Mauvaise idée.

La CNIL recommande de ne pas se connecter à des réseaux Wi-Fi inconnus ou non fiables et déconseille d’utiliser un Wi-Fi public pour transmettre des données personnelles ou effectuer des opérations sensibles. Elle recommande notamment de vérifier le nom exact du réseau auprès de l’établissement qui le propose.

Sur un Wi-Fi public, évite donc de :

• te connecter à ta banque ;
• effectuer un paiement important ;
• saisir des informations sensibles ;
• te connecter à des services critiques si tu n’en as pas besoin ;
• télécharger des fichiers provenant de sources inconnues.

Vérifie le nom du réseau

Un réseau appelé :

FESTIVAL_WIFI

n’est pas automatiquement officiel parce que son nom contient « FESTIVAL ».

La CNIL rappelle qu’il est facile de créer un point d’accès portant un nom trompeur. Elle conseille donc de vérifier le réseau auprès de l’organisateur ou de l’établissement concerné.

Astuce : si ton forfait mobile fonctionne correctement, privilégie-le pour les opérations sensibles.

3. Applications de festival : ne donne pas toutes les permissions

L’application officielle du festival peut être très pratique :

• programmation ;
• horaires ;
• plan ;
• favoris ;
• notifications ;
• informations pratiques ;
• parfois cashless ;
• parfois billetterie.

Mais regarde les autorisations qu’elle demande.

Elle veut accéder à ta localisation ?

Demande-toi :

Est-ce vraiment nécessaire pour utiliser cette fonctionnalité ?

La CNIL rappelle que les applications mobiles doivent limiter les permissions au fonctionnement nécessaire et, lorsque cela est possible, proposer des alternatives nécessitant moins de données.

La CNIL a également publié en juillet 2026 des recommandations spécifiques sur la géolocalisation des applications mobiles. Elle rappelle que les données de localisation permettent généralement d’identifier directement ou indirectement une personne et que leur collecte doit notamment respecter les principes de licéité, transparence, minimisation et sécurité.

Le bon réflexe

Dans les réglages de ton téléphone, regarde les autorisations accordées à chaque application.

Lorsque plusieurs options sont disponibles, privilégie celle qui correspond réellement à ton besoin :

• jamais ;
• demander à chaque fois ;
• uniquement lorsque l’application est utilisée ;
• localisation approximative lorsque cela suffit.

Pas besoin de donner les coordonnées GPS de chaque festival où tu vas pendant 365 jours pour connaître l’heure du prochain concert.

4. Géolocalisation : partage ta position temporairement

« T’es où ? »

Question universelle du festivalier.

« À gauche de la grande scène. »

« Mais quelle grande scène ? »

« Celle avec le truc rouge. »

« IL Y EN A TROIS. »

La géolocalisation peut être très pratique pour retrouver ses amis.

Mais évite de laisser ton emplacement partagé en permanence.

La CNIL souligne que les données de localisation peuvent révéler les habitudes, déplacements, fréquentations et centres d’intérêt d’une personne. Plus elles sont précises et collectées sur une longue période, plus les risques pour la vie privée augmentent.

Pour un festival, privilégie :

📍 Partage temporaire

Le temps de retrouver ton groupe.

👥 Partage avec des personnes de confiance

Pas avec tout ton carnet d’adresses.

⏱️ Désactivation après le rendez-vous

Une fois retrouvé, coupe le partage.

⚙️ Vérification des autorisations

Regarde régulièrement quelles applications peuvent accéder à ta position.

5. Attention à la localisation cachée dans tes photos

Tu prends une photo.

Tu la postes.

Tu ne vois que la photo.

Pourtant, certains fichiers peuvent contenir des métadonnées, notamment des informations techniques relatives au fichier.

La question de la localisation des photos est particulièrement importante lorsque les données de localisation sont associées à des applications mobiles et à des services de partage.

La CNIL rappelle plus largement que les informations permettant de localiser une personne peuvent constituer des données personnelles lorsqu’elles permettent de l’identifier directement ou indirectement.

Pourquoi c’est intéressant en festival ?

Une publication peut potentiellement révéler :

• où tu étais ;
• quand tu y étais ;
• avec qui tu étais ;
• ton itinéraire ;
• tes habitudes pendant plusieurs jours.

Une story isolée n’est généralement pas un problème.

Mais lorsque tu publies des dizaines de contenus en temps réel, tu peux involontairement créer une véritable carte de tes déplacements.

6. Stories Instagram : évite de publier ton emplacement en temps réel

Tu es au camping.

Tu postes :

« On est là jusqu’à dimanche ! 🔥 »

Puis une photo de ta tente.

Puis une photo du chemin vers le camping.

Puis une vidéo de la scène.

Puis :

« Direction le bar ! »

Puis :

« Retour au camping ! »

En quelques heures, tu viens de publier une partie de ton itinéraire.

Le réflexe simple

Si tu veux publier beaucoup de contenu, tu peux parfois décaler la publication.

Au lieu de :

« Je suis ici maintenant »

publie :

« On était ici il y a deux heures. »

Cela limite les informations disponibles en temps réel sur tes déplacements.

7. Photos : demande-toi qui apparaît dans ton cadre

Tu prends une photo de la scène.

Derrière toi :

• 40 personnes ;
• un couple ;
• un groupe d’amis ;
• quelqu’un qui ne voulait absolument pas être photographié.

Tout le monde est dans le cadre.

La CNIL distingue la protection des données personnelles du droit à l’image, qui relève notamment de la protection de la vie privée prévue par l’article 9 du Code civil. Elle rappelle qu’une personne peut, dans certaines situations, s’opposer à la diffusion de son image.

Pour les photos publiées en ligne

Sois particulièrement prudent lorsque :

• une personne est clairement identifiable ;
• elle est le sujet principal de la photo ;
• tu souhaites utiliser la photo à des fins commerciales ;
• tu publies la photo sur un compte public ;
• tu utilises son image dans une communication promotionnelle.

En cas de doute, demande l’accord de la personne concernée.

Et si quelqu’un te demande de retirer une photo sur laquelle il apparaît, ne transforme pas ça en guerre mondiale dans les commentaires.

8. Concours et formulaires : « Pourquoi voulez-vous mon adresse ? »

Tu participes à un concours pour gagner deux pass.

Le formulaire demande :

• nom ;
• prénom ;
• e-mail ;
• téléphone ;
• date de naissance ;
• adresse ;
• profession ;
• préférences musicales ;
• et ton signe astrologique pour savoir si tu es compatible avec le festival.

Bon.

Peut-être qu’on est allé un peu loin.

Le principe de minimisation

Le RGPD impose notamment que les données collectées soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité poursuivie.

C’est le principe de minimisation.

La CNIL précise qu’un organisme ne doit collecter que les données personnelles nécessaires à l’objectif défini et recommande de réfléchir à la nécessité de chaque catégorie de données avant leur collecte.

La question à poser est simple :

« Pourquoi me demande-t-on cette information ? »

Si tu participes à un concours et qu’on te demande ton numéro de téléphone, ce n’est pas forcément illégal.

Mais l’organisateur doit avoir une finalité et une base légale appropriées pour le traitement et t’informer de manière claire.

9. Ne coche pas automatiquement toutes les cases

Tu connais la scène :

☐ J’accepte les conditions générales

☐ J’accepte de recevoir les offres commerciales

☐ J’accepte que mes données soient utilisées par les partenaires

☐ J’accepte les offres personnalisées

☐ J’accepte que mon âme soit transférée au prochain festival

Bon, la dernière n’est normalement pas obligatoire.

Mais lis les cases.

Le consentement est l’une des six bases légales prévues par le RGPD. Lorsqu’un traitement repose sur cette base, le consentement doit être libre, spécifique, éclairé et univoque.

Accepter les conditions générales n’est donc pas la même chose que consentir automatiquement à toutes les utilisations marketing possibles de tes données.

Et surtout, le consentement n’est pas la seule base légale possible : certains traitements peuvent notamment reposer sur l’exécution d’un contrat, une obligation légale ou l’intérêt légitime, selon les circonstances.

10. Cashless : ton bracelet peut aussi être associé à des données

Le cashless est extrêmement pratique.

Tu recharges.

Tu bois.

Tu manges.

Tu recharges.

Tu te demandes où sont passés 73 €.

Classique.

Mais le fonctionnement du système peut impliquer le traitement de différentes données, selon le dispositif utilisé par le festival.

Avant de créer un compte, regarde :

• quelles informations sont demandées ;
• pourquoi elles sont nécessaires ;
• quelles données sont associées à ton compte ;
• combien de temps elles sont conservées ;
• comment exercer tes droits ;
• quelles informations sont transmises à d’éventuels prestataires ou partenaires.

Les principes du RGPD imposent notamment de définir une finalité, de limiter les données collectées à ce qui est nécessaire et d’informer les personnes sur le traitement de leurs données.

11. Tes données ne doivent pas être conservées éternellement

Le RGPD repose notamment sur un principe de limitation de la conservation.

Une organisation ne peut pas conserver indéfiniment tes données simplement parce que « ça peut toujours servir ».

La CNIL rappelle qu’une durée de conservation doit être déterminée en fonction de la finalité ayant conduit à la collecte. Les données ne doivent donc pas être conservées indéfiniment sous une forme permettant d’identifier les personnes.

Pour le festivalier, ça signifie quoi ?

Lorsque tu consultes la politique de confidentialité d’un festival, regarde notamment :

Pourquoi mes données sont-elles collectées ?

Combien de temps sont-elles conservées ?

À qui peuvent-elles être transmises ?

Quels sont mes droits ?

Le RGPD prévoit notamment que les personnes soient informées des finalités, des catégories de données, des destinataires et, lorsque cela est possible, de la durée de conservation.

12. Quels sont tes droits ?

Si un festival, une billetterie, une application ou un prestataire traite tes données personnelles, tu disposes de droits prévus par le RGPD.

Selon la situation et la base légale du traitement, tu peux notamment bénéficier :

• du droit d’accès ;
• du droit de rectification ;
• du droit à l’effacement ;
• du droit à la limitation ;
• du droit d’opposition ;
• du droit à la portabilité, dans les conditions prévues par le RGPD.

La CNIL rappelle ces différents droits et leurs conditions d’exercice.

Tu veux savoir quelles données un organisme possède ?

Tu peux exercer ton droit d’accès afin de savoir si tes données sont traitées et, dans les conditions prévues, obtenir une copie ainsi que des informations sur leur utilisation.

Tu veux faire supprimer certaines données ?

Le droit à l’effacement peut s’appliquer dans certaines situations, notamment lorsque les données ne sont plus nécessaires ou lorsque certaines conditions liées au consentement ou à la licéité du traitement sont réunies.

Mais ce droit n’est pas absolu : certaines obligations légales ou autres exceptions peuvent justifier la conservation de certaines données.

13. Comment vérifier la politique de confidentialité d’un festival ?

Tu n’as évidemment pas besoin de lire 48 pages de jargon juridique entre deux concerts.

Mais regarde au minimum :

Le responsable du traitement

Qui traite tes données ?

Les finalités

Pourquoi tes données sont-elles utilisées ?

Les données collectées

Quelles informations sont réellement demandées ?

Les destinataires

À qui les données peuvent-elles être transmises ?

La durée de conservation

Combien de temps sont-elles conservées ?

Tes droits

Comment contacter le responsable du traitement ou le DPO lorsqu’il y en a un ?

Ces informations font partie des éléments que les personnes doivent pouvoir connaître dans le cadre du RGPD.

14. La checklist « vie privée » avant ton festival

Avant de partir

☐ Télécharge ton billet depuis le canal officiel

☐ Ne publie jamais ton QR code

☐ Vérifie les autorisations des applications

☐ Désactive les accès inutiles à la localisation

☐ Vérifie les applications qui peuvent accéder à tes photos

☐ Consulte la politique de confidentialité du festival si nécessaire

☐ Protège tes comptes avec des mots de passe robustes et, lorsque c’est disponible, l’authentification multifacteur

Pendant le festival

☐ Évite les opérations bancaires sensibles sur un Wi-Fi public

☐ Vérifie le nom du réseau Wi-Fi

☐ Partage ta localisation uniquement avec des personnes de confiance

☐ Privilégie un partage temporaire

☐ Évite de publier ta position en temps réel

☐ Vérifie les photos avant de les publier

☐ Ne montre pas ton billet ou son QR code en story

Après le festival

☐ Désactive les autorisations inutiles des applications

☐ Coupe le partage de localisation

☐ Supprime les applications dont tu n’as plus besoin

☐ Vérifie les newsletters et communications reçues

☐ Retire les accès inutiles à tes comptes

☐ Si nécessaire, exerce tes droits auprès des organismes concernés

Les 10 réflexes Safestival

1. 🎟️ Ne publie jamais ton QR code.

2. 📱 Vérifie les permissions des applications.

3. 📍 Ne laisse pas ta localisation active en permanence.

4. 📶 Évite les opérations sensibles sur un Wi-Fi public.

5. 📸 Vérifie les photos avant de les publier.

6. 👥 Ne partage ta position qu’avec des personnes de confiance.

7. 📝 Ne remplis pas machinalement tous les formulaires.

8. 🔐 Protège tes comptes et ton téléphone.

9. 🗑️ Supprime les accès et applications inutiles après le festival.

10. ⚖️ Connais tes droits RGPD.

Et si tu es organisateur ?

Le sujet ne concerne évidemment pas uniquement les festivaliers.

Un festival peut traiter des données via :

• la billetterie ;
• le cashless ;
• l’application mobile ;
• les inscriptions bénévoles ;
• les accréditations ;
• les concours ;
• la vidéosurveillance ;
• la newsletter ;
• les campagnes marketing ;
• la géolocalisation ;
• les prestataires techniques.

Le RGPD impose une approche fondée notamment sur la finalité, la minimisation, la transparence, la sécurité et la limitation de la conservation. La CNIL rappelle que ces principes doivent être intégrés dès la conception des traitements et des applications.

Pour une application mobile, la CNIL recommande notamment de choisir les permissions pertinentes pour son fonctionnement et impliquant le minimum de collecte supplémentaire.

Le RGPD ne consiste donc pas à ajouter une petite phrase « vos données sont protégées » en bas d’une page.

Il faut savoir quelles données sont collectées, pourquoi, sur quelle base juridique, pendant combien de temps, avec qui elles sont partagées et comment les personnes peuvent exercer leurs droits.

Le réflexe Safestival à retenir

Un festival, c’est fait pour laisser des souvenirs.

Pas forcément pour laisser :

• ton QR code ;
• ta position GPS ;
• ton historique de déplacements ;
• ton numéro de téléphone ;
• tes données bancaires ;
• et 14 autorisations d’applications dont tu as oublié l’existence.

Avant de partager, demande-toi : est-ce vraiment nécessaire ?

Avant d’autoriser, demande-toi : pourquoi cette application en a-t-elle besoin ?

Avant de publier, vérifie ce que ta photo révèle.

Et si tu es organisateur ou prestataire, rappelle-toi que le RGPD ne se résume pas à une politique de confidentialité : les traitements doivent être pensés selon leur finalité, leur base légale, la minimisation, la sécurité, l’information des personnes et la durée de conservation.

Le meilleur festival numérique est celui qui te donne de bonnes fonctionnalités sans te demander de sacrifier toute ta vie privée.

Sources officielles

• CNIL — Comprendre le RGPD
• CNIL — Les six grands principes du RGPD
• CNIL — Géolocalisation et applications mobiles : comment protéger vos données ?
• CNIL — Géolocalisation et applications mobiles : quelles règles ?
• CNIL — Utiliser un Wi-Fi public : 4 précautions à prendre
• CNIL — Minimiser les données collectées
• CNIL — Les durées de conservation des données
• CNIL — Les droits des personnes concernées
• CNIL — Le droit à l’effacement
• CNIL — Demander le retrait de votre image en ligne