Si votre agence emmène un événement en Amérique latine, les données des participants relèvent de la loi du pays où vous les collectez et, si vous êtes établi dans l’UE, du RGPD. La carte a changé en 2026 : la Commission européenne compte désormais le Brésil parmi les pays bénéficiant d’une décision d’adéquation, aux côtés de l’Argentine et de l’Uruguay, ce qui permet d’y transférer une liste d’inscrits sans contrat supplémentaire. Le Chili a une nouvelle loi dont la date d’entrée en vigueur est en débat, et le Mexique a une nouvelle autorité depuis 2025. La règle pratique est la même partout : ne demander que ce dont l’entrée a besoin, dire à quoi cela sert, et séparer l’accréditation de tout le reste.
Quelle loi s’applique aux données d’un événement ?
La question semble réservée aux juristes, mais elle se règle avec deux faits : où les données sont collectées et depuis où elles sont gérées. Le formulaire d’inscription d’un congrès à Santiago collecte des données au Chili, donc la loi chilienne s’applique. Si l’agence organisatrice est à Paris ou à Bruxelles, le RGPD s’applique aussi à elle, parce qu’elle est établie dans l’UE.
Un événement international réunit en général trois acteurs aux rôles distincts :
- Responsable de traitement : la marque ou l’agence qui décide de l’usage des données. C’est la propriétaire de la liste.
- Sous-traitant : celui qui gère les inscriptions et l’entrée pour le compte du responsable, comme le prestataire d’accréditation. Il n’utilise les données que pour cela.
- Tiers : sponsors, exposants, hôtel. Ils ne reçoivent des données que si le participant l’a accepté.
Cette répartition doit figurer au contrat avant l’ouverture des inscriptions. Les bases sont dans notre article sur les données personnelles des participants.
Ce guide est informatif et ne remplace pas un conseil juridique dans chaque pays.
Pays par pays : ce qui a changé et ce qu’il faut vérifier
- Argentine. Elle bénéficie d’une décision d’adéquation de l’UE depuis 2003, que la Commission a réexaminée et maintenue dans son rapport du 15 janvier 2024 avec dix autres juridictions, selon le résumé de Hunton, qui cite l’Argentine et l’Uruguay.
- Uruguay. Il figure aussi sur la liste officielle de la Commission et dans ce même réexamen de 2024.
- Brésil. La LGPD s’applique. Le 27 janvier 2026, l’UE et le Brésil ont annoncé une adéquation mutuelle : la décision de la Commission pour le Brésil et la résolution CD/ANPD 32/2026 pour l’UE, avec un réexamen au bout de quatre ans, selon Mayer Brown. Le cabinet rappelle que la décision n’est pas un label de conformité automatique.
- Chili. La loi 21.719 remplace l’ancien régime et crée une Agence de protection des données. Son entrée en vigueur est fixée au 1er décembre 2026, mais le 28 octobre le Sénat a voté, par 33 voix contre 6, un report au 15 octobre 2027, et le texte est passé à la Chambre des députés, selon La Tercera. Si votre événement au Chili a lieu en 2027, préparez-le de toute façon avec la nouvelle loi.
- Mexique. La nouvelle loi fédérale sur les données personnelles détenues par les particuliers a été publiée le 20 mars 2025 et s’applique depuis le lendemain. L’autorité est désormais le ministère de la Lutte contre la corruption et de la Bonne gouvernance, et l’avis de confidentialité doit être disponible dès la collecte, selon Garrigues.
Comment transférer la liste d’inscrits d’un pays à l’autre
Beaucoup d’agences montent les inscriptions sur leur propre plateforme puis transmettent la liste à l’équipe locale. Cette transmission est un transfert international, et elle a ses règles.
Depuis l’UE vers un pays adéquat (Argentine, Uruguay, Brésil), les données peuvent circuler sans garantie supplémentaire, selon les termes mêmes de la Commission. Vers un pays sans adéquation, comme le Chili ou le Mexique, il faut un autre mécanisme du RGPD ; le plus courant reste les clauses contractuelles types, publiées par la Commission le 4 juin 2021.
À régler avant tout transfert :
- Ce qui voyage. Pour accréditer, nom, entreprise, e-mail et type d’invité suffisent. Un numéro de pièce d’identité seulement si le lieu ou la sécurité l’exige.
- Où vit la liste. Une seule plateforme avec des accès par rôle vaut mieux que des tableurs qui circulent par e-mail.
- Qui voit quoi. L’équipe d’accueil doit chercher un nom et imprimer un badge, pas télécharger toute la liste.
- Quand elle est effacée. Fixez une durée de conservation au contrat et respectez-la.
Salons : scan des badges et exposants
Sur un salon, le sujet se complique : en plus de l’organisateur, il y a les exposants, qui veulent les contacts des visiteurs passés sur leur stand. La règle est de séparer les finalités : entrer sur le salon est une chose, recevoir des e-mails d’un exposant en est une autre. Le formulaire doit proposer cette seconde option à part, non cochée.
Le plus propre est que l’exposant scanne le badge sur son stand, avec une information visible, au lieu de recevoir la liste complète. Chaque contact porte ainsi son propre consentement, et l’organisateur ne distribue pas des données qu’il n’a pas à partager.
Les données biométriques demandent plus de prudence. Le RGPD les range parmi les catégories particulières à son article 9 et exige un consentement explicite pour des finalités déterminées ; la LGPD brésilienne les définit comme données sensibles et demande un consentement « spécifique et mis en évidence ». Si vous prévoyez la reconnaissance faciale à l’entrée, proposez toujours l’alternative du QR code.
Comment nous procédons quand l’événement a lieu dans un autre pays
Deux cas publiés montrent les deux extrêmes. Pour la FILGUA 2025, la Foire internationale du livre du Guatemala, nous avons géré le contrôle d’accès de 90 000 visiteurs pendant 13 jours à distance depuis Buenos Aires, avec une équipe locale que nous avons recrutée et formée. Dans ce schéma, définir qui voit quelles données depuis chaque pays fait partie de la préparation, pas d’une formalité de fin.
Au Databricks Live Argentina 2026, l’entreprise organisait un tirage au sort pendant la journée : la liste téléchargée ne comprenait que les personnes déjà entrées et les inscriptions du jour, rien de plus. N’utiliser pour chaque tâche que la partie de la liste dont elle a besoin, c’est la logique que demandent les lois de la région.
Si vous êtes une agence ou une marque européenne et que vous préparez un événement en Argentine, au Chili, en Uruguay, au Brésil ou au Mexique, nous travaillons avec des partenaires locaux dans la région et montons les inscriptions et l’entrée avec ces règles dès le départ. Découvrez nos partenariats stratégiques ou demandez une proposition de contrôle d’accès et d’accréditation pour votre événement.