RGPD para fotógrafos de eventos: de qué eres responsable

Sí. Las fotos de los invitados son datos personales, por lo que, si las recopila en eventos celebrados en la UE —o de residentes de la UE—, el RGPD se aplica a usted, no solo a la plataforma que utilice. Sus responsabilidades se centran en contar con una base jurídica y un aviso claro para la recogida, establecer una conservación razonable y poder atender las solicitudes de supresión. Utilizar una plataforma alojada en la UE, con herramientas de consentimiento y supresión y un DPA disponible, resuelve buena parte de estos requisitos, pero la valoración correspondiente al responsable del tratamiento sigue siendo suya. Esta es información general, no asesoramiento jurídico.

Suele ser el responsable, a veces junto a tu cliente, porque tú decides por qué y cómo se recogen los medios de invitados. La plataforma que almacena y sirve las fotos suele ser el encargado de tratamiento, que gestiona los datos conforme a tus instrucciones documentadas. La distinción importa porque las obligaciones cambian según el rol y porque la relación debe documentarse, generalmente mediante un DPA que facilita la plataforma. Para casos concretos, consulta con un profesional.

Un acuerdo de procesamiento de datos (DPA) es el contrato del RGPD Art. 28 que formaliza la relación entre el responsable y el procesador. Necesitas uno con tu plataforma (el procesador), y las empresas o clientes del sector público lo solicitarán a menudo como parte de su contratación. Gathmo proporciona un DPA bajo petición, para que puedas tenerlo listo. Tener el DPA preparado antes de que un cliente lo pida forma parte de presentarte como proveedor profesional y conforme.

El RGPD exige que no se conserven los datos personales más tiempo del necesario para la finalidad, pero no fija un número fijo: eliges una retención razonable y la aplicas de forma consistente. Una plataforma con ventanas definidas y herramientas de borrado lo vuelve gestionable: defines la ventana, luego los datos de los invitados se eliminan y puedes atender solicitudes de borrado. Documenta tu elección de retención para explicarla si te preguntan.

Necesitas una base legal y un aviso claro: los invitados deben entender qué se recoge y por qué. El consentimiento es una base legal, y la señalización clara más un flujo de subida que explique el propósito lo respaldan. La base exacta puede depender del contexto (por ejemplo, el interés legítimo puede aplicar en algunos casos), donde conviene asesoramiento profesional. En la práctica, el aviso transparente en el momento de carga y una plataforma que capture el consentimiento cubren los casos comunes.

Se encarga de la parte de procesamiento y te quita carga. Gathmo aloja los medios de invitados en la UE (Fráncfort), ofrece una DPA del art. 28 del GDPR, no transfiere datos a terceros países y ofrece captura de consentimiento, ventanas de retención definidas y herramientas de borrado. Eso cubre los aspectos técnicos y contractuales que piden los clientes, dejando el juicio de controlador (notificaciones, base legal, elección de retención) a ti. Una app de consumo sin esto hace mucho más difícil demostrar cumplimiento.

Puede ser así, porque transferir los datos personales de invitados de la UE a un tercer país exige salvaguardas adecuadas (como cláusulas contractuales tipo) y añade complejidad que debes gestionar y documentar. Una plataforma alojada en la UE sin transferencia a países terceros evita totalmente esa cuestión, lo que simplifica para ti y da más seguridad a clientes corporativos. Si usas una herramienta no UE, confirma sus garantías de transferencia antes de tratar datos de invitados de la UE, y valora si el hosting en la UE no es el camino más sencillo.