Quand vous collectez des photos, des vidéos et des messages vocaux auprès des invités, vous collectez des données personnelles sur de vraies personnes — vos amis, vos collègues, votre famille. La plupart des outils photo événementiels stockent ces données sur des serveurs aux États-Unis, et la plupart des organisateurs n’ont jamais l’idée de demander où elles atterrissent. Ce guide explique ce que signifie réellement la "résidence des données UE", pourquoi cela compte pour un album d’événement, et comment distinguer une vraie preuve d’une simple promesse marketing.
Pas un avis juridique. Cet article explique les principes en langage clair et cite les articles pertinents du RGPD pour que vous puissiez les vérifier vous-même. Ce n’est pas un avis juridique. Pour un événement précis — notamment un événement corporate impliquant des employés ou des enfants — consultez un conseiller qualifié en protection des données.
Ce que signifie réellement la « résidence des données dans l’UE »
La résidence des données est simplement la réponse à une question : dans quel pays se trouvent physiquement les serveurs qui stockent et traitent les photos de vos invités ? La « résidence des données dans l’UE » signifie que les données restent sur des infrastructures situées à l’intérieur de l’Union européenne (ou plus largement dans l’EEE), plutôt que d’être envoyées vers un serveur dans un autre pays.
C’est important à cause de la manière dont le RGPD traite ces parcours. Selon le RGPD, transférer des données personnelles vers un pays hors UE — un « transfert vers un pays tiers » — n’est licite qu’avec un mécanisme juridique spécifique : une décision d’adéquation au titre de l’art. 45, ou des garanties appropriées telles que les clauses contractuelles types de la Commission européenne au titre de l’art. 46(2)(c), avec des droits opposables et de vrais recours pour les personnes concernées (CITE-20260608-1011). Si votre outil événementiel garde tout en UE, ces mécanismes de transfert ne se posent pas. Garder les données en interne vous évite la question de conformité la plus difficile.
C’est pourquoi la « résidence des données UE » n’est pas un argument de confort. C’est la différence entre un cadre légal simple et un cadre qui dépend de l’évolution des règles de transfert transfrontalier.
La RGPD s’applique-t-elle même aux photos d’événement ?
Oui — plus souvent qu’on ne le croit. Une photo d’une personne est une donnée personnelle car elle l’identifie. Elle n’entre dans la catégorie biométrique spéciale que lorsqu’elle est traitée par une méthode technique spécifique d’identification unique, comme l’extraction de caractéristiques de reconnaissance faciale — les galeries ordinaires ne franchissent pas cette ligne; CITE-20260608-1003.
Un préjugé courant veut que les événements privés soient exempts. La RGPD prévoit une exclusion pour le traitement effectué par une personne "dans le cadre strictement personnel ou familial" (art. 2(2)(c)) — la conservation privée de ses propres clichés par un invité peut donc être couverte. Mais cette exemption ne protège que l’individu ; elle ne dégage pas la plateforme qui fournit le moyen de traitement (CITE-20260608-1008). Un service média événementiel est lui-même un processeur ou responsable et relève pleinement du cadre RGPD — c’est précisément pour cela que l’emplacement de stockage des données vous concerne, pas seulement celui du fournisseur.
L’exonération est aussi plus étroite qu’elle n’y paraît. La CJUE l’a interprétée strictement dans Ryneš (C-212/13): le traitement « orienté vers l’extérieur du cadre privé » ne peut pas être considéré comme purement personnel (CITE-20260608-1009). Publier ouvertement les photos d’autres invités au-delà d’un cercle privé fermé est probablement en dehors de cette exemption et place l’hôte aussi sous le champ du RGPD.
Pourquoi les albums d’événements hébergés aux États-Unis sont un risque discret
La vérité inconfortable est que la plupart des outils photos événementiels populaires hébergent en dehors de l’UE. En nous appuyant uniquement sur les informations publiées par chaque fournisseur (vérifiées le 08.06.2026):
- GuestCam indique que ses données sont sur un stockage cloud basé aux États-Unis.
- Kululu stocke le contenu principal sur des serveurs Google Cloud (Firebase) aux États-Unis.
- Fotify est exploité par une entreprise du Delaware, aux États-Unis (Lumenlio, LLC).
- Wedibox est une structure américaine (Wedibox LLC).
(Prix et emplacements au 30 juin 2026 ; les fournisseurs changent d’infrastructure, donc vérifie avant de t’appuyer dessus.)
Cela ne rend pas ces outils illégaux. Les transferts vers les États-Unis peuvent être légitimes : la décision d’adéquation EU-US Data Privacy Framework du 10 juillet 2023 reste en vigueur, les transferts vers des organisations américaines certifiées DPF peuvent s’appuyer dessus, et le premier recours contre elle (Latombe, T-553/23) a été rejeté le 3 septembre 2025 (CITE-20260608-1012). Mais il y a un point de vigilance : un recours (C-703/25 P) est pendant devant la CJUE, et le prédécesseur, le Privacy Shield, a été invalidé par Schrems II en 2020 (CITE-20260608-1011). Le cadre pour les transferts US a déjà bougé et peut rebondir. L’hébergement en UE te protège de ce suivi météo.
Pour une soirée entre amis, cela peut ne pas compter. Pour un événement professionnel avec photos d’employés, un anniversaire d’enfants, ou toute réunion où un invité préfère simplement que son visage ne se retrouve pas sur un serveur américain, cette distinction est la décision entière.
Comment différencier une vraie promesse UE d’un simple badge ?
« hébergé en UE » devient rapidement une case que tout le monde veut cocher, donc il faut aller au-delà du vocabulaire. Quelques questions distinguent la preuve du marketing :
- Le prestataire indique-t-il où se trouvent les données ? Une réponse précise — un datacenter nommé, une région nommée, des processeurs nommés — vaut bien plus qu’un drapeau et les mots « serveurs européens ».
- La déclaration est-elle explicite ou simplement déduite ? Certains outils allemands et européens hébergent effectivement en UE et l’affirment clairement — par exemple Weddies (serveurs en Allemagne) et FridaySnap (serveurs germanophones/européens sous RGPD) le font explicitement. D’autres utilisent une formulation marketing plus légère ("Made in Germany", "serveurs européens") qui permet une déduction raisonnable, mais plus difficile à vérifier. Être basé dans l’UE ne signifie pas être hébergé dans l’UE.
- Y a-t-il des accords de sous-traitance derrière ? Lorsqu’un service recourt à des sous-traitants, un accord de traitement des données (DPA) conforme est obligatoire : l’article 28(3) exige un contrat contraignant précisant l’objet, la durée, la nature et la finalité du traitement, les types de données et les droits du responsable (CITE-20260608-1004). Un discours sérieux de résidences de données UE inclut des DPA avec ses sous-traitants, pas seulement un emplacement de serveurs.
Un bon test de santé : si une entreprise ne vous dit pas clairement où vivent les photos de vos invités, prenez cela comme sa réponse.
L’autre volet : rétention et suppression
La résidence concerne l’emplacement. Le RGPD concerne aussi la durée et la possibilité pour les personnes de sortir.
Principe de minimisation et de limitation de la conservation. Les données personnelles doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire », et conservées sous une forme identifiant les personnes « pendant une durée n’excédant pas celle nécessaire » (Art. 5(1)(c) et 5(1)(e); CITE-20260608-1013). Pour un album d’événement, cela signifie des fenêtres de rétention définies et une suppression automatique — pas une galerie qui reste indéfiniment sur un serveur. C’est un avantage des outils avec une période de conservation claire, par rapport à un réglage illimité « garder à vie ».
Le droit à l’effacement. Tout invité peut demander la suppression de ses données, et le responsable doit agir « sans délai injustifié » — en tout état de cause dans le mois qui suit la demande, avec possibilité de prolongation de deux mois supplémentaires pour des demandes complexes ou nombreuses (Art. 17(1) avec Art. 12(3); CITE-20260608-1005, CITE-20260608-1006). Avant votre événement, il est utile de savoir comment votre outil gère un message « veuillez supprimer mes photos » — car selon la loi, ce délai est réel.
Annoncé dès le départ. Quand vous collectez des données directement auprès des personnes, vous devez leur indiquer clairement au moment de la collecte : qui contrôle les données, pourquoi, sur quelle base légale, et quels sont leurs droits (Art. 13(1) ; CITE-20260608-1007). Pour un événement, c’est aussi simple qu’une courte mention de confidentialité sur la page d’upload ou à côté du QR code, pour que les invités sachent ce qu’ils scannent.
La position de Gathmo — en toute honnêteté
Gathmo a été conçu d’abord pour l’UE, et nous préférons montrer notre travail plutôt que d’agiter un badge :
- Résidence des données UE explicitement indiquée. Les médias sont stockés dans une juridiction de l’UE, la base de données tourne à Francfort et le calcul se fait dans des régions de l’UE, avec des DPA signés avec nos sous-traitants. (Source : tarifs Gathmo).
- Rétention définie par niveau. Les albums ont de vraies fenêtres d’expiration plutôt qu’un stockage illimité — de 30 jours sur le plan Free (avec 14 jours de grâce) jusqu’à 1 an sur le niveau haut — ce qui suit le principe de limitation de stockage.
- Tarification en EUR, par événement. Gratuit / 29 € / 69 € / 89 €, avec le modèle de résidence UE appliqué à chaque formule.
Deux mises en garde honnêtes, car la confiance est l’essentiel. Premièrement, Gathmo n’est pas la seule option hébergée en UE — EventPics (autrichien, explicitement Cloudflare R2 UE), Weddies et FridaySnap (serveurs allemands) conservent aussi les données en UE ; notre avantage est la combinaison d’une résidence UE nommée plus des DPA des processeurs avec des fonctionnalités comme la transcription des voix et le vrai white-label, pas la prétention d’être seul. Deuxièmement, Gathmo n’offre pas encore la recherche par reconnaissance faciale ni le RSVP au lancement — les deux sont sur la feuille de route, pas dans le produit aujourd’hui. Nous le signalons car la reconnaissance faciale est la fonction qui peut transformer des photos ordinaires en données biométriques particulières selon l’Art. 9 (CITE-20260608-1002); un outil qui identifie les invités par correspondance faciale nécessite son propre cadre basé sur un consentement explicite. Savoir qu’un outil ne le fait pas encore est, pour beaucoup d’hôtes, un critère.
