RGPD et photos d’événement : ce que tout organisateur doit savoir en 2026

Si vous collectez des photos et des vidéos de vos invités lors de votre mariage, de votre fête ou de votre événement d’entreprise, vous traitez les données personnelles d’autrui — et dans l’UE cela signifie que le RGPD s’applique. La bonne nouvelle est que, pour un événement privé ordinaire, les règles sont bien plus raisonnables que ne le laisse croire l’acronyme. Voici ce qui compte réellement, en langage simple, avec les articles cités afin que vous puissiez les vérifier vous-même.

1. Les photos d’un événement sont-elles des « données personnelles » ? (En général, oui)

Une photo qui identifie une personne est une donnée personnelle. Mais voici la nuance qui pose problème : une photo n’est pas automatiquement une donnée de « catégorie spéciale » (biométrique). Selon le considérant 51 du RGPD, une image ne devient biométrique que lorsqu’elle est traitée par « un procédé technique permettant l’identification unique » d’une personne, c’est-à-dire la reconnaissance faciale. Ainsi, un album photo partagé classique reste une donnée personnelle ordinaire ; une application qui regroupe les photos des invités par correspondance faciale traite des données biométriques et entre dans un cadre beaucoup plus strict (art. 9), exigeant en général un consentement explicite. (RGPD considérant 51; art. 9(1))

À retenir : un simple album photo QR est à faible risque. Les outils de recherche photo par reconnaissance faciale ne le sont pas — si vous en utilisez un, exigez une opt-in explicite.

2. Quelle base juridique ? Consentement vs. « intérêt légitime »

Pour traiter les photos des invités, vous devez disposer d’une base légale au titre de l’article 6. Deux options sont réalistes pour un hôte :

• L’intérêt légitime (Art. 6(1)(f)) — vous pouvez généralement vous y fonder pour des photos ordinaires lors d’un événement que vous organisez, à condition que votre intérêt ne soit pas prévalu par les droits des participants. La loi demande une vigilance accrue « lorsque la personne concernée est un enfant ».

• Consentement (art. 6(1)(a)) — la base la plus sûre et obligatoire lorsque la balance d’intérêts penche contre l’intérêt légitime ou lorsque des données de catégorie spéciale (reconnaissance faciale) sont en jeu. Le consentement doit être « spécifique, éclairé et librement donné ». (RGPD art. 6(1))

À retenir : pour un mariage ou une fête privée, l’intérêt légitime suffit généralement à justifier un album de photos des invités. Appuyez-vous sur un consentement explicite lorsque des enfants sont très présents, lorsque vous comptez publier les photos ou chaque fois que vous avez un doute.

3. L’exception « c’est juste ma fête privée » — et sa limite

La RGPD prévoit une exception pour les activités « purement personnelles ou domestiques » (art. 2(2)(c), considérant 18). Une personne privée qui collecte des photos lors de son propre anniversaire ou mariage, partagé uniquement avec les invités, échappe en général à la pleine portée du RGPD. Mais cette exception est étroite : dès que les photos sont publiées publiquement ou couvrent systématiquement des personnes au-delà de votre foyer, elle ne s’applique plus — la CJUE l’a clairement indiqué dans l’arrêt Ryneš (C‑212/13, 2014). Et elle ne s’applique jamais à une entreprise organisant un événement. (Art. 2(2)(c) ; considérant 18 ; CJUE C‑212/13)

À retenir : un album privé sur invitation = obligation faible. Une galerie publique, ou tout événement d’entreprise = RGPD complet.

4. Informez vos invités (la chose que les hôtes oublient le plus souvent)

Selon l’article 13, lorsque vous collectez des données directement auprès des personnes, vous devez leur indiquer au moment de la collecte qui collecte, pourquoi, et sur quelle base légale (et, en cas d’intérêt légitime, quel intérêt). Pour un événement, une ligne sur votre panneau QR et à l’écran d’upload suffit : « Les photos que vous uploadez sont collectées par [hôte] pour créer un album d’événement partagé ; hébergé dans l’UE ; vous pouvez demander la suppression de toute photo vous concernant. » (GDPR art. 13(1))

5. Les invités peuvent demander la suppression de leurs photos dans le mois

Le droit à l’effacement (art. 17) permet à un invité de demander la suppression de ses données (par exemple après retrait du consentement). Vous devez agir sans délai injustifié, au plus tard dans un mois (art. 12(3)), prolongeable de deux mois supplémentaires uniquement pour des cas réellement complexes, avec notification. Donc l’outil utilisé doit permettre de supprimer facilement une photo spécifique. (RGPD art. 17(1); art. 12(3))

À retenir : choisissez une plateforme qui permet de retirer une photo rapidement, vous ou l’invité. L’échéance légale d’un mois est bien réelle.

6. Les photos d’enfants demandent une attention particulière

Pour les services en ligne, l’article 8 fixe un âge de consentement variable selon les pays — 16 ans en Allemagne, 14 ans en Autriche. À une fête d’enfants, la réponse pratique est simple : obtenir l’accord des parents avant de collecter, et surtout avant de partager les photos de leurs enfants, garder l’album privé, et supprimer sur demande sans délai. (Art. 8(1) RGPD; BDSG (DE); § 4(4) DSG (AT))

7. Où sont stockées vos photos : UE ou États-Unis

C’est là que le choix de l’outil devient une décision de conformité. Envoyer les photos de résidents de l’UE vers un service hébergé aux États-Unis relève d’un transfert international régi par le chapitre V. Après Schrems II (C-311/18) qui a invalide le Privacy Shield, les transferts reposaient sur les clauses contractuelles types; le cadre de l’UE-U.S. Data Privacy Framework a ensuite rouvert en 2023 une voie d’adéquation, bien qu’il soit encore contesté juridiquement. La façon la plus propre d’éviter toute ambiguïté est de garder les données dans l’UE. (GDPR chapitre V; CJUE C-311/18; décision d’exécution de la Commission (UE) 2023/1795)

La plupart des applications photos d’événements sont hébergées aux États-Unis. Quelques-unes — dont Gathmo (UE/Francfort) et EventPics (Cloudflare R2 UE) — hébergent dans l’UE, ce qui évite l’analyse de transfert pour les événements UE. (research-foundation/02 — onglet résidences UE, capturé le 08-06-2026)

8. Conservez uniquement ce dont vous avez besoin, et uniquement aussi longtemps que nécessaire

L’article 5 impose la minimisation des données et la limitation de conservation : ne collecter que le nécessaire et ne pas conserver indéfiniment. En pratique : définir une date d’expiration de l’album et supprimer la collection quand l’objectif de l’événement est atteint. Une plateforme qui expire automatiquement les albums (plutôt que d’archiver silencieusement) rend cela automatique. (RGPD art. 5(1)(c),(e))

9. Pour les entreprises : vous avez besoin d’un DPA avec votre outil

Si vous organisez un événement d’entreprise, la plateforme traite les données des employé·e·s/invité·e·s pour votre compte — c’est une relation responsable du traitement–sous-traitant, et l’Article 28 exige un accord de traitement des données écrit couvrant le périmètre du traitement, la sécurité, les sous-traitants, l’assistance pour les droits des personnes concernées et la suppression à la fin du service. Demandez à chaque prestataire son DPA avant signature ; un outil B2B sérieux en aura un prêt. En Allemagne, le traitement des données des employé·e·s relève aussi du BDSG § 26.

À quoi cela ressemble dans des cas d’usage réels

Pour un mariage privé, la configuration la plus sûre est généralement simple : gardez l’invitation à l’album sur invitation uniquement, affichez un court avis à côté du QR code, évitez la reconnaissance faciale sauf consentement actif des invités, et permettez la suppression sur demande. Le couple ne devrait pas avoir un workflow juridique pour chaque photo spontanée, mais il doit éviter de transformer un album privé en galerie publique sans respecter le consentement.

Pour une fête d'anniversaire d'enfants, les mêmes règles de base s'appliquent, avec un niveau d'exigence plus élevé. Les parents doivent savoir où vont les photos, qui peut voir l'album et combien de temps il reste en ligne. Un album QR privé est très différent de la publication du visage de chaque enfant sur un réseau social public. Si un parent te demande de ne pas inclure son enfant, supprime la photo et passe à autre chose.

Pour un séminaire d’entreprise ou une conférence, traitez le processus comme un petit projet de traitement de données. Définissez qui est le responsable, validez la DPA de la plateforme, placez une notice de téléchargement claire sur le panneau QR, évitez la reconnaissance faciale inutile et utilisez une fenêtre de rétention définie. Si des salariés en Allemagne sont concernés, les RH doivent aussi veiller à l’angle BDSG § 26.

Pour un événement public ou sur ticket, supposez que le RGPD s’applique pleinement. Vous devrez peut-être aussi prévoir une signalétique sur le lieu, des consignes au staff et un flux de modération afin que les images uploadées n’exposent pas des personnes qui ne s’attendaient pas à être visibles. Plus l’événement est public, moins vous pouvez vous reposer sur « tout le monde sait que l’on prend des photos en événement » comme plan de conformité.

Une mention simple que vous pouvez placer à côté du QR code

Vous n’avez pas besoin de formalisme juridique sur une carte de table. Il vous faut de la clarté. Un avis pratique peut être bref :

Pour un événement d’entreprise, ajoutez le nom de l’entreprise et le lien vers la notice complète de confidentialité. Pour un mariage ou une fête privée, le contact peut être l’hôte. Pour les événements enfants, indiquez que les parents peuvent demander la suppression pour leur enfant. L’essentiel est que l’invité comprenne l’échange de base avant l’upload : qui collecte les médias, pourquoi, où ils sont stockés, et comment s’opposer.