Accords de traitement des données pour les technologies d’événement : quoi vérifier avant de signer

Un outil de partage photo pour votre prochaine conférence semble être un petit achat. C’est un événement, quelques centaines de participants, un QR code sur un badge. Puis le juridique demande le DPA, et ce petit achat devient une question de procurement — car dès que l’outil collecte une photo d’une personne identifiable, il traite des données personnelles pour votre compte, et le contrat qui encadre ce traitement est le DPA.

Ce que cet article est, et n’est pas. Il s’agit de recommandations générales pour structurer une évaluation de prestataire — ce n’est pas un avis juridique. Pour votre situation précise, consultez votre délégué à la protection des données ou votre conseil juridique. Les tarifs et les fonctionnalités évoluent ; vérifiez à nouveau avant de vous appuyer dessus.

Premier point : pourquoi la technologie événementielle a-t-elle besoin d’une DPA ?

La DPA n’est pas un document standard. C’est l’instrument juridique exigé par le RGPD chaque fois qu’une organisation traite des données personnelles pour le compte d’une autre, et il existe à cause de la répartition des responsabilités par le règlement. Quand vous organisez un événement d’entreprise et décidez de collecter photos et vidéos des participants, votre organisation est le responsable — vous décidez du pourquoi et du comment du traitement. La plateforme photo qui stocke et affiche ces images sur vos instructions est le sous-traitant. L’article 28 dit que cette relation « est régie par un contrat ou un autre acte juridique » liant le sous-traitant — un accord écrit définissant l’objet et la durée du traitement, sa nature et son objectif, le type de données personnelles et les catégories de personnes concernées, ainsi que les obligations et droits du responsable (art. 28(3) RGPD).

Si un prestataire technologique d’événement traite les données personnelles de vos participants, le droit de l’UE vous oblige à disposer d’une DPA — il n’existe pas d’exception « c’est un seul événement », et l’obligation incombe autant à vous qu’au prestataire. Une DPA absente ou superficielle est donc un frein décisif, non un luxe : c’est le document qui rend l’arrangement légal dans son ensemble.

Note de périmètre : tout ce qui suit suppose des galeries photo et vidéo standard — stockage et affichage d’images. Si un outil utilise la reconnaissance faciale pour regrouper ou identifier des participants, les données et les obligations changent de manière significative (voir plus bas pour les sous-traitants) ; un gabarit facial construit pour identifier de manière unique une personne est une donnée biométrique relevant d’un cadre bien plus strict (article 9(1) RGPD; considérant 51).

Ce que doit contenir un DPA de l’Article 28 du RGPD

Une DPA n’est pas « bonne » parce qu’elle est longue ou rédigée sur le papier à en-tête d’un cabinet. Elle est bonne lorsqu’elle contient effectivement ce que l’article 28(3) exige. Vérifiez l’accord de chaque fournisseur à ces éléments — une DPA qui les omet est incomplète, quel que soit son aspect.

• La description du traitement — objet et durée, nature et finalité, type de données personnelles et catégories des personnes concernées (Art. 28(3)). Pour les médias d’événement, il doit être lisible que le sous-traitant traite les photos, vidéos et tout message vocal des participants, pour les collecter et les afficher, sur une période définie. L’opacité est en elle-même un signal d’alerte.

• Traitement uniquement sur la base d’instructions documentées (art. 28(3)(a)) : vous décidez du sort des photos ; le prestataire ne peut pas les réutiliser.

• Un engagement de confidentialité engageant toute personne autorisée par le sous-traitant (art. 28(3)(b)).

• Sécurité de l’article 32 — mesures techniques et organisationnelles appropriées au risque (Art. 28(3)(c)).

• Conditions relatives aux sous-traitants — aucun autre processeur sans autorisation, mêmes obligations dans la chaîne (Art. 28(3)(d)). Cela régit qui touche encore vos données ; sa section propre figure ci-dessous.

• Assistance sur les droits des personnes concernées, y compris — et de manière critique pour les médias d’événement — le droit à l’effacement (Art. 28(3)(e)).

• Assistance avec vos obligations des articles 28 à 36 — sécurité, notification des violations, et analyses d’impact quand elles s’appliquent (art. 28(3)(f)).

• Suppression ou restitution à la fin de l’exécution, au choix du responsable, plus suppression des copies sauf obligation légale de conservation (Art. 28(3)(g)). C’est la clause qui clôt la vie des données — faites-la figurer au contrat, pas dans un e-mail commercial.

• Informations pour, et soumission aux, audits (Art. 28(3)(h)).

Ces neuf éléments sont l’épine dorsale de toute DPA conforme au RGPD. Vous n’avez pas à mémoriser chaque sous-clause, mais en lisant l’accord d’un fournisseur, vous devez pouvoir retrouver chaque idée. Une lacune n’est pas un détail de forme ; c’est une obligation légale manquante.

La checklist pré-signature : quoi vérifier avant de valider

Les clauses ci-dessus vous indiquent ce que doit contenir une DPA. Cette section porte sur ce qu’il faut vérifier avec un prestataire précis avant de signer — les questions pratiques qui comptent réellement dans une revue d’achat. Passez-les dans l’ordre ; la première est un critère bloquant.

1. Y a-t-il une convention de traitement des données, et pouvez-vous la lire avant d’acheter ? La réponse est oui ou non. Si un prestataire ne peut pas fournir un accord d’Art. 28 RGPD, une entreprise européenne ne peut légalement l’utiliser pour un événement corporate, point final — le contrat doit être en place pour que le traitement soit conforme (art. 28 §3). Beaucoup d’outils orientés particuliers sont vendus en achat unique sans voie d’achat enterprise : parfait pour une fête privée, bloquant pour un événement d’entreprise. Demandez la DPA avant de vous engager.

1. Inclut-elle les éléments ci-dessus de l’article 28(3) ? Vérifiez-la avec la liste en neuf points. Les points les plus souvent faibles dans les accords légers sont les clauses relatives aux sous-traitants, l’obligation de suppression ou de restitution, et la clause d’audit.

1. Le fournisseur indiquera-t-il ses sous-traitants et leur localisation ? Un DPA qui autorise le sous-traitement sans nommer les sous-traitants vous empêche de mener une analyse de transfert ou de risque fournisseur — vous ne pouvez évaluer ce que vous ne pouvez pas voir. (Voir section ci-dessous.)

1. Où les données sont-elles hébergées, et une partie quitte-t-elle l’UE ? Si elles restent dans l’UE, vous évitez l’analyse de transfert ; si elles partent, vous avez besoin d’un mécanisme légal que les annexes de la DPA doivent refléter. « Nous ne le divulgons pas » est un échec. (Section ci-dessous.)

1. Le parcours de suppression a-t-il un délai ? Vérifiez que la DPA engage le sous-traitant à agir sur la suppression, y compris la demande d’effacement d’une personne précise, dans le délai légal (Art. 17(1); Art. 12(3)). (Section ci-dessous.)

1. La DPA est-elle incluse, en option ou indisponible dans votre formule ? Pour Gathmo, une DPA est disponible sur demande sur les tarifs au prorata d’événement et incluse dans les plans B2B Studio, Agency et Enterprise — il existe donc une voie contractuelle, que vous achetiez un événement unique ou un abonnement.

Échouer à l’item 1 rend le reste caduc. Réussir le premier puis trébucher aux points 3, 4 ou 5 vous donne des écarts précis et citables à soulever avant la signature — précisément la position à adopter dans un processus de procurement.

Sous-traitants : la partie du DPA qui cache les surprises

Dans la techno événementielle, la clause de sous-traitance cache le point décisif — car une plateforme de partage photo ne fait rarement tout seule. Elle utilise un stockage cloud, un prestataire de traitement média, peut-être un service e-mail ou SMS, peut-être un moteur de modération IA. Chacun est un sous-traitant accédant aux données des participants, et l’article 28 exige que les mêmes obligations soient transmises (RGPD art. 28(3)(d)). Deux points à vérifier au-delà du simple « la clause existe » :

Qui sont-ils, et où sont-ils ? Une liste de sous-traitants nommée rend le reste de votre analyse possible. Un prestataire hors UE dans la chaîne n’est pas automatiquement disqualifiant — mais c’est précisément là que les règles de transfert s’appliquent, et vous devez le savoir. Un fournisseur qui publie ses sous-traitants vous donne la carte; celui qui ne le fait pas vous demande de signer à l’aveugle.

L’outil vous fait-il entrer dans des régimes plus stricts que vous n’aviez pas demandés ? C’est le piège de la reconnaissance faciale. Une photo de visage n’est pas automatiquement une donnée spéciale — le considérant 51 précise que les images ne sont des données biométriques que lorsqu’elles sont traitées par un moyen technique spécifique permettant l’identification ou l’authentification unique d’une personne physique.

Mais un moteur de reconnaissance faciale qui crée des modèles pour regrouper les participants ou permettre de « trouver toutes mes photos » traite des données biométriques dans le but d’identifier de manière unique une personne. Cela est interdit par l’art. 9, §1, sauf exception spécifique (généralement un consentement explicite et séparé; Art. 9, §1 RGPD; considérant 51). Plusieurs outils de ce marché misent sur la recherche par reconnaissance faciale ; pour un événement d’entreprise avec des collaborateurs, ce sous-traitant convertit votre collection en traitement de l’art. 9 et en obligation de consentement explicite que vous n’aviez pas prévue.

La liste de sous-traitants permet aussi de vérifier si la catégorie de données augmente discrètement.

Où se trouvent les données : la question de localisation sur laquelle repose la convention de traitement

Une DPA ne dit pas, à elle seule, où sont vos données. Elle encadre la relation; l’emplacement du traitement est un fait distinct que vous devez établir — et il détermine l’ampleur du régime de transfert applicable. Les transferts hors UE ne sont licites que sur la base d’une décision d’adéquation (art. 45) ou de garanties appropriées comme les clauses contractuelles types (art. 46), avec des droits et recours opposables (RGPD art. 45, art. 46(2)(c)). La décision d’adéquation du Data Privacy Framework UE-USA (adoptée en juillet 2023) reste en vigueur à mi-2026, donc les transferts vers des entités américaines certifiées DPF sont possibles — mais pas sans risque ; les SCCs et une évaluation d’impact sur le transfert restent la précaution recommandée (CJUE C-311/18 Schrems II ; décision de la Commission sur l’adéquation DPF 2023).

Le raccourci propre consiste à éviter la question complètement : gardez les données en UE et il n’y a pas d’évaluation de transfert à effectuer. Le marché de la tech événementielle se segmente nettement ici — en regardant uniquement les informations publiquement disponibles de chaque fournisseur telles que capturées le 2026-06-08 :

• Plusieurs outils populaires sont explicitement basés aux États-Unis — GuestCam indique que ses données sont sur un stockage cloud américain sans option UE ; Kululu stocke son contenu principal sur des serveurs Google Cloud (Firebase) aux États-Unis ; Fotify est exploité par une société du Delaware, aux États-Unis.
• Un groupe plus restreint est hébergé dans l’UE et l’indique clairement — EventPics (une entreprise autrichienne, hébergement dans une région de l’UE) et JoinMyMoment (sous-traitants UE/EEE en Allemagne, France et AWS Francfort) mentionnent explicitement la résidence UE.
• Certains outils ne précisent pas clairement où sont stockées les données — c’est un signal d’alerte en soi, car vous ne pouvez pas renseigner l’annexe de transfert d’une DPA contre une case vide.

Gathmo est conçu pour ce contrôle : résidence des données dans l’UE, avec la base de données principale à Francfort, du stockage objet et du compute en UE, et des DPA avec ses propres sous-traitants. La conformité repose sur la preuve — une localisation de centre de données nommée, pas un badge marketing. Soyez précis néanmoins : plusieurs fournisseurs disent “serveurs européens”, et ce qu’une équipe procurement doit tester, c’est une preuve vérifiable plus une DPA signée, pas seulement la déclaration UE.

La clause de suppression : un droit avec délai

Parmi toutes les obligations d’un DPA, c’est la suppression qui est la plus susceptible d’être vérifiée dans le monde réel — parce que les personnes concernées y ont droit et qu’elle est soumise à un délai. Selon l’article 17(1), un sujet de données peut demander l’effacement sans délai injustifié si un motif s’applique (données non nécessaires, ou retrait du consentement sans autre base légale), et l’article 12(3) fixe le délai : répondre sans retard injustifié et en tout état de cause dans le mois suivant la réception, extensible de deux mois supplémentaires seulement pour les demandes complexes ou nombreuses, avec information de la prolongation dans le premier mois (RGPD Art. 17(1); Art. 12(3)).

Pour le DPA, il y a deux vérifications. Premièrement : le contrat engage-t-il le sous-traitant à aider à exécuter et à mettre en œuvre la suppression sur demande, y compris la demande d’effacement d’une personne déterminée, dans le délai légal ? C’est l’obligation concrète de l’article 28(3)(e) ; demandez-la explicitement et obtenez-la par écrit. Deuxièmement : la fin de la prestation prévoit-elle la suppression ou la restitution de toutes les données (art. 28(3)(g)) ? Pour Gathmo, la suppression conforme au RGPD sur demande fait partie du modèle — exécutée dans le délai légal sur tous les tarifs — et comme tout aboutit dans une galerie gérée, une demande d’effacement d’un mois est une action unique, pas un triacross téléphones et disques partagés.

Un dernier mot sur l’alternative « par défaut » : recueillir les photos d’événement via un groupe WhatsApp, un espace de stockage partagé ou une chaîne d’e-mails personnels. Cette approche n’a pas de DPA solide : elle n’a ni DPA, ni possibilité d’en avoir — pas de sous-traitant à contractualiser, pas de liste de sous-traitants, aucune durée de conservation définie, aucun chemin de suppression, aucun journal d’audit. (Elle est également impopulaire auprès des personnes dans le chat : News.com.au relate l’anxiété des groupes de discussion et la fatigue de notifications.com.au group-chat anxiety report](https://www.news.com.au/lifestyle/health/mental-health/why-your-group-chat-is-making-you-anxious/news-story/b9e9ce4805f6e48598646e665bac10da), 2024.) La collecte ad hoc ne peut pas passer un audit DPA, car rien n’existe à auditer.