Checklist RGPD pour la photographie d’événements d’entreprise : guide pour les planificateurs d’événements

Vous avez trois semaines avant une conférence de 400 personnes. Le programme est verrouillé, les badges sont à l’imprimerie, et quelqu’un du service juridique demande si l’outil photo choisi est « conforme RGPD ». Vous n’avez pas besoin d’un diplôme de droit : il vous faut une checklist que vous pouvez suivre, valider et rendre avec confiance.

Voici cette checklist. Elle est rédigée pour les organisateurs d’événements, responsables RH et acheteurs qui gèrent des événements corporate en UE/EEE, où la prise de photos et vidéos de participants identifiables est un traitement de données personnelles dès la première image. Parcourez les sections suivantes avant l’événement et vous aurez couvert les obligations qui ressortent vraiment en revue de procurement — base juridique, notice d’information, durée de conservation, effacement, transferts internationaux et DPA — avec les références réglementaires pour vérification juridique.

Il y a six sections, organisées selon le déroulement d’un événement. Chacune est une courte liste de vérifications oui/non : cochez tout et vous couvrez ce que les équipes achat de l’UE testent ; laissez une case vide et c’est précisément là que votre DPO vous bloquera. Avant de commencer, une précision de périmètre — les contrôles portent sur les galeries photo et vidéo ordinaires (stockage et affichage d’images), pas sur la reconnaissance faciale. Si votre outil utilise le face-matching pour regrouper ou identifier les participants, vous entrez dans un régime beaucoup plus strict ; consultez le contrôle dédié de la section 1.

Section 1 — Avant de choisir un outil : les vérifications fournisseurs

C’est là que l’événement d’entreprise diffère le plus d’un mariage ou d’un anniversaire. La plateforme que vous choisissez n’est pas seulement une décision de fonctionnalités ; c’est une décision de traitement de données que votre équipe juridique va auditer. Vérifiez ces points avec chaque prestataire présélectionné.

☐ Le prestataire propose-t-il un accord de traitement des données (DPA) conforme à l’article 28 du RGPD ? Quand un outil externe traite des données personnelles pour ton compte et selon tes instructions, la relation est responsable→sous-traitant, et l’article 28(3) du RGPD exige un contrat écrit contraignant. Il doit définir l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées, et tes droits en tant que responsable — et imposer au sous-traitant un ensemble de devoirs définis (traiter uniquement selon tes instructions documentées, confidentialité, sécurité, conditions des sous-traitants, aide pour les droits des personnes, suppression ou restitution des données à la fin du service, et soumission à des audits). Si un prestataire ne peut pas fournir de DPA, une entreprise UE ne peut pas l’utiliser. (RGPD art. 28(3).)

☐ Le prestataire nomme-t-il ses sous-traitants et leurs emplacements ? Les conditions DPA concernant le recours aux sous-traitants relèvent de l’article 28. Vous ne pouvez pas mener une analyse de transfert ni une évaluation du risque fournisseur si vous ne savez pas qui touche aussi aux données et depuis quel pays.

☐ Le prestataire s’engage-t-il par écrit, contractuellement, à supprimer ou restituer vos données à la fin de la prestation ? C’est une obligation obligatoire de l’article 28(3) pour les sous-traitants. Faites-le figurer au contrat, pas dans un e-mail commercial.

☐ Où sont hébergées les données — et le prestataire l’indique-t-il clairement ? Un prestataire qui ne peut pas indiquer la juridiction d’hébergement rend votre analyse de transfert impossible. Considérez « nous ne le divulguons pas » comme un échec. (La section 5 couvre la marche à suivre selon la réponse.)

☐ L’outil utilise-t-il la reconnaissance faciale — et voulez-vous vraiment cette responsabilité ? C’est le point le plus souvent négligé, car la recherche de visage est présentée comme un confort. La photo d’un visage n’est pas automatiquement une donnée de catégorie spéciale ; le considérant 51 précise que les images entrent dans la définition des données biométriques « uniquement lorsqu’elles sont traitées par un moyen technique spécifique permettant l’identification unique ou l’authentification d’une personne physique. »

Mais dès qu’un outil construit un modèle de visage pour regrouper les participants ou permettre aux gens de "trouver toutes les photos de moi" via un selfie, il traite des données biométriques afin d’identifier une personne de manière unique, ce que l’article 9(1) interdit sauf exception spécifique (souvent un consentement explicite et séparé). C’est un seuil de consentement nettement plus élevé que pour des photos ordinaires.

Plusieurs concurrents de ce marché misent d’abord sur la recherche par reconnaissance faciale. Lors d’un événement corporate avec des employés, cette fonctionnalité transforme votre collection photo en traitement relevant de l’article 9 avec une obligation de consentement explicite documenté que vous n’avez pas demandée. (RGPD art. 9(1); considérant 51.)

Section 2 — Établir votre base légale

Vous êtes le responsable : votre organisation décide pourquoi et comment les photos sont traitées. Chaque acte de traitement doit avoir une base légale selon l’article 6. Pour les photos d’événements ordinaires, deux options sont réalistes; choisir correctement fait la différence entre une position défendable et une supposition.

☐ Avez-vous identifié votre base légale au titre de l’article 6, et est-ce la bonne pour l’usage ? L’intérêt légitime (Art. 6(1)(f)) est possible quand le traitement est nécessaire à vos intérêts ou à ceux d’un tiers et n’est pas prévalu par les droits de la personne concernée — avec une protection renforcée lorsqu’un enfant est impliqué. Le consentement (Art. 6(1)(a)) doit être spécifique, informé et libre ; c’est la base la plus sûre et la requise lorsque l’équilibre n’est pas atteint ou qu’une catégorie particulière de données est en jeu (RGPD art. 6(1)(a) et 6(1)(f)).

☐ Si vous vous appuyez sur l'intérêt légitime, avez-vous réalisé et consigné le test de mise en balance ? « Nous avons supposé que c'était bon » n'est pas un test de mise en balance documenté. Pour une documentation interne à faible risque — quelques prises pour la prochaine mise à jour d'équipe — l'intérêt légitime peut suffire, mais uniquement si vous l'avez réellement évalué et consigné.

☐ Pour les photos de salariés en particulier, avez-vous pris en compte la relation de travail ? Parce que les employés dépendent de leur employeur, les autorités sont sceptiques sur le fait que le consentement dans ce contexte soit réellement « librement donné ». En Allemagne, BDSG §26 régit directement les données des salariés : il autorise le traitement lorsqu’il est nécessaire à la relation de travail et reconnaît que le consentement en contexte de travail peut être valable, mais doit être apprécié au regard de son caractère volontaire et être en général écrit. La nécessité au titre du §26 convient généralement mal aux photos de marketing ou de recrutement — donc, pour tout usage externe, la voie défendable est un consentement documenté, librement donné et assorti d’un droit de refus sans conséquence. (Note : le §26(1) a été jugé partiellement contraire au droit de l’UE, la base de traitement peut aussi être l’art. 6 GDPR — une autre raison de fonder les photos promotionnelles sur un consentement explicite et propre.) (BDSG §26(1).)

Une règle de base à valider :

• Documentation interne à faible enjeu → l’intérêt légitime peut suffire (avec un test de proportionnalité documenté).

• À usage externe, marketing ou recrutement → consentement explicite et volontaire, refus sans désavantage.

Section 3 — Préparer l’information (transparence)

La transparence n’est pas optionnelle, et un panneau que personne ne lit ne suffit pas. Lorsque vous recueillez des données personnelles directement auprès de la personne concernée, l’article 13(1) impose de fournir un ensemble défini d’informations au moment de la collecte, notamment l’identité et les coordonnées du responsable, les finalités et la base légale du traitement, et, en cas de recours à l’intérêt légitime, les intérêts précis poursuivis. (GDPR Art. 13(1).)

Coche chaque élément dans ta checklist :

☐ Qui est le responsable (votre organisation), comment le contacter et le DPO s’il y en a un. ☐ Pourquoi vous collectez les photos (newsletter interne, galerie intranet, page recrutement). ☐ La base légale — et si l’intérêt légitime, en quoi il consiste. ☐ La durée de conservation des images. ☐ Les droits des participants, notamment droit d’opposition et droit d’effacement.

☐ L’avertissement apparaît-il au moment de la capture ou du téléchargement, et non enfoui ailleurs ? Pour un flux de collecte basé sur QR, la page d’atterrissage d’upload est l’emplacement naturel. Quand le scan conduit un participant vers un écran d’upload, l’information peut se trouver là même, et le consentement (lorsqu’il est invoqué) est recueilli dans le contexte plutôt qu’inféré. Un outil qui capture le consentement à l’upload rend cette vérification simple.

Section 4 — Définissez la rétention avant l’événement

Une conservation indéfinie est une non-conformité qui ne demande qu’à être relevée. Deux principes de l’article 5 déterminent la durée pendant laquelle les photos peuvent être conservées :

• Minimisation des données (art. 5, par. 1, c) : les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire aux finalités.

• Limitation de conservation (article 5(1)(e)) — les données doivent être conservées sous forme identifiable pas plus longtemps que nécessaire pour la finalité. (RGPD article 5(1)(c) et 5(1)(e)).

☐ Avez-vous défini une durée de conservation avant l’événement, et non après une plainte ? Un album qui supprime automatiquement après une fenêtre fixe applique la limitation de stockage pour vous, plutôt que de dépendre de la mémoire de quelqu’un pour vider un drive partagé. C’est là que l’outil conçu à cet effet avec une rétention automatique et définie surpasse un dossier ad hoc. Pour référence, les paliers Gathmo par événement proposent des fenêtres de conservation explicites et finies — de 30 jours en Free à 365 jours sur le niveau supérieur — au lieu d’un stockage sans fin. Quel que soit votre choix, la case à cocher reste la même : une date de fin définie pour les données.

☐ Ne collectez-vous que le nécessaire ? La minimisation est déjà un contrôle en soi. Si l’outil récupère des métadonnées ou des médias sans objectif prévu, vous ne pouvez pas cocher cette case de façon honnête.

Section 5 — Gestion des transferts internationaux et de la résidence des données

Si vos participants viennent de plusieurs États membres de l’UE, conservez la même checklist RGPD. La vraie question devient l’emplacement des données, et c’est là que le choix de votre outil devient une décision de conformité.

☐ Savez-vous si des données quittent l’UE — et existe-t-il un mécanisme de transfert licite si c’est le cas ? Les transferts hors UE sont légaux uniquement avec une décision d’adéquation (Art. 45) ou des garanties appropriées comme les clauses contractuelles types (Art. 46), avec des droits et recours opposables. À la mi-2026, la décision d’adéquation du DPF UE–US (adoptée en juillet 2023) est toujours en vigueur — la Cour de justice de l’UE a rejeté le premier recours en septembre 2025, et un appel est pendant devant la CJUE sans date d’audience annoncée. Les transferts vers des organisations américaines certifiées DPF sont donc possibles, mais le cadre n’est pas sans risque ; les SCC et une évaluation d’impact de transfert restent la précaution recommandée. (RGPD Art. 45, Art. 46(2)(c) ; CJUE C-311/18 Schrems II ; décision de la Commission DPF 2023.)

☐ La voie propre : le tool garde-t-il les données dans l’UE ? Le moyen le plus simple d’éviter la question du transfert est de conserver les données en UE dès le départ. En regardant les informations publiques disponibles au 8 juin 2026:

• Plusieurs outils populaires sont explicitement basés aux États-Unis : GuestCam précise que les données sont hébergées sur un cloud américain sans option UE/Europe ; Kululu stocke le contenu principal sur des serveurs Google Cloud (Firebase) aux États-Unis ; Fotify est exploitée par une entreprise du Delaware (États-Unis).
• Une offre plus petite est hébergée dans l’UE — EventPics (gérée par une entreprise autrichienne, hébergement dans une région UE) et JoinMyMoment (sous-traitants UE/EEE en Allemagne, en France et AWS Frankfurt) mentionnent explicitement la résidence UE.
• Certaines outils ne précisent pas clairement où résident les données — c’est déjà un signal rouge en achat, car vous ne pouvez pas réaliser une analyse de transfert sur une zone vide.

Gathmo est conçu pour ce contrôle précis : résidence des données dans l’UE, avec stockage objet en juridiction UE, base de données principale à Francfort, calcul UE, et DPAs avec ses processeurs. La résidence s’appuie sur la preuve — un datacenter nommé et des DPAs de sous-traitants — plutôt qu’un badge marketing. Soyez néanmoins précis : plusieurs fournisseurs revendiquent des serveurs européens, donc une équipe de procurement doit tester le critère de preuve vérifiable et d’une DPA signée, pas uniquement la mention UE.

Section 6 — Soyez prêt pour une demande d’effacement

Il s’agit du droit à l’oubli, et ce n’est pas une faveur que vous pouvez refuser. Selon l’article 17(1), une personne concernée peut exiger l’effacement de ses données personnelles sans retard excessif lorsque l’un des motifs s’applique (par exemple, les données ne sont plus nécessaires ou le consentement est retiré sans autre base légale). Et il existe un délai strict : l’article 12(3) impose de répondre sans retard excessif et au plus tard dans le mois suivant la réception, avec possibilité de prolongation de deux mois supplémentaires en cas de demande complexe ou multiple, uniquement si l’extension et ses raisons sont notifiées à la personne dans le premier mois. (RGPD art. 17(1); art. 12(3).)

☐ Savez-vous où se trouve chaque photo, afin de lancer une suppression en un seul point ? Si vos médias sont éparpillés entre téléphones, groupes de chat et disques partagés, une demande de suppression d’un mois devient un casse-tête manuel. Une galerie unique gérée en central avec un chemin de suppression clair transforme cela en une action simple — c’est là la raison opérationnelle majeure d’une solution unique.

☐ Si votre fondement est le consentement, retirer ce consentement est-il aussi simple que le donner ? Un participant peut retirer son consentement, et vous devez ensuite effacer (sauf autre base légale). Le mécanisme de retrait doit être réel, pas seulement théorique.

☐ Le prestataire s’est-il engagé à réaliser les suppressions dans les délais légaux à la demande ? Posez la question directement et obtenez-la par écrit : peuvent-ils supprimer le contenu d’une personne précise, à la demande, dans le délai légal — et vous engageriez-vous à le faire ? Pour Gathmo, la suppression sur demande conforme au RGPD fait partie du modèle. Sur ce marché, une DPA dédiée et une liste publique de sous-traitants restent l’exception, pas la norme — d’où l’importance d’obtenir le processus d’effacement par écrit avant signature, plutôt que de le découvrir lors d’une demande réelle.

Un détail pratique : le QR code sur le badge

Si vous collectez via un code scannable sur lanyards, cartes de table ou signalétique de scène, la page de téléchargement à laquelle il renvoie doit aussi contenir l’information obligatoire de l’article 13 — un code qui ne se scanne pas ne fait pas seulement perdre des photos, il détourne les participants du message de consentement. Quelques specs le rendent utilisable : sur un lanyard ou un badge, gardez le code d’au moins 2 × 2 cm (2,5 × 2,5 cm est plus confortable à portée de bras) ; sur une bannière de scène vue de loin, bien plus grand. Gardez la marge de zone calme, utilisez un contraste sombre sur clair, et testez une preuve imprimée en taille réelle avant d’imprimer en gros volume.

La checklist en une page

Imprime ceci et apporte-le à ton DPO

1. Prestataire — DPA (art. 28) fourni · sous-traitants identifiés · suppression/retour engagé · hébergement précisé · reconnaissance faciale comprise et choisie délibérément.

1. Fondement juridique — base de l’art. 6 identifiée · test de mise en balance documenté (si intérêt légitime) · photos d’employés fondées sur consentement documenté quand elles sont destinées à un usage externe (art. 6, BDSG § 26).

1. Transparence — notification Article 13 préparée, complète, et affichée au moment du chargement.

1. Suppression — période de conservation définie à l’avance · collecter uniquement ce dont vous avez besoin (Art. 5).

1. Transferts — vous savez si les données quittent l’UE et sous quel mécanisme juridique, ou vous les maintenez en UE (articles 45-46).

1. Effacement — tous les médias au même endroit · retrait possible à tout moment du consentement · le prestataire s’engage à supprimer sous un mois (Art. 17, Art. 12(3)).