GDPR et photos des employés lors d’événements : ce que RH doit savoir en 2026

Votre entreprise vient de faire son séminaire d’été. Trois cents photos sont éparpillées entre des téléphones personnels, un groupe WhatsApp que personne ne peut exporter proprement, et un dossier partagé sur un cloud créé « temporairement » en 2023. Les équipes de communication interne veulent douze photos de qualité pour la newsletter. Et un collaborateur vient de vous écrire pour demander qu’aucune photo de lui/elle ne soit publiée.

Ce dernier message est celui qui devrait alerter les RH. Car dès que votre organisation collecte, stocke ou publie des photos d’employés identifiables, le RGPD s’applique — et « c’était juste la fête de fin d’année » n’est pas une défense acceptée par un DPO.

Ce guide accompagne les responsables RH et les planificateurs d’événements internes à travers les obligations RGPD liées aux photos d’événements d’entreprise : quelle est votre base légale réelle, quand le consentement est requis ou pas, combien de temps les images peuvent être conservées, et ce que vous devez exiger de tout outil de collecte de photos avant qu’il ne touche le visage d’un seul salarié. Il est rédigé pour le contexte UE/EEE, avec des notes spécifiques pour l’Allemagne.

Les photos d'événements de salariés sont-elles soumises au RGPD ?

Oui — et l’exonération de « usage personnel » souvent relayée ne vous protège pas.

Le RGPD exclut du champ les traitements effectués « par une personne physique dans le cadre d’une activité exclusivement personnelle ou domestique » sans lien avec une activité professionnelle ou commerciale (Art. 2(2)(c)). Un invité conservant en privé ses propres photos de la fête peut y entrer. L’employeur n’en fait pas partie. Un événement organisé par l’entreprise et photographié à des fins professionnelles — newsletter, intranet, page de recrutement, prochain deck d’all-hands — est, par définition, un traitement professionnel et commercial. L’exemption protège l’individu ; elle ne protège pas l’organisation agissant en tant que responsable, ni une plateforme agissant comme processeur pour son compte.

Il est utile de connaître une limite supplémentaire. La Cour de justice de l’Union européenne, dans l’affaire Ryneš (C-212/13), a interprété l’exception du cadre domestique de façon stricte : un traitement “dirigé vers l’extérieur depuis l’espace privé de la personne” — en l’espèce une vidéosurveillance dans un espace public — ne peut pas être purement personnel. Appliqué aux événements, publier des photos d’autres personnes en dehors d’un cercle privé fermé (par exemple sur l’internet ouvert) relève probablement de l’exception et place le diffuseur dans le champ du RGPD.

La réponse pratique pour les RH est simple : considérez que le RGPD s’applique à chaque employé identifiable figurant sur chaque photo que votre entreprise collecte, dès l’instant où vous la collectez.

Votre base légale est-elle le consentement ou l’intérêt légitime ?

Chaque traitement de données personnelles nécessite une base légale au titre de l’article 6. Pour les photos d’événements ordinaires, deux options sont réalistes : l’intérêt légitime (Art. 6(1)(f)) et le consentement (Art. 6(1)(a)).

L’intérêt légitime est possible lorsque le traitement est nécessaire pour les intérêts du responsable ou d’un tiers, et que ces intérêts ne sont pas supplantés par les droits et libertés de la personne concernée — un test de mise en balance qui doit être réellement mené et documenté, avec une protection renforcée lorsque l’intérêt d’un enfant est en jeu. Pour une documentation événementielle à faible risque et à usage interne, de nombreuses organisations peuvent s’y appuyer.

Le consentement doit être spécifique, informé et librement donné. C’est la base la plus sûre, et il devient la base requise lorsque l’équilibre de l’intérêt légitime échoue ou lorsque des données de catégories particulières sont en jeu.

Le piège qui touche surtout la DRH est la relation d’emploi. Parce que les salarié·e·s dépendent de l’employeur, les régulateurs sont sceptiques sur le caractère jamais totalement "volontaire" du consentement dans ce contexte. Le BDSG allemand règle spécifiquement les données des salarié·e·s en §26, en autorisant le traitement lorsque nécessaire pour la relation de travail, tout en reconnaissant que le consentement peut être valable mais doit être évalué selon la liberté réelle et en général être recueilli par écrit.

Le constat honnête pour la photo d’événement en entreprise est le suivant : l’exception de nécessité de l’art. 26 convient généralement mal aux photos marketing ou newsletter (une photo recrutement glossy n’est pas « nécessaire » pour exécuter le contrat de travail). Pour toute communication externe ou promotionnelle, la voie défendable est le consentement librement accordé et documenté, avec un droit clair de refuser sans désavantage pour le salarié. Notez aussi qu’après la jurisprudence européenne et allemande, l’art. 26(1) a été jugé en partie contraire au droit de l’UE, et le traitement peut aussi reposer directement sur l’art. 6 RGPD — une raison supplémentaire de fonder vos photos sur un consentement explicite propre plutôt que sur un argument de nécessité étiré.

Une règle pratique pour les RH :

• Documentation interne à faible enjeu (quelques prises pour la prochaine mise à jour équipe) : l’intérêt légitime peut suffire, à condition d’avoir documenté le test de proportionnalité.

• Tout ce qui est publié à l’extérieur ou utilisé en marketing/recrutement : obtenez un consentement explicite et volontaire, et assurez-vous que le refus n’entraîne aucune conséquence.

Avez-vous besoin d’un consentement séparé et explicite pour la reconnaissance faciale ?

C’est la question qui distingue une galerie photo classique d’un risque juridique latent — et où de nombreuses applis événementielles grand public créent discrètement du risque.

Une photo de visage n’est pas automatiquement une donnée de catégorie spéciale. Le considérant 51 du RGPD est explicite : les photographies sont couvertes par la définition des données biométriques « uniquement lorsqu’elles sont traitées au moyen d’un moyen technique spécifique permettant l’identification ou l’authentification unique d’une personne physique. » Le simple stockage et affichage de photos ne déclenche pas l’article 9.

Mais dès qu’un outil exécute une extraction de caractéristiques de reconnaissance faciale — construire un modèle de visage pour regrouper ou identifier des invités, ou permettre de « trouver toutes mes photos » via un selfie — il traite des données biométriques dans le but d’identifier de manière unique une personne, ce qu’interdit l’article 9(1), sauf exception spécifique (généralement un consentement séparé et explicite). C’est un seuil bien plus élevé que le consentement recueilli pour des photos ordinaires.

C’est important dans le choix d’un fournisseur. Plusieurs concurrents mettent en avant la recherche faciale comme fonctionnalité phare. Cette capacité est vraiment utile lors d’un mariage ; lors d’un événement d’entreprise avec des employés, elle transforme votre collection en traitement au titre de l’article 9 et vous oblige à obtenir un consentement biométrique explicite et à documenter un fondement de l’article 9. Pour une équipe RH qui veut simplement regrouper les photos de l’offsite en un seul endroit, c’est un risque que vous ne vouliez pas.

Point technique à retenir : Gathmo n’offre pas la reconnaissance faciale ni la recherche par visage au lancement (c’est un élément de phase 2 de la roadmap, pas une fonctionnalité live). Pour les RH, cette absence est un avantage : les galeries photo ordinaires qui ne créent pas de templates faciaux restent, par défaut, hors du périmètre de l’article 9. Si vous souhaitez un jour la recherche faciale, traitez-le comme une décision délibérée, distincte et consentie — pas comme une activation cachée dans une app.

Que dois-tu dire aux employés lorsque tu collects des photos ?

La transparence n’est pas optionnelle, et elle n’est pas remplie par un panneau que personne ne lit. Lorsque vous collectez des données personnelles directement auprès de la personne concernée, l’article 13(1) RGPD impose de fournir au moment de la collecte un ensemble défini d’informations : l’identité et les coordonnées du responsable, les finalités et la base juridique du traitement, et, lorsque l’intérêt légitime est retenu, les intérêts légitimes spécifiques poursuivis.

Pour un événement, cela se traduit par une notice d’information claire et accessible au moment de la capture ou du dépôt : qui contrôle les photos, pourquoi, sur quelle base juridique, combien de temps elles seront conservées et quels sont les droits de la personne concernée. Un QR code qui amène à une page de dépôt est un endroit naturel pour porter cette information : la page d’atterrissage ou de dépôt peut la contenir pour que le consentement (lorsque vous vous y appuyez) soit capturé dans le contexte.

Une courte liste de contrôle en termes simples pour votre notice :

• Qui est le responsable (votre organisation) et comment le contacter — et le DPO lorsqu’il existe.

• Pourquoi collectez-vous les photos (ex. newsletter interne, galerie intranet).

• La base juridique — et, s’il s’agit d’un intérêt légitime, de quel intérêt il s’agit.

• Durée de conservation des images.

• Quels sont les droits des employés, y compris le droit d’opposition et la demande d’effacement.

Combien de temps pouvez-vous conserver les photos ?

Pas indéfiniment. Deux principes de l’article 5 régissent cela :

• Minimisation des données (Art. 5(1)(c)): les données personnelles doivent être adéquates, pertinentes et limitées au nécessaire pour la finalité. Collectez les médias et métadonnées nécessaires — pas tout ce qui est techniquement possible.

• Limitation de conservation (Art. 5(1)(e)) : les données doivent être conservées sous une forme permettant l’identification que pour la durée nécessaire aux finalités du traitement.

En pratique, cela signifie définir une durée de conservation avant l’événement, pas après une réclamation. Une galerie d’entreprise qui s’auto-supprime après une période définie, plutôt que de vivre éternellement sur un disque partagé, est une posture plus propre. C’est un de ces cas où un outil dédié avec rétention automatique et clairement définie surpasse un dossier ad hoc : le système applique la limitation de conservation pour vous au lieu de compter sur la mémoire de quelqu’un pour le nettoyer.

À titre de référence, les formules par événement de Gathmo ont des délais de conservation explicites et finis — 30 jours sur l’offre Free jusqu’à 1 an sur le niveau supérieur — au lieu d’un stockage illimité, ce qui est conforme à ce que demande l’article 5(1)(e). Quel que soit l’outil choisi, le principe reste le même: une date de fin définie pour les données.

Que se passe-t-il si un employé te demande de supprimer ses photos ?

C’est le droit à l’effacement — le « droit à l’oubli » — et ce n’est pas une faveur que vous pouvez refuser.

Conformément à l’article 17(1), la personne concernée peut demander au responsable du traitement d’effacer ses données personnelles sans retard injustifié lorsque un motif existe (par exemple, les données ne sont plus nécessaires à la finalité, ou le consentement est retiré et qu’il n’existe plus de base légale). Il existe un délai strict : l’article 12(3) impose de répondre à la demande sans retard injustifié et au plus tard dans le mois suivant la réception. Ce délai peut être prolongé de deux mois supplémentaires si la demande est réellement complexe ou volumineuse — uniquement si vous informez la personne concernée de la prolongation et du motif dans le premier mois.

Pour les RH, deux conséquences opérationnelles découlent de cela :

1. Vous devez savoir où vit chaque photo. Si vos médias d’événement sont répartis entre téléphones, chats et disques, appliquer une demande d’effacement à un mois devient un parcours manuel. Une galerie unique bien gérée avec un chemin de suppression clair simplifie cela en une seule action.

1. Le retrait du consentement doit être aussi simple que sa fourniture. Si votre base légale est le consentement, un·e employé·e peut le retirer, et vous devez alors effacer les données (sauf si une autre base légale s’applique).

Lors de l’évaluation d’un fournisseur, posez la question directe : pouvez-vous supprimer le contenu d’une personne précise, sur demande, dans le délai légal — et vous engagez-vous à le faire ? Pour Gathmo, l’effacement conforme au RGPD sur demande fait partie du modèle — exécuté dans le délai légal sur chaque formule. Le point pour le procurement est d’obtenir la voie de suppression par écrit, pas de la découvrir pendant une demande en cours.

Qu’en est-il des événements internationaux et des outils basés aux États-Unis ?

Si vos participants se répartissent dans plusieurs États membres de l’UE, le RGPD s’applique toujours — il n’existe pas de frontière interne de l’UE qui change l’analyse. La vraie question est où vont les données, et c’est là que le choix de la plateforme devient une décision de conformité, pas seulement une question de fonctionnalités. Pourquoi la résidence des données dans l’UE compte dans les achats B2B explique comment cela pèse dans un processus d’achat.

Les transferts de données personnelles hors UE ne sont légaux que dans le cadre d’une décision d’adéquation (art. 45) ou de garanties appropriées, comme les clauses contractuelles types (art. 46), avec des droits et recours exécutoires. À mi-2026, la décision d’adéquation du cadre UE-US de confidentialité des données (adoptée en juillet 2023) est en vigueur — la Cour de justice de l’UE a rejeté le premier recours en septembre 2025, et un appel est en cours devant la CJUE sans date d’audience annoncée. Les transferts vers des organisations américaines certifiées DPF sont donc possibles, mais le cadre n’est pas sans risque, et SCC + TIA restent une précaution prudente.

Le moyen le plus simple d’éviter toute question de transfert est de conserver les données dans l’UE dès le départ. Et le marché se divise nettement ici. Sur la base des informations publiques des entreprises en juin 2026 :

• Plusieurs outils populaires sont explicitement basés aux États-Unis — par exemple, GuestCam indique que les données sont hébergées sur un stockage cloud basé aux États-Unis, sans option UE/Europe, et Kululu stocke ses contenus principaux sur des serveurs Google Cloud (Firebase) aux États-Unis. Fotify est exploité par une entreprise du Delaware, aux États-Unis.
• Le lot plus restreint est hébergé dans l'UE — EventPics (exploité par une entreprise autrichienne, hébergement en région UE) et JoinMyMoment (sous-traitants UE/EEE en Allemagne, France et AWS Francfort) sont des exemples qui mentionnent explicitement la résidence UE.
• Certains outils ne précisent pas clairement où les données sont hébergées, ce qui est déjà un signal d’alerte pour une équipe d’achats : si un fournisseur ne peut pas vous dire la juridiction d’hébergement, vous ne pouvez pas finaliser votre analyse de transfert.

La position de Gathmo répond précisément à cette préoccupation : résidence des données dans l’UE, stockage objet dans la juridiction UE, base de données principale à Francfort, calcul UE et accords de traitement des données en place avec ses sous-traitants. Pour une équipe RH ou achats dont la question par défaut est « cela maintient-il les données employé en Europe ? », c’est un oui vérifiable à partager avec le juridique — avec preuve (centre de données nommé, DPA des processeurs), pas un simple badge marketing. Il faut rester précis : plusieurs fournisseurs affichent des serveurs européens, donc le vrai différenciateur est une preuve vérifiable et une DPA signée, pas l’affirmation européenne seule.

Vous êtes le responsable — où se trouve le DPA de votre processeur ?

C\u2019est la partie que les achats ne peuvent pas contourner. Lorsqu\u2019un outil externe traite des données personnelles pour votre compte et selon vos instructions, la relation est de responsable à sous-traitant, et le RGPD exige qu\u2019elle soit régie par un contrat écrit contraignant — un accord de traitement des données — conformément à l\u2019article 28(3).

Ce contrat n’est pas un modèle standard que l’on signe machinalement. L’article 28(3) exige qu’il définisse l’objet, la durée, la nature et la finalité du traitement, les types et catégories de données, ainsi que les droits et obligations du responsable, et qu’il impose au sous-traitant des obligations précises : traitement uniquement sur vos instructions documentées, confidentialité, mesures de sécurité de l’article 32, conditions pour les sous-traitants, aide aux droits des personnes concernées, suppression ou restitution des données à la fin du service, et soumission aux audits.

En clair : votre organisation est le responsable du traitement ; l’outil photo est le sous-traitant ; et vous avez besoin d’un DPA conforme au RGPD avec lui avant que des photos d’employés n’y soient déposées. Un fournisseur qui ne peut pas en fournir un n’est pas un fournisseur utilisable par une entreprise de l’UE. Ce qu’il faut vérifier dans un accord de sous-traitance pour l’event tech passe en revue les clauses qui comptent vraiment.

Dans votre évaluation, c’est la question à plus forte valeur:

• Pouvez-vous fournir une DPA conforme à l’Article 28 du RGPD ? (Si la réponse est « c’est quoi ? », arrêtez-vous.)
• Voulez-vous partager les sous-sous-traitants et leur localisation ?
• Vous vous engagez à supprimer ou restituer nos données à la fin de la prestation ?

Gathmo fournit une DPA — disponible sur demande pour les forfaits par événement, et incluse dans les abonnements B2B Studio, Agency et Enterprise. Le point important à signaler à votre équipe juridique : sur ce marché, une DPA dédiée, téléchargeable, et une liste de sous-traitants publiée sont l’exception, pas la norme — de nombreux outils orientés consommateur n’en proposent pas. Une checklist RGPD pour la photographie d’événements d’entreprise transforme tout cela en quelque chose qu’un organisateur peut dérouler.

Un mot sur le QR code lui-même

Si vous collectez des photos via un code scannable sur des lanières, des cartes de table ou une signalétique scénique, quelques spécifications pratiques le maintiennent opérationnel — et la page de téléversement est aussi l’endroit idéal pour afficher votre information de transparence Art. 13. Pour lanyards et badges, gardez le code au moins à 2 x 2 cm (2,5 x 2,5 cm est plus confortable à portée de main) ; sur une bannière de scène vue depuis le fond de la salle, faites-le bien plus grand. Respectez la zone silencieuse autour, utilisez un code sombre sur fond clair, et testez toujours un imprimé et un scan en vraie taille avant d’en imprimer des centaines. Un code qui ne scanne pas ne fait pas juste perdre des photos — il envoie des hôtes frustrés ailleurs que vers votre notice de consentement.