La fête de bureau est l’événement de l’année où tout le monde a le téléphone à la main. À la fin de la soirée, votre équipe a capturé des centaines de photos et de clips — et presque rien n’atteint le reste de l’entreprise. Cela se disperse entre les rouleaux de caméra personnels, un groupe WhatsApp que trois personnes ne peuvent pas exporter, et un dossier partagé "temporaire". Puis la communication interne demande quelques images pour la newsletter de début d’année, et la recherche commence.
Il existe un moyen plus rapide de tout rassembler au même endroit — et lors d’un événement d’entreprise avec des employés à l’image, la voie rapide doit aussi être la voie conforme. Dès que votre organisation collecte, stocke ou publie des photos d’employés identifiables, le règlement général sur la protection des données s’applique, et « c’était juste la fête de Noël » n’est pas une position que votre délégué à la protection des données validera. Voici un guide pratique, étape par étape, pour faire les choses correctement : collecter des photos d’équipe sans application, recueillir le consentement au moment du téléversement, conserver les images des employés dans l’UE, définir une durée de conservation raisonnable et respecter une demande de suppression lorsqu’elle arrive. Il est rédigé dans le contexte de l’UE/EEE, avec des notes pour l’Allemagne ; pour l’analyse juridique plus approfondie, consultez notre guide complémentaire RGPD et photos d’employés lors d’événements : ce que les RH doivent savoir en 2026.
Pas un avis juridique. Ce passage explique les dispositions RGPD pertinentes pour un repère général et cite directement la réglementation pour que vous puissiez vérifier chaque point, mais ne remplace pas un conseil de votre DPO ou avocat.
Pourquoi les méthodes habituelles créent silencieusement un problème
Les réglages par défaut semblent sans danger, ce qui explique leur danger. Un groupe WhatsApp ou Teams disperse les photos des employés dans un chat que personne ne contrôle, sans export propre ni possibilité de supprimer les images sur demande — et les groupes sont de toute façon ignorés (40% des personnes s’y sentent dépassées; rapport News.com.au sur l’anxiété des groupes, 2024). Un dossier partagé Drive n’a ni preuve de consentement, ni limite de conservation, et dure indéfiniment. Une pile de rouleaux de caméra personnels signifie que les photos n’atteignent jamais l’entreprise — environ 70% des photos de smartphone ne sont jamais revues (Popsa Memory Economy Report, 2026).
Aucune de ces solutions ne répond aux cinq questions qu’un événement d’entreprise doit poser : quelle est notre base légale ? avons-nous informé ? où sont les données ? combien de temps les conservons-nous ? combien vite pouvons-nous effacer sur demande ? Un collecteur dédié le peut — et oui, c’est couvert par le RGPD. L’« exemption d’usage personnel » que l’on répète parfois (traitement « par une personne physique dans le cadre d’une activité purement personnelle ou domestique », Art. 2(2)(c)) peut protéger un employé qui garde ses propres photos ; elle ne protège pas l’employeur. Un événement organisé par l’entreprise à des fins professionnelles est un traitement à finalité commerciale, et les collègues identifiables sur ces photos sont des données personnelles.
Étape 1 — Choisissez une méthode de collecte conçue pour être conforme dès la conception
Le choix unique de la façon dont les photos sont collectées détermine la difficulté des obligations futures. Un collecteur basé QR, via navigateur, est la voie de moindre friction pour une foule corporate : les invités scannent un code et uploadent depuis leur téléphone, sans application ni compte à créer. Vous ne pouvez pas demander à 200 collègues de télécharger un logiciel et de s’inscrire avant de partager une photo — et l’approche sans installation fonctionne car les smartphones et le scan QR sont désormais quasi universels (environ 97 % de pénétration smartphone en Allemagne en 2024 selon Statista; 68 % des consommateurs ont utilisé un QR code l’année précédente, selon le résumé QRKit de la recherche TEAM LEWIS sur les consommateurs, 2024).
Pour un événement d’entreprise, les questions déterminantes ne sont pas les filtres et les stickers — ce sont celles-ci, et le reste de ce guide les aborde une à une :
- L’application collecte-t-elle le consentement et affiche-t-elle un avis d’information lors du téléchargement ? (Étape 2)
- Où les données sont-elles hébergées ? (Étape 4)
- Pouvez-vous supprimer le contenu d’une personne sur demande, rapidement ? (Étape 6)
- Fournit-il une convention de traitement des données ? (Étape 7)
- Évite-t-il la reconnaissance faciale par défaut ? (ci-dessous)
Un piège à éviter d’emblée : plusieurs applications événementielles grand public misent sur la reconnaissance faciale (« scanne un selfie, récupère toutes tes photos »). Un tour astucieux à un mariage ; à une soirée d’entreprise, une responsabilité potentielle. Une photo de visage n’est pas automatiquement une donnée sensible — le considérant 51 précise que les images sont des données biométriques « uniquement lorsqu’elles sont traitées par un moyen technique spécifique permettant l’identification unique ou l’authentification d’une personne. » Dès qu’un outil crée un modèle de visage pour faire correspondre des personnes, il traite des données biométriques pour une identification unique, ce que l’article 9(1) interdit en l’absence d’exception spécifique (généralement une consentement explicite séparé). Une galerie classique qui ne construit pas de modèles faciaux reste, par défaut, hors de l’article 9. (Gathmo n’offre ni reconnaissance ni recherche faciale — c’est un point de la roadmap phase 2, pas une fonction active. Ici, l’absence est la configuration la plus sûre.)
Étape 2 — Obtenir le consentement et afficher l’avertissement lors du téléversement
La transparence n’est pas satisfaite par un panneau que personne ne lit. Lorsque vous collectez des données personnelles directement auprès des personnes, l’article 13(1) impose de fournir au moment de la collecte l’identité du responsable et ses coordonnées, les finalités et la base juridique, et, en cas d’intérêt légitime, l’intérêt concret poursuivi.
L’écran de téléchargement derrière votre QR code est l’endroit naturel pour cela. Quand un collègue scanne et atterrit là-bas, cette page peut afficher l’information et recueillir le consentement dans le contexte — au moment où la photo est partagée, pas enterré dans une politique que personne n’a lue. Gardez le message simple : qui est le responsable et comment le contacter (avec le DPO si vous en avez un) ; pourquoi les photos sont collectées ; la base légale (et, en cas d’intérêt légitime, quel est cet intérêt) ; la durée de conservation des images ; et les droits des personnes, y compris le droit d’opposition et d’effacement.
La base juridique est compliquée par la relation de travail : comme les salariés dépendent de leur employeur, les autorités de contrôle doutent que leur consentement puisse jamais être véritablement « libre » dans ce contexte. Pour une documentation interne à faible enjeu — quelques photos dans la prochaine actualité d’équipe — l’intérêt légitime (art. 6(1)(f)) peut suffire, à condition d’avoir effectué et consigné la mise en balance des intérêts. Pour tout usage externe ou promotionnel — recrutement, marketing, réseaux sociaux — un consentement explicite par adhésion volontaire, avec un droit de refus sans conséquence, constitue la voie la plus défendable. En Allemagne, l’article 26 du BDSG régit directement les données des salariés, et le critère de « nécessité » qu’il prévoit convient mal aux photos marketing — une raison supplémentaire de privilégier un consentement documenté au-delà de l’intranet. Pour la version séminaire du même événement, des idées photo pour un offsite d’entreprise traite de ce qui mérite d’être capturé.
Étape 3 — Modérer avant toute mise à l’écran ou en newsletter
Une soirée d’entreprise est exactement l’événement où vous voulez voir les photos avant qu’elles ne soient publiques — quelqu’un peut uploader un cliché peu flatteur, délavé, ou qui ne convient pas sur une slide all-hands. La posture conforme est revue avant publication : les uploads arrivent dans une file privée, et un organisateur approuve ce qui entre dans l’album partagé, sur écran ou dans la shortlist de la communication interne. Le pré-filtrage IA peut signaler du contenu manifestement inapproprié, avec une validation humaine finale. Cela protège à la fois les personnes en photo et la marque — une maîtrise qui n’existe pas quand les images vont directement dans un groupe chat. (Gathmo intègre une modération IA visuelle et une file de validation humaine ; la modération IA est incluse à partir d’Essential ; le Free est non modéré, ce qu’il faut savoir si vous collectez des photos employées.)
Étape 4 — Conserver les photos des employés dans l’UE
Pour une entreprise de l’UE qui photographie son propre personnel, l’emplacement des données est une décision de conformité, pas une préférence de fonctionnalité — et les conserver dans l’UE évite la question du transfert vers pays tiers. Les transferts hors UE ne sont licites que sur la base d’une décision d’adéquation (Art. 45) ou de garanties appropriées telles que les clauses contractuelles types (Art. 46). Au milieu de 2026, la décision d’adéquation du EU-U.S. Data Privacy Framework (juillet 2023) reste en vigueur — le Tribunal de justice de l’UE a écarté le premier recours en septembre 2025, avec un appel en attente devant la CJUE — les transferts vers des organisations américaines certifiées DPF sont donc possibles, mais le cadre n’est pas sans risque, et les SCC ainsi qu’une évaluation d’impact de transfert restent la sauvegarde prudente. La réponse la plus propre est de ne pas exporter les données du tout. Le marché se sépare nettement, selon les informations publiques propres à chaque fournisseur, enregistrées le 2026-06-08:
- Explicitement basé aux États-Unis : GuestCam indique que les données sont hébergées sur un cloud US sans option UE ; Kululu stocke les contenus principaux sur Google Cloud (Firebase) aux États-Unis ; Fotify est exploité par une société du Delaware, aux États-Unis.
- Hébergé UE : EventPics (entreprise autrichienne, hébergement dans une région UE) et JoinMyMoment (sous-traitants UE/EEE en Allemagne, France et AWS Francfort) indiquent explicitement une résidence UE.
- Sans précision : certains outils ne disent pas où sont stockées les données — c’est un vrai signal d’alerte, car vous ne pouvez pas boucler votre analyse sans la juridiction.
(Gathmo est hébergé dans l’UE — stockage objet dans la juridiction UE, base de données principale à Francfort, calcul en UE — avec des accords de traitement des données en place avec ses sous-traitants. Pour être précis, plusieurs fournisseurs invoquent des serveurs européens ; le vrai différenciateur est la preuve vérifiable — un centre de données nommé et des DPA signées — pas seulement la revendication UE.)
Étape 5 — Définir une durée de conservation avant la fête, pas après une réclamation
Les photos des employés ne peuvent pas rester éternellement sur un disque. Deux principes de l’article 5 s’appliquent : minimisation des données (art. 5(1)(c)) — ne collecter que le nécessaire — et limitation de la conservation (art. 5(1)(e)) — conserver les données identifiables pas plus longtemps que nécessaire. Définissez donc la durée de conservation avant la collecte : une galerie qui se supprime automatiquement après une fenêtre définie applique la limitation de conservation pour vous, au lieu de dépendre de quelqu’un qui videra un dossier l’an prochain. Fixez-la assez longue pour que la communication interne puisse télécharger ce dont elle a besoin, puis laissez-la expirer. (Les niveaux par événement de Gathmo offrent des fenêtres explicites et finies — de 30 jours sur le niveau Free jusqu’à 1 an au niveau supérieur — au lieu d’un stockage ouvert, exactement le comportement demandé par l’art. 5(1)(e).)
Étape 6 — Soyez prêt à recevoir « veuillez supprimer mes photos »
À un moment donné, un collègue demandera que ses photos ne soient ni conservées ni publiées. C’est le droit à l’effacement (art. 17) — le « droit à l’oubli » — et ce n’est pas une faveur à laquelle on peut renoncer. Selon l’article 17(1), une personne peut exiger l’effacement sans retard injustifié lorsque l’un des motifs s’applique (par exemple les données ne sont plus nécessaires ou le consentement est retiré sans autre base). Et il y a un délai strict : l’article 12(3) impose une réponse dans le mois qui suit la demande, prolongeable de deux mois seulement pour les demandes réellement complexes, si la personne est informée de cette extension durant ce premier mois. Sur la fête elle-même plutôt que la paperasse, comment organiser une fête d’entreprise dont tout le monde se souvient couvre le reste.
Deux conséquences : vous devez savoir où se trouve chaque photo, dispersée entre téléphones, chats et disques, et une demande d’un mois devient une course manuelle ; une galerie unique gérée avec un parcours de suppression clair devient une seule action. Et le retrait du consentement doit être aussi facile que son octroi — si le consentement est votre base juridique, un collègue peut le retirer et vous devez ensuite effacer. Demandez à chaque outil : pouvez-vous supprimer le contenu d’une personne précise, sur demande, dans le délai légal, et le garantir par écrit ? (Avec Gathmo, la suppression conforme au RGPD sur demande fait partie du modèle : actionnée dans le délai légal sur chaque formule.)
Étape 7 — Mettre en place l’accord de traitement des données
C’est la partie que l’achat ne peut pas ignorer. Lorsqu’un outil externe traite des données personnelles pour votre compte et selon vos instructions, la relation est responsable du traitement – sous-traitant, et le RGPD exige un contrat écrit contraignant — un accord de traitement des données — selon l’article 28(3). Ce n’est pas une formalité : l’article 28(3) exige qu’il précise l’objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées, et qu’il impose au sous-traitant des obligations précises — traitement uniquement selon vos instructions documentées, confidentialité, mesures de sécurité de l’article 32, conditions de recours à des sous-traitants, assistance aux droits des personnes, suppression ou restitution des données en fin de prestation, et soumission aux audits.
En clair : votre organisation est le responsable, l’outil photo est le sous-traitant, et vous avez besoin d’un DPA conforme avant de collecter des photos d’employés. Un vendeur qui ne peut pas le fournir n’est pas un vendeur que peut utiliser un employeur de l’UE. Trois questions : pouvez-vous fournir un DPA conforme à l’article 28 du RGPD ? (si la réponse est « qu’est-ce que c’est ? », arrêtez). Allez-vous nommer vos sous-traitants et leurs lieux d’hébergement ? Allez-vous vous engager à supprimer ou restituer les données à la fin ? (Gathmo fournit un DPA — sur demande pour les tarifs par événement, et inclus sur les abonnements B2B Studio, Agency et Enterprise. Sur ce marché, une DPA dédiée et une liste de sous-traitants publiée restent l’exception.)
Une note pratique sur le QR code lui-même
La page de téléchargement derrière le code est l’endroit où se trouve votre notice au titre de l’article 13, donc un code qui ne se scanne pas ne perd pas seulement des photos — il fait passer les personnes à côté de votre mention de consentement. Quelques spécifications la rendent utilisable :
- Adaptez la taille à la distance de lecture (règle simple : taille du module ≈ distance de scan ÷ 10) : une carte de table lue à 30–50 cm au format assis nécessite environ 3–5 cm ; un panneau A-frame lu à 1–2,5 m, 10–25 cm ; une bannière de scène au travers de la salle, encore plus grand.
- Conservez la zone silencieuse (la marge blanche minimale de quatre modules sur les quatre côtés), utilisez un code sombre sur fond clair plutôt qu’un code inversé, et si vous superposez votre logo, choisissez le niveau de correction d’erreur le plus élevé (H, ~30 %) pour qu’il continue à être lisible.
- Testez l’impression et scannez une maquette en vraie taille, sous l’éclairage réel de la salle et sur le support réel, avant d’imprimer une série.
