Checklist GDPR per fotografia di eventi aziendali: guida per event planner

Hai tre settimane prima di una conferenza di 400 persone. Il programma è definito, i badge sono in stampa e qualcuno di legal te lo chiede: lo strumento foto scelto è “conforme GDPR”? Non serve una laurea in giurisprudenza: serve una checklist che puoi seguire, spuntare e restituire con sicurezza.

Questa è la checklist. È pensata per planner eventi, HR e procurement manager che gestiscono eventi corporate in UE/SEE, dove fotografare e filmare partecipanti identificabili è trattamento di dati personali dal primo scatto. Analizza le sezioni qui sotto prima dell’evento, così affronterai gli obblighi che contano davvero in una review di procurement — base giuridica, informativa, retention, cancellazione, trasferimenti internazionali e DPA — con la norma citata così che legale possa verificare ogni riga.

Ci sono sei sezioni ordinate secondo lo sviluppo di un evento. Ognuna è un elenco breve di verifiche sì/no: spunta tutto e avrai coperto ciò che verificano i team di procurement UE; lasciare anche una casella vuota è esattamente il punto su cui il tuo DPO solleverà obiezioni. Prima di iniziare: le verifiche presuppongono gallerie fotografiche e video tradizionali (archiviazione e visualizzazione delle immagini), non il riconoscimento facciale. Se il tuo strumento usa il face-matching per raggruppare o identificare i partecipanti, entri in un regime molto più rigoroso; vedi il controllo dedicato nella sezione 1.

Sezione 1 — Prima di scegliere uno strumento: i controlli sul vendor

Qui l’evento aziendale si distingue maggiormente da un matrimonio o un compleanno. La piattaforma scelta non è solo una decisione sulle funzionalità: è una decisione sul trattamento dei dati che il tuo ufficio legale verificherà. Esegui questi controlli con ogni fornitore in rosa.

☐ Il fornitore fornisce un accordo di nomina a responsabile del trattamento ai sensi dell’Art. 28 GDPR (DPA)? Quando uno strumento esterno elabora dati personali per tuo conto e su tue istruzioni, la relazione è da titolare a responsabile, e l’Art. 28(3) GDPR richiede un contratto vincolante scritto. Deve definire oggetto, durata, natura e finalità del trattamento, tipi di dati e categorie di interessati, e i tuoi diritti come titolare, oltre ad imporre al processore obblighi precisi (trattare solo secondo tue istruzioni documentate, riservatezza, sicurezza, condizioni per sub-responsabili, assistenza per diritti degli interessati, cancellazione o restituzione dei dati a fine servizio, e disponibilità ad audit). Se un fornitore non può fornire un DPA, un’azienda UE non può utilizzarlo. (GDPR Art. 28(3).)

☐ Il fornitore indica i suoi sub-processori e dove sono localizzati? Le condizioni DPA per il coinvolgimento dei sub-processor fanno parte dell’articolo 28. Non puoi completare un’analisi dei trasferimenti o una valutazione del rischio del fornitore senza sapere chi tocca i dati e da quale Paese proviene.

☐ Il fornitore si impegna, per iscritto e contrattualmente, a cancellare o restituire i dati al termine dell’incarico? Questa è un’obbligazione prevista dall’art. 28(3) per i processor. Inseriscilo nel contratto, non in un’email commerciale.

☐ Dove sono ospitati i dati, e il fornitore lo dichiara chiaramente? Un fornitore che non sa indicare la giurisdizione di hosting rende impossibile la tua analisi dei trasferimenti. Tratta “non lo divulghiamo” come un esito negativo. (La sezione 5 descrive cosa fare con la risposta.)

☐ Lo strumento usa il riconoscimento facciale — y vuoi davvero assumerti quella responsabilità? È il controllo più facile da ignorare, perché la ricerca facciale è venduta come funzionalità comoda. Una foto del viso non è automaticamente un dato di categoria speciale; il Considerando 51 conferma che le immagini rientrano nella definizione di dati biometrici "solo quando trattate tramite un mezzo tecnico specifico che consenta l’identificazione o l’autenticazione univoca di una persona fisica".

Ma nel momento in cui uno strumento crea un template facciale per raggruppare i partecipanti o permettere alle persone di "trovare tutte le mie foto" tramite selfie, sta trattando dati biometrici per identificare in modo univoco una persona, cosa che l’art. 9(1) vieta salvo una specifica eccezione (in genere consenso esplicito e separato). È una soglia di consenso materialmente più alta rispetto alle foto ordinarie.

Diversi competitor in questo mercato puntano sulla ricerca con face recognition; in un evento aziendale con dipendenti, questa funzione trasforma la raccolta in un trattamento rientrante nell’art. 9 con obbligo di consenso esplicito documentato che non hai richiesto. (GDPR art. 9(1); considerando 51.)

Sezione 2 — Definisci la tua base giuridica

Tu sei il responsabile: la tua organizzazione decide perché e come vengono trattate le foto. Ogni trattamento richiede una base giuridica ai sensi dell’art. 6. Per le foto evento ordinarie sono realistiche due opzioni; la scelta corretta distingue una posizione difendibile da una basata sull’azzardo.

☐ Hai identificato la base giuridica dell’art. 6 e sei certo che sia corretta per l’uso? L’interesse legittimo (art. 6(1)(f)) è applicabile quando il trattamento è necessario per i tuoi interessi o quelli di terzi e non è prevalso dai diritti dell’interessato, con tutele rafforzate se coinvolto un minore. Il consenso (art. 6(1)(a)) deve essere specifico, informato e volontario; è la base più sicura e quella necessaria quando il bilanciamento non regge o i dati sono di categorie speciali. (GDPR art. 6(1)(a) e 6(1)(f)).

☐ Se fai affidamento sull'interesse legittimo, hai effettuato e registrato il test di bilanciamento? «Abbiamo ritenuto che andasse bene» non è un test di bilanciamento documentato. Per una documentazione interna a basso rischio — qualche scatto nel prossimo aggiornamento di team — l'interesse legittimo può bastare, ma solo se lo hai effettivamente ponderato e registrato.

☐ Per le foto dei dipendenti in particolare, hai considerato il rapporto di lavoro? Poiché i dipendenti dipendono dal datore, i regolatori sono scettici sul fatto che il consenso in quel contesto sia davvero “liberamente prestato”. In Germania, il BDSG §26 disciplina direttamente i dati dei dipendenti: consente il trattamento quando necessario per il rapporto di lavoro e riconosce che il consenso nel contesto lavorativo può essere valido, ma deve essere valutato in termini di volontà e in genere per iscritto. La necessità ex §26 di solito non è adatta a foto marketing o recruiting, quindi per usi esterni la via solida è consenso libero, documentato e con diritto di rifiuto senza conseguenze. (Nota: il §26(1) è stato ritenuto in parte contrario al diritto UE, quindi il trattamento può anche basarsi direttamente sull’Art. 6 GDPR — ulteriore motivo per fondare le foto promozionali su un consenso chiaro ed esplicito.) (BDSG §26(1).)

Una regola pratica da controllare:

• Documentazione interna e a basso rischio → l’interesse legittimo può essere sufficiente (con un test di bilanciamento documentato).

• Utile all’esterno, marketing o recruiting → consenso esplicito e opt-in, rifiuto senza svantaggio.

Sezione 3 — Preparare l’informativa (trasparenza)

La trasparenza non è facoltativa e un cartello che nessuno legge non basta. Quando raccogli dati personali direttamente dalla persona interessata, l’articolo 13(1) richiede di fornire, al momento della raccolta, un insieme definito di informazioni, tra cui identità e recapiti del titolare, le finalità e la base giuridica del trattamento e, se fai affidamento sull’interesse legittimo, gli interessi specifici perseguiti. (GDPR Art. 13(1).)

Seleziona ciascun elemento nella tua checklist:

☐ Chi è il titolare (la tua organizzazione), come contattarlo e il DPO se presente. ☐ Perché raccolgi le foto (newsletter interna, galleria intranet, pagina di recruiting). ☐ La base giuridica — e se interesse legittimo, quale interesse concreto. ☐ Per quanto tempo le immagini sono conservate. ☐ Quali diritti hanno i partecipanti, incluso obiezione e richiesta di cancellazione.

☐ L’avviso compare al momento della cattura o del caricamento, anziché nascosto altrove? Per un flusso basato su QR, la pagina di atterraggio dell’upload è il punto naturale. Quando la scansione porta un partecipante su una schermata di upload, le informazioni possono stare lì, e il consenso (laddove sia la base giuridica) viene raccolto nel contesto invece di essere dato per scontato. Uno strumento che raccoglie il consenso in upload rende questo controllo semplice da spuntare.

Sezione 4 — Imposta la retention prima dell’evento

La conservazione a tempo indeterminato è un rilievo in attesa di emergere. Due principi dell’articolo 5 disciplinano per quanto tempo possono essere conservate le foto:

• Minimizzazione dei dati (art. 5, par. 1, c)): i dati personali devono essere adeguati, pertinenti e limitati a ciò che è necessario per la finalità.

• Limitazione della conservazione (art. 5(1)(e)): i dati devono essere mantenuti in forma identificabile per non più tempo del necessario rispetto allo scopo. (RGPD art. 5(1)(c) e 5(1)(e).)

☐ Hai definito la retention prima dell’evento, e non dopo una segnalazione? Un album che elimina automaticamente dopo una finestra fissa applica la limitazione di conservazione per te, invece di dover contare sulla memoria di qualcuno per svuotare una cartella condivisa. Ecco perché uno strumento specifico con retention automatica e definita batte un semplice folder improvvisato. In riferimento, i tier per evento di Gathmo hanno finestre di retention esplicite e finite — da 30 giorni su Free a 365 giorni nel tier più alto — invece di archiviazione illimitata. Qualunque sia la tua scelta, il punto di verifica resta lo stesso: una data di fine definita per i dati.

☐ Stai raccogliendo solo ciò di cui hai bisogno? La minimizzazione è già un controllo in sé. Se lo strumento acquisisce metadata o media per i quali non hai scopo, questa casella non puoi segnarla onestamente.

Sezione 5 — Gestire i trasferimenti internazionali e la residenza dei dati

Se i partecipanti sono distribuiti in più Stati membri UE, mantieni la stessa checklist GDPR. La domanda più difficile resta la destinazione dei dati, ed è lì che la scelta dello strumento diventa una decisione di conformità.

☐ Sai se qualche dato lascia l’UE e se esiste un meccanismo legale di trasferimento in tal caso? I trasferimenti fuori UE sono leciti solo con decisione di adeguatezza (Art. 45) o garanzie appropriate come le Clausole Contrattuali Standard (Art. 46), con diritti e rimedi esigibili. A metà 2026 la decisione di adeguatezza DPF UE-USA (adottata a luglio 2023) è ancora in vigore: il CGUE ha respinto la prima impugnativa nel settembre 2025 e un appello è pendente davanti alla CGUE senza data d’udienza. I trasferimenti verso organizzazioni USA certificate DPF sono quindi possibili, ma il framework non è privo di rischio; SCC più valutazione d’impatto sul trasferimento restano la scelta prudente. (GDPR Art. 45, Art. 46(2)(c); CGUE C-311/18 Schrems II; decisione Commissione DPF 2023.)

☐ La scorciatoia corretta: la piattaforma mantiene i dati in UE? Il modo più semplice per evitare il tema del trasferimento è tenerli in UE sin dall’inizio. Guardando le informazioni pubbliche disponibili al 8/6/2026:

• Diverse soluzioni popolari sono esplicitamente statunitensi — GuestCam dichiara che i dati sono ospitati su cloud statunitense senza opzione UE/Europa; Kululu conserva i contenuti principali su server Google Cloud (Firebase) negli Stati Uniti; Fotify è gestita da una società del Delaware, USA.
• Un provider più piccolo è hosted in UE: EventPics (gestito da un’azienda austriaca, hosting in una regione UE) e JoinMyMoment (sub-processori UE/SEE in Germania, Francia e AWS Francoforte) indicano esplicitamente la residenza UE.
• Alcuni strumenti non indicano chiaramente dove risiedono i dati: questo da solo è un red flag procurement, perché non puoi completare un’analisi di trasferimento con un dato mancante.

Gathmo è costruito proprio per questo check: data residency in UE, con storage oggetti in giurisdizione UE, database principale a Francoforte, compute in UE e DPA con i suoi processori. La residenza è supportata da prove — un data center nominato e DPA con processori firmati —, non da un badge di marketing. Sii preciso comunque: diversi vendor dichiarano server europei; il team procurement dovrebbe verificare con prove concrete e DPA firmata, non solo con la semplice affermazione UE.

Sezione 6 — Preparati per una richiesta di cancellazione

Questo è il diritto all’oblio, e non è una cortesia che puoi negare. Ai sensi dell’art. 17(1), l’interessato può chiederti di cancellare i propri dati personali senza ritardi indebiti quando sussiste un motivo (ad esempio i dati non sono più necessari o il consenso viene revocato senza altra base giuridica). Esiste poi un termine rigido: l’art. 12(3) richiede risposta senza ritardo ingiustificato e comunque entro un mese dal ricevimento, estendibile di altri due mesi per richieste davvero complesse o numerose, ma solo se comunichi all’interessato l’estensione e le ragioni entro il primo mese. (Art. 17(1); Art. 12(3) GDPR.)

☐ Sai dove finisce ogni singola foto, così da poter agire su una cancellazione in un solo punto? Se i contenuti dell’evento sono sparsi tra telefoni, chat di gruppo e cloud condivise, una richiesta di cancellazione entro un mese diventa una corsa manuale. Una galleria unificata con un percorso di cancellazione chiaro la trasforma in un’unica azione — ed è questa la vera ragione operativa di adottare una soluzione unica.

☐ Se la base giuridica è il consenso, revocarlo è semplice quanto darlo? Un partecipante può revocare il consenso e in tal caso dovete cancellare (salvo altra base giuridica). Il percorso di revoca deve essere reale, non solo teorico.

☐ Il fornitore si è impegnato ad effettuare la cancellazione su richiesta entro i tempi previsti dalla legge? Fai la domanda direttamente e mettila per iscritto: può cancellare i contenuti di una persona specifica, su richiesta, entro la finestra legale — e si impegnerà formalmente? Con Gathmo, la cancellazione su richiesta conforme al GDPR fa parte del modello. In questo mercato una DPA dedicata e una lista pubblica di sub-responsabili sono l’eccezione, non la regola: quindi ottenere il percorso di cancellazione per iscritto prima della firma è essenziale.

Un dettaglio pratico: il codice QR sul badge

Se raccogli tramite un codice scansionabile su lanyard, card da tavolo o segnaletica palco, la pagina di upload a cui punta deve anche ospitare l’avviso ex art. 13 — un codice che non scansiona non perde solo foto, ma allontana i partecipanti dall’avviso di consenso. Alcune specifiche mantengono usabilità: su lanyard o badge minimo 2 × 2 cm (2,5 × 2,5 cm più confortevole a distanza braccio); su banner palco da lontano molto più grande. Mantieni la quiet zone, usa codice scuro su sfondo chiaro e testa una prova in formato reale prima di stampare in massa.

La checklist in una pagina

Stampalo e portalo dal tuo DPO

1. Fornitore — DPA (Art. 28) fornito · sub-processor nominati · cancellazione/restituzione impegnata · hosting indicato · riconoscimento facciale compreso e scelto deliberatamente.

1. Base giuridica — base dell’art. 6 identificata · test di bilanciamento documentato (se interesse legittimo) · foto dipendenti basate su consenso documentato quando l’uso è verso l’esterno (Art. 6, BDSG § 26).

1. Trasparenza: avviso dell’Articolo 13 preparato, completo e mostrato al momento del caricamento.

1. Cancellazione: periodo di conservazione finito definito in anticipo · raccogliere solo ciò che serve (Art. 5).

1. Trasferimenti: sai se i dati lasciano l’UE e con quale meccanismo legale, oppure restano nell’UE (art. 45-46).

1. Cancellazione — tutti i media in un unico posto · consenso revocabile · il fornitore si impegna a cancellare entro un mese (Art. 17, Art. 12(3)).