La festa in ufficio è l’evento dell’anno in cui tutti hanno il telefono in mano. A fine serata il tuo team ha scattato centinaia di foto e clip — e quasi nulla arriva al resto dell’azienda. Si disperdono tra rullini privati, un gruppo WhatsApp da cui tre persone non possono esportare e una cartella condivisa “temporanea”. Poi Internal Comms chiede una manciata di scatti per la newsletter di Capodanno e inizia la caccia.
C’è un modo più rapido per raccogliere tutto in un unico posto — e, in un evento aziendale con dipendenti inquadrati, il modo rapido deve essere anche quello conforme. Nel momento in cui la tua organizzazione raccoglie, archivia o pubblica foto di dipendenti identificabili, si applica il Regolamento generale sulla protezione dei dati, e «era solo la festa di Natale» non è una posizione che il tuo responsabile della protezione dei dati approverà. Questa è una guida pratica, passo dopo passo, per fare tutto correttamente: raccogliere le foto del team senza un’app, acquisire il consenso al momento del caricamento, conservare le immagini dei dipendenti nell’UE, impostare una finestra di conservazione sensata e soddisfare una richiesta di cancellazione quando arriva. È scritta per il contesto UE/SEE, con note per la Germania; per un’analisi giuridica più approfondita, vedi la nostra guida complementare GDPR e foto dei dipendenti agli eventi: cosa deve sapere l’HR nel 2026.
Nessun consiglio legale. Questo spazio spiega le disposizioni GDPR rilevanti per una guida generale e cita direttamente la regolamentazione per permettervi di verificare ogni punto, ma non sostituisce il parere del vostro DPO o avvocato.
Perché i metodi tradizionali creano silenziosamente un problema
Le impostazioni predefinite sembrano innocue, ecco perché causano problemi. Una chat WhatsApp o Teams disperde le foto dei dipendenti in una chat che nessuno controlla, senza esportazione pulita e senza modo di cancellare immagini su richiesta — e le chat di gruppo vengono comunque ignorate (il 40% delle persone si sente sopraffatto; report News.com.au sull’ansia nei gruppi, 2024). Una cartella Drive condivisa non ha tracciabilità del consenso, nessun limite di retention e resta per sempre. Un mucchio di rullini personali significa che le foto non raggiungono affatto l’azienda: circa il 70% delle foto smartphone non viene mai rivisto (Popsa Memory Economy Report, 2026).
Nessuna di queste soluzioni risponde alle cinque domande che un evento aziendale deve porre: qual è la nostra base giuridica? Abbiamo informato? Dove sono i dati? Per quanto tempo li conserviamo? Quanto velocemente possiamo cancellarli su richiesta? Un collector costruito per questo può farlo — e sì, è pienamente coperto dal GDPR. L’eccezione dell’“uso personale” che a volte si cita (trattamento "da parte di una persona fisica nell’ambito di un’attività strettamente personale o domestica", Art. 2(2)(c)) può tutelare un dipendente che conserva i propri scatti; non tutela il datore di lavoro. Un evento organizzato dall’azienda per finalità aziendali è un trattamento professionale/commerciale, e i colleghi identificabili in quelle foto sono dati personali.
Passaggio 1 — Scegli un metodo di raccolta impostato per essere conforme per design
La scelta di come arrivano le foto stabilisce la difficoltà di tutti gli obblighi successivi. Un raccoglitore basato su QR e browser è il percorso a minore resistenza per un pubblico corporate: gli ospiti scansionano un codice e caricano dal telefono, senza app né account da creare. Non puoi chiedere a 200 colleghi di scaricare software e registrarsi prima di condividere una foto — e l’approccio senza installazione funziona perché smartphone e scansione QR sono ormai quasi universali (circa 97% di penetrazione smartphone in Germania nel 2024 secondo Statista; il 68% dei consumatori ha usato un QR code nell’anno scorso, secondo la sintesi QRKit della ricerca TEAM LEWIS sui consumatori, 2024).
Per un evento aziendale le domande decisive non sono filtri e sticker — sono queste, e il resto di questa guida le affronta una per una:
- Cattura il consenso e mostra un’informativa al momento dell’upload? (Passaggio 2)
- ¿Dónde están alojados los datos? (Paso 4)
- Puoi cancellare il contenuto di una persona su richiesta, rápido? (Passo 6)
- Prevede un accordo di trattamento dati? (Passaggio 7)
- Evita il riconoscimento facciale per impostazione predefinita? (qui sotto)
Una trappola da evitare subito: diverse app evento consumer puntano sul face recognition (“scansiona un selfie, trova tutte le tue foto”). È un trucco simpatico a un matrimonio; a una festa aziendale, un rischio. Una foto del volto non è automaticamente un dato speciale: il considerando 51 chiarisce che le immagini sono “dati biometrici” solo quando sono trattate con un mezzo tecnico specifico che permetta l’identificazione o autenticazione univoca di una persona naturale. Non appena uno strumento costruisce un template facciale per associare persone, tratta dati biometrici per identificare univocamente, cosa vietata dall’art. 9(1) senza eccezione specifica (di norma consenso esplicito separato). Una galleria semplice che non costruisce template facciali resta fuori dall’art. 9 di default. (Gathmo non offre riconoscimento facciale né ricerca per volti — è una voce della roadmap di Fase 2, non una feature live. Qui, l’assenza è l’impostazione più sicura.)
Passo 2 — Raccogliere il consenso e mostrare l’avviso al caricamento
La trasparenza non è soddisfatta da un cartello che nessuno legge. Quando raccogli dati personali direttamente dalle persone, l’articolo 13(1) richiede di indicare al momento della raccolta chi è il titolare e come contattarlo, le finalità e la base giuridica, e, in caso di legittimo interesse, l’interesse specifico perseguito.
La schermata di upload dietro al tuo codice QR è il punto naturale per farlo. Quando un collega scansiona e arriva lì, quella pagina può mostrare l’avviso e raccogliere il consenso nel contesto — registrato dove la foto viene condivisa, non nascosto in una policy che nessuno apre. Tieni l’avviso semplice: chi è il titolare e come contattarlo (più il DPO se presente); perché vengono raccolte le foto; la base giuridica (e, se legittimo interesse, qual è quel interesse); per quanto tempo vengono conservate le immagini; e quali diritti hanno le persone, compreso il diritto di opposizione e cancellazione.
Quanto alla base giuridica, il rapporto di lavoro complica le cose: poiché i dipendenti dipendono dal datore di lavoro, le autorità di controllo dubitano che il consenso in questo contesto possa mai essere davvero «liberamente prestato». Per la documentazione interna a basso rischio — alcune foto nel prossimo aggiornamento del team — il legittimo interesse (art. 6(1)(f)) può essere sufficiente, a condizione che abbiate effettuato e documentato il test di bilanciamento. Per qualsiasi utilizzo esterno o promozionale — selezione del personale, marketing, social — la strada più difendibile è un consenso esplicito e facoltativo, accompagnato dal diritto di rifiutare senza conseguenze. In Germania, il § 26 della BDSG disciplina direttamente i dati dei dipendenti e il criterio della «necessità» previsto dalla norma si adatta poco alle foto di marketing: un motivo in più per fare affidamento su un consenso documentato al di fuori dell’intranet. Per la versione offsite dello stesso evento, idee fotografiche per un offsite aziendale copre cosa vale la pena immortalare.
Fase 3 — Moderazione prima che qualcosa vada su schermo o nella newsletter
Un party aziendale è proprio l’evento in cui vuoi vedere le foto prima che siano pubbliche: qualcuno potrebbe caricare uno scatto poco lusinghiero, sbiadito, o qualcosa che un collega non vuole in una slide di all-hands. L’approccio corretto è review prima della pubblicazione: gli upload finiscono in una coda privata e un organizzatore approva ciò che entra nell’album condiviso, sullo schermo o nella short list di Internal Comms. Il pre-screening IA può segnalare contenuti chiaramente inappropriati, ma la decisione finale resta umana. Così si proteggono sia le persone in foto sia il brand aziendale — un controllo che non hai quando le immagini finiscono direttamente in una chat di gruppo. (Gathmo usa moderazione visiva AI più una coda di revisione umana; la moderazione AI è inclusa da Essential in su — il tier gratuito è non moderato, importante da sapere se raccogli foto di dipendenti.)
Passo 4 — Mantenere le foto dei dipendenti nell’UE
Per un’azienda UE che fotografa i propri dipendenti, dove risiedono i dati è una decisione di compliance, non una preferenza di funzionalità — e mantenerli nell’UE elimina completamente la questione del trasferimento verso paesi terzi. I trasferimenti fuori UE sono leciti solo su base di una decisione di adeguatezza (Art. 45) o adeguate tutele come le Clausole Contrattuali Standard (Art. 46). A metà 2026, la decisione di adeguatezza del EU-US Data Privacy Framework (luglio 2023) è ancora valida: il Tribunale dell’UE ha respinto la prima impugnativa nel settembre 2025, con un appello pendente al CGUE — quindi i trasferimenti verso organizzazioni statunitensi certificate DPF sono possibili, ma il quadro non è privo di rischio; SCC e valutazione di impatto sui trasferimenti restano la salvaguardia prudente. La soluzione più pulita è non esportare affatto i dati. Qui il mercato si divide nettamente in base alle informazioni pubblicamente disponibili di ciascun provider rilevate il 2026-06-08:
- Esplicitamente con sede USA: GuestCam dichiara che i dati sono ospitati su cloud degli Stati Uniti senza opzione UE; Kululu mantiene i contenuti principali su Google Cloud (Firebase) negli Stati Uniti; Fotify è gestito da una società del Delaware, USA.
- Con hosting UE: EventPics (azienda austriaca, hosting in regione UE) e JoinMyMoment (sub-processori UE/SEE in Germania, Francia y AWS Frankfurt) indicano esplicitamente la residenza UE.
- Non dichiarato: alcuni strumenti non dicono dove si trovano i dati — è un campanello d’allarme, perché non puoi completare l’analisi senza la giurisdizione.
(Gathmo è hosted in UE: storage oggetti in giurisdizione UE, database primario a Francoforte, calcolo in UE, con DPA in vigore con i suoi processori. Precisamente, diversi vendor dichiarano server europei; il vero differenziatore è una prova verificabile — un data center nominato e DPA firmate — non la semplice affermazione UE.)
Passo 5: imposta un periodo di conservazione prima della festa, non dopo un reclamo
Le foto dei dipendenti non possono rimanere su un drive per sempre. Due principi dell’art. 5 si applicano: minimizzazione dei dati (art. 5(1)(c)) — raccogliere solo ciò che è necessario — e limitazione della conservazione (art. 5(1)(e)) — mantenere i dati identificabili non più a lungo del necessario. Quindi decidi il periodo di retention prima della raccolta: una galleria che si auto-elimina dopo una finestra definita applica la limitazione, invece di affidarsi a qualcuno che svuota una cartella l’anno prossimo. Fissalo abbastanza lungo da permettere a Internal Comms di recuperare quanto serve e al team di scaricare le foto, poi lascialo scadere. (I piani per evento di Gathmo prevedono finestre di retention esplicite e finite — da 30 giorni su Free fino a 1 anno sul piano top — invece di storage illimitato, esattamente il comportamento richiesto dall’art. 5(1)(e).)
Passo 6 — Preparatevi a "per favore elimina le mie foto"
A un certo punto un collega chiederà che le proprie immagini non vengano conservate né pubblicate. Questo è il diritto alla cancellazione (art. 17), il “diritto all’oblio”, e non è una cortesia da cui si possa fare i capricci. Ai sensi dell’art. 17(1), una persona può richiedere la cancellazione senza indebito ritardo quando ricorre un presupposto (ad esempio dati non più necessari o consenso revocato senza altra base). C’è poi un termine rigoroso: l’art. 12(3) richiede risposta entro un mese dalla ricezione, prorogabile di due mesi solo per richieste davvero complesse, e solo se l’interessato viene informato dell’estensione entro il primo mese. Sulla festa in sé più che sulle scartoffie, come organizzare una festa aziendale che tutti ricordano copre il resto.
Due conseguenze: devi sapere dove si trova ogni foto — sparse tra telefoni, chat e drive; una richiesta di un mese diventa una ricerca manuale; una singola galleria gestita con un percorso di cancellazione chiaro la rende un’unica azione. E il ritiro del consenso deve essere semplice quanto il consenso stesso: se il consenso è la base giuridica, un collega può ritirarlo e voi dovete cancellare. Chiedi a qualsiasi strumento: puoi cancellare il contenuto di una persona specifica, su richiesta, entro i tempi previsti dalla legge e impegnarti per iscritto? (Con Gathmo, la cancellazione conforme al GDPR su richiesta fa parte del modello: eseguita entro i tempi di legge su ogni tier.)
Passo 7 — Mettere in ordine l’accordo di trattamento dei dati
Qui il procurement non può ignorarlo. Quando uno strumento esterno elabora dati personali per tuo conto e su tue istruzioni, il rapporto è da titolare a responsabile, e il GDPR richiede un contratto scritto vincolante — un Data Processing Agreement — ai sensi dell’art. 28(3). Non è un modulo standard: l’art. 28(3) richiede che definisca oggetto, durata, natura e finalità del trattamento, i tipi di dati e le categorie di interessati, e imponga al processor una serie di obblighi: trattare solo su tue istruzioni documentate, riservatezza, misure di sicurezza dell’art. 32, condizioni per sub-responsabili, assistenza per i diritti degli interessati, cancellazione o restituzione dei dati alla fine e sottoposizione ad audit.
In breve: la tua organizzazione è il titolare, lo strumento foto è il processore, e ti serve una DPA conforme prima che arrivino foto dei dipendenti. Un fornitore che non può produrla non è utilizzabile da un datore UE. Tre domande: puoi fornire una DPA ex art. 28 GDPR? (Se la risposta è "che cos’è?", fermati.) Indicherai sub-responsabili e dove sono ubicati? Ti impegni a cancellare o restituire i dati a fine utilizzo? (Gathmo fornisce una DPA — su richiesta per i piani per evento, e inclusa nelle sottoscrizioni B2B Studio, Agency ed Enterprise. In questo mercato, una DPA dedicata e un elenco pubblicato di sub-responsabili sono l’eccezione.)
Una nota pratica sul codice QR stesso
La pagina di upload dietro al codice ospita l’avviso dell’art. 13: se il codice non viene letto, non perdi solo foto, ma fai scorrere via gli utenti senza passare per l’informativa sul consenso. Alcune specifiche lo mantengono davvero fruibile:
- Adatta le dimensioni alla distanza di lettura (regola approssimativa: dimensione modulo ≈ distanza di scansione ÷ 10): una card da tavolo letta da seduti a 30–50 cm richiede circa 3–5 cm; un poster A-frame da 1–2,5 m, 10–25 cm; un banner sul palco dall’altra parte della sala, ancora più grande.
- Mantieni la zona silenziosa (il margine vuoto minimo di almeno quattro moduli su tutti e quattro i lati), usa un codice scuro su sfondo chiaro invece di invertito e se sovrapponi il tuo logo usa il livello di correzione errori più alto (H, ~30%) così rimane leggibile.
- Testa la stampa e scansiona un proof in grandezza reale, sotto l’illuminazione reale della stanza e sul materiale reale, prima di stampare un intero stock.
