GDPR e foto degli eventi aziendali: ciò che HR deve sapere nel 2026

La tua azienda ha appena svolto il retreat estivo. Trecento foto sono sparse tra telefoni personali, un gruppo WhatsApp da cui nessuno può esportare correttamente e una cartella condivisa che qualcuno ha impostato “temporaneamente” nel 2023. La Comunicazione interna vuole dodici foto valide per la newsletter. E un dipendente ha appena scritto chiedendo che non vengano pubblicate foto con la sua immagine da nessuna parte.

L’ultima di queste email dovrebbe far riflettere l’HR. Perché nel momento in cui la vostra organizzazione raccoglie, conserva o pubblica foto di dipendenti identificabili, si applica il GDPR — e «era solo la festa di fine anno» non è una difesa accettabile per un DPO.

Questa guida accompagna HR manager e organizzatori interni eventi nelle obbligazioni RGPD legate alle foto degli eventi aziendali: quale sia davvero la base legale, quando serve il consenso e quando no, per quanto tempo si possono conservare le immagini e cosa richiedere a qualsiasi strumento di raccolta foto prima che tratti il volto di un dipendente. È redatta per il contesto UE/SEE, con note specifiche per la Germania.

La RGPD si applica anche alle foto degli eventi dei dipendenti?

Sì — e l’esenzione di “uso personale” che gira in ufficio non ti salva.

Il GDPR esclude dal campo i trattamenti eseguiti “da una persona fisica nell’ambito di attività puramente personale o domestica” senza collegamento con attività professionali o commerciali (Art. 2(2)(c)). Un ospite che conserva privatamente i propri scatti di festa può ricadere in questa eccezione. Non vi rientra il datore di lavoro. Un evento organizzato dall’azienda e fotografato per scopi aziendali — newsletter, intranet, pagina recruiting, prossimo deck all-hands — è per definizione un trattamento professionale e commerciale. L’eccezione protegge l’individuo; non protegge l’organizzazione in qualità di titolare né alcuna piattaforma che agisca come processore per suo conto.

C'è un altro limite importante. La Corte di giustizia dell’UE, nel caso Ryneš (C-212/13), ha interpretato in modo stretto l’eccezione domestica: il trattamento “diretto all’esterno dallo spazio privato della persona” — in quel caso la sorveglianza video in uno spazio pubblico — non può essere considerato puramente personale. Applicato agli eventi, pubblicare foto di altre persone oltre un cerchio privato chiuso (per esempio su internet aperto) probabilmente esce dall’esenzione e pone il pubblicatore chiaramente nel perimetro del GDPR.

Il consiglio pratico per l’HR è semplice: considera che il GDPR si applichi a ogni dipendente identificabile in ogni foto raccolta dalla tua azienda, dal momento in cui la raccogli.

Qual è la tua base giuridica: consenso o legittimo interesse?

Ogni trattamento di dati personali richiede una base giuridica ai sensi dell’articolo 6. Per le foto di eventi standard, le due opzioni realistiche sono: interesse legittimo (Art. 6(1)(f)) e consenso (Art. 6(1)(a)).

L'interesse legittimo è disponibile quando il trattamento è necessario per gli interessi del titolare o di terzi e tali interessi non siano prevalenti rispetto ai diritti e alle libertà dell'interessato: va effettuato e documentato un bilanciamento reale, con tutela rafforzata quando coinvolto un minore. Per la documentazione evento a basso rischio con finalità interne, molte organizzazioni possono farvi affidamento.

Il consenso deve essere specifico, informato e liberamente prestato. È la base giuridica più sicura e diventa obbligatorio quando non c’è equilibrio nell’interesse legittimo o quando sono coinvolti dati di categorie speciali.

Il problema che riguarda specificamente l’HR è il rapporto di lavoro. Poiché i dipendenti dipendono dal datore, i regolatori sono scettici sul fatto che il consenso in quel contesto sia davvero “libero”. Il BDSG tedesco disciplina i dati dei dipendenti in BDSG §26, permettendo trattamenti necessari alla relazione lavorativa e riconoscendo che il consenso può essere valido, ma deve essere valutato per la sua volontarietà data la dipendenza — e in genere dovrebbe essere scritto.

La lettura onesta per la fotografia evento in ambito corporate è questa: la base di necessità ai sensi dell’art. 26 di solito non è adatta a foto marketing o newsletter (una foto patinata per recruiting non è "necessaria" per eseguire il contratto di lavoro). Per qualsiasi contenuto esterno o promozionale, la strada difendibile è il consenso libero, documentato e con un chiaro diritto a rifiutare senza svantaggio per il dipendente. Nota anche che, alla luce della giurisprudenza UE e tedesca, l’art. 26(1) è stato considerato in parte contrario al diritto UE, e il trattamento può basarsi anche direttamente sull’art. 6 GDPR — un altro motivo per fondare le tue foto su un consenso esplicito e pulito invece che su una forzata argomentazione di necessità.

Una regola pratica per HR:

• Documentazione interna a basso rischio (qualche scatto nel prossimo update team): l’interesse legittimo può bastare, se hai effettuato e documentato il test di bilanciamento.

• Tutto ciò che viene pubblicato all’esterno o usato in marketing/recruiting richiede consenso esplicito e attivo, e il rifiuto deve essere senza conseguenze.

Serve un consenso separato e esplicito per il riconoscimento facciale?

Questa è la domanda che separa una galleria foto normale da una trappola legale — e dove molte app eventi consumer creano rischio in sordina.

Una fotografia di un volto non è automaticamente un dato di categoria speciale. Il considerando 51 del GDPR è esplicito: le fotografie sono considerate dati biometrici «solo quando trattate tramite un mezzo tecnico specifico che consenta l’identificazione o autenticazione univoca di una persona fisica». Il semplice stoccaggio e visualizzazione di fotografie non fa scattare l’art. 9.

Ma quando un tool inizia a eseguire feature extraction di riconoscimento facciale — creando un template del volto per raggruppare o identificare ospiti, oppure per permettere a qualcuno di “trovare tutte le mie foto” tramite selfie — sta elaborando dati biometrici per identificare una persona in modo univoco, attività vietata dall’Art. 9(1), salvo specifica eccezione (in genere consenso esplicito separato). È una soglia molto più alta rispetto al consenso raccolto per le foto ordinarie.

Questo conta quando si sceglie un fornitore. Diversi competitor fanno della ricerca facciale una feature in evidenza. Questa funzionalità è davvero utile in un matrimonio; in un evento aziendale con dipendenti trasforma però la tua raccolta in un trattamento ex articolo 9 e ti obbliga a ottenere un consenso biometrico esplicito e a documentare una base giuridica dell’articolo 9. Per un team HR che vuole solo avere tutte le foto dell’offsite in un unico posto, è un rischio non richiesto.

Punto tecnico importante: Gathmo non offre riconoscimento facciale o face-search al lancio (è previsto in fase 2 sulla roadmap, non è una feature attiva). Per l’HR è un vantaggio: gallerie fotografiche normali senza template facciali restano, per impostazione predefinita, fuori dall’articolo 9. Se un giorno vuoi la face-search, trattala come scelta consapevole con consenso separato, non come opzione attivata in modo nascosto.

Cosa devi comunicare ai dipendenti quando raccogli foto?

La trasparenza non è opzionale e non è soddisfatta da un cartello che nessuno legge. Se raccogli dati personali direttamente dall’interessato, l’art. 13(1) GDPR richiede di fornire al momento della raccolta un set definito di informazioni: identità e recapiti del titolare, finalità e base giuridica del trattamento, e, se ti basi su interesse legittimo, gli interessi specifici perseguiti.

Per un evento, ciò significa una nota informativa chiara e facilmente accessibile al punto di raccolta o upload: chi controlla le foto, perché, su quale base legale, per quanto tempo verranno conservate e quali diritti ha l’interessato. Un codice QR che porta alla pagina di upload è il luogo naturale per mostrarla: la pagina di atterraggio/upload può contenere l’avviso così che il consenso (dove vi si basi) sia raccolto nel contesto.

Una breve checklist in linguaggio semplice per la vostra informativa:

• Chi è il titolare (la tua organizzazione) e come contattarlo, oltre al DPO se ne hai uno.

• Perché raccogli le foto (ad esempio newsletter interna, galleria intranet).

• La base giuridica — e, se si tratta di interesse legittimo, quale sia questo interesse.

• Per quanto tempo vengono conservate le immagini.

• Quali diritti hanno i dipendenti, compreso come opporsi e richiedere la cancellazione.

Per quanto tempo puoi conservare le foto?

Non in modo indefinito. Due principi dell’articolo 5 lo regolano:

• Minimizzazione dei dati (art. 5(1)(c)): i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario per la finalità. Raccogli i media e i metadati che ti servono, non tutto ciò che tecnicamente puoi fare.

• Limite di conservazione (Art. 5(1)(e)): i dati devono essere mantenuti in forma identificabile solo per il tempo necessario alle finalità del trattamento.

Nella pratica, questo significa definire un periodo di conservazione prima dell’evento, non dopo un reclamo. Una gallery aziendale che viene eliminata automaticamente dopo una finestra impostata, invece di restare per sempre su una unità condivisa, rappresenta un approccio più pulito. È uno di quei casi in cui uno strumento dedicato con retention automatica e ben definita batte una cartella improvvisata: il sistema applica la limitazione di archiviazione per te, invece di affidarsi al ricordo di qualcuno per pulirla.

Per riferimento, i piani per-evento di Gathmo hanno finestre di conservazione esplicite e finite — 30 giorni nel livello Free fino a 1 anno nel livello top — invece di uno storage illimitato, in linea con quanto richiede l’art. 5(1)(e). Qualunque sia la soluzione usata, il principio è lo stesso: una data di fine chiaramente definita dei dati.

Cosa succede se un dipendente ti chiede di cancellare le sue foto?

Questo è il diritto alla cancellazione, il “diritto all’oblio”, e non è una cortesia che si possa rifiutare.

Ai sensi dell’art. 17(1), l’interessato può chiedere al titolare la cancellazione dei suoi dati personali senza indebiti ritardi quando ricorre un motivo (ad esempio i dati non sono più necessari per la finalità, oppure il consenso viene revocato e non c’è altra base legale). C’è poi una scadenza ferma: l’art. 12(3) richiede di rispondere senza indebito ritardo e comunque entro un mese dalla ricezione. Quel termine può essere esteso di altri due mesi se la richiesta è realmente complessa o numerosa, ma solo se l’interessato viene informato della proroga e del motivo entro il primo mese.

Per le Risorse Umane derivano due conseguenze operative:

1. Devi sapere dove vive ogni singola foto. Se i media dell'evento sono sparsi tra telefoni, chat e drive, gestire una richiesta di cancellazione dopo un mese diventa una corsa manuale. Una singola galleria gestita con un percorso chiaro di cancellazione lo rende un'azione unica.

1. La revoca del consenso deve essere tanto semplice quanto la sua concessione. Se la base giuridica è il consenso, un dipendente può ritirarlo e devi quindi cancellare i dati (salvo che sussista un’altra base legale).

Quando valuti un fornitore, poni la domanda diretta: potete cancellare il contenuto di una persona specifica su richiesta entro i termini legali — e impegnarvi formalmente a farlo? Per Gathmo, la cancellazione conforme al GDPR su richiesta fa parte del modello ed è eseguita entro il termine legale su tutti i piani. Per il procurement conta ottenere il percorso di cancellazione in forma scritta, non scoprirlo durante una richiesta reale.

E per gli eventi internazionali e gli strumenti basati negli Stati Uniti?

Se i tuoi partecipanti sono distribuiti in più Paesi UE, il GDPR continua ad applicarsi: non esistono confini interni nell’UE che cambino la disciplina. La vera domanda è dove vanno i dati, e lì la scelta della piattaforma diventa una decisione di conformità, non solo una scelta di funzionalità. Perché la residenza dei dati nell’UE conta negli acquisti B2B spiega come incide in un processo di acquisto.

I trasferimenti di dati personali fuori dall’UE sono leciti solo con una decisione di adeguatezza (Art.45) o garanzie appropriate come le Clausole Contrattuali Standard (Art.46), con diritti e rimedi esecutivi. A metà 2026, la decisione di adeguatezza del EU-US Data Privacy Framework (adottata nel luglio 2023) è ancora in vigore — il primo ricorso è stato rigettato dal Tribunale dell’UE nel settembre 2025, e un appello è pendente dinanzi alla CGUE senza data di udienza annunciata. Quindi i trasferimenti verso organizzazioni USA certificate DPF sono possibili, ma il framework non è esente da rischio; SCC e TIA restano la soluzione prudente.

Il modo più semplice per evitare la questione del trasferimento è mantenere i dati nell’UE fin dall’inizio. Qui il mercato si divide nettamente. In base alle informazioni pubbliche disponibili a giugno 2026:

• Diversi strumenti popolari sono esplicitamente basati negli USA — ad esempio, GuestCam dichiara che i dati sono ospitati su cloud basato negli Stati Uniti senza opzione UE/Europa, e Kululu conserva i contenuti principali su server Google Cloud (Firebase) negli Stati Uniti. Fotify è operata da una società del Delaware, USA.
• Un gruppo più piccolo è ospitato in UE: EventPics (gestito da una società austriaca, hosting in una regione UE) e JoinMyMoment (sub-fornitori UE/SEE in Germania, Francia e AWS Francoforte) sono esempi che citano esplicitamente la residenza UE.
• Alcuni strumenti non indicano chiaramente dove risiedono i dati, e questo è già un campanello d’allarme per un team procurement: se un fornitore non riesce a dirti la giurisdizione di hosting, non puoi completare l’analisi dei trasferimenti.

La posizione di Gathmo nasce proprio per questa preoccupazione: residenza dei dati in UE, object storage nella giurisdizione UE, database primario a Francoforte, calcolo in UE e DPA con i suoi processor. Per un team HR o procurement la domanda base è «questo mantiene i dati dei dipendenti in Europa?»; la risposta può essere data con certezza a legale — e la residenza è supportata da prove (data center nominato, DPA con processor) invece di un semplice claim di marketing. Vale la pena essere precisi: diversi fornitori dichiarano server europei, quindi il vero differenziale è la prova verificabile e una DPA firmata, non la sola affermazione EU.

Tu sei il titolare: dov’è il DPA del tuo processore?

Questa è la parte che la procurement non può ignorare. Quando uno strumento esterno tratta dati personali per tuo conto e secondo le tue istruzioni, la relazione è da titolare a responsabile del trattamento, e il GDPR richiede che sia regolata da un contratto scritto vincolante — un Data Processing Agreement — ai sensi dell\u2019articolo 28(3).

Quel contratto non è una clausola predefinita che si può ignorare. L’art. 28(3) richiede che indichi oggetto, durata, natura e finalità del trattamento, i tipi e le categorie di dati e i diritti e obblighi del titolare, e imponga al responsabile del trattamento un insieme specifico di obblighi: trattare solo secondo tue istruzioni documentate, riservatezza, misure di sicurezza dell’art. 32, condizioni per sub-responsabili, assistenza per i diritti degli interessati, cancellazione o restituzione dei dati al termine del servizio e sottoposizione ad audit.

In breve: la tua organizzazione è il titolare; lo strumento foto è il responsabile del trattamento; e hai bisogno di un DPA conforme al GDPR prima che vi finiscano foto dei dipendenti. Un fornitore che non riesca a fornire uno non è un fornitore utilizzabile da un’azienda UE. Cosa controllare in un accordo sul trattamento dei dati per l’event tech passa in rassegna le clausole che contano davvero.

Nella valutazione, questa è la domanda dal valore più alto:

• Puoi fornire una DPA ai sensi dell’Articolo 28 GDPR? (Se la risposta è "cos'è?", fermati.)
• Indicherete i vostri sub-responsabili e dove si trovano?
• Vi impegnate a cancellare o restituire i nostri dati alla fine dell’incarico?

Gathmo fornisce una DPA — disponibile su richiesta per i piani per evento, e inclusa negli abbonamenti B2B Studio, Agency ed Enterprise. Il punto importante da segnare al reparto legale: in questo mercato, una DPA dedicata e scaricabile e una lista pubblicata di sub-responsabili del trattamento sono l’eccezione, non la regola — molti strumenti consumer-oriented non la offrono. Una checklist GDPR per la fotografia di eventi aziendali trasforma tutto questo in qualcosa che un organizzatore può seguire.

Una breve nota sul codice QR

Se raccogli foto con un codice scansionabile su lanyard, cartine da tavolo o segnaletica palco, alcune specifiche pratiche ne mantengono l’usabilità — e la pagina di upload è anche il posto giusto per inserire l’informativa ex Art. 13. Per lanyard e badge, mantieni il codice almeno 2 × 2 cm (2,5 × 2,5 cm è più comodo a braccio teso); su un banner da palco visto da lontano, ingrandiscilo molto di più. Mantieni la quiet-zone richiesta, usa codice scuro su sfondo chiaro e fai sempre un test di stampa e scansione in formato reale prima di stampare centinaia di pezzi. Un codice che non scansiona non perde solo foto: manda ospiti frustrati altrove invece che all’avviso di consenso.