GDPR e foto dell’evento: quello che ogni ospite/produttore deve sapere nel 2026

Se raccogli foto e video dagli ospiti al tuo matrimonio, festa o evento aziendale, stai trattando dati personali di terzi: nell’UE questo significa che si applica il GDPR. Buona notizia: per un evento privato ordinario, le regole sono molto più ragionevoli di quanto lasci intendere l’acronimo. Ecco cosa conta davvero, in linguaggio semplice, con gli articoli citati così puoi verificarli da solo.

1. Una foto di evento è «dato personale»? (Di solito sì)

Una foto che identifica una persona è un dato personale. La sfumatura che crea confusione è questa: una fotografia non è automaticamente un dato di "categoria speciale" (biometrico). Secondo il Considerando 51 del GDPR, un’immagine diventa dati biometrici solo quando viene elaborata tramite "un mezzo tecnico specifico che consente l’identificazione univoca" di qualcuno, cioè il riconoscimento facciale. Quindi un normale album fotografico condiviso è un dato personale ordinario; un’app che effettua face matching tra ospiti per raggruppare le foto elabora dati biometrici e rientra in un regime molto più rigoroso (art. 9), che normalmente richiede consenso esplicito. (RGPD Considerando 51; art. 9(1))

Conclusione: un semplice album foto QR è a basso rischio. I ricercatori di foto con riconoscimento facciale non lo sono — se ne usi uno, richiedi un opt-in esplicito.

2. Quale base giuridica? Consenso vs. "legittimo interesse"

Per elaborare le foto degli ospiti hai bisogno di una base giuridica ai sensi dell’art. 6 GDPR. Per un host sono realistiche due opzioni:

• L’interesse legittimo (Art. 6(1)(f)) — di norma puoi basartici per foto ordinarie in un evento organizzato da te, purché il tuo interesse non sia prevalso dai diritti degli ospiti. La legge richiede particolare attenzione «quando l’interessato è un minore».

• Consenso (Art. 6(1)(a)) — la base più sicura e necessaria quando la bilanciatura va a sfavore dell’interesse legittimo o quando sono coinvolti dati di categoria speciale (riconoscimento facciale). Il consenso deve essere «specifico, informato e liberamente prestato». (RGPD Art. 6(1))

In sintesi: per un matrimonio o una festa privata, il legittimo interesse è generalmente sufficiente per un album con le foto degli invitati. Affidati a un consenso chiaro quando i minori sono in primo piano, quando pubblicherai le foto o ogni volta che hai dubbi.

3. L’eccezione “è solo la mia festa privata” — e il suo limite

Il GDPR prevede un’eccezione per l’"attività puramente personale o domestica" (art. 2(2)(c), Considerando 18). Un privato che raccoglie foto al proprio compleanno o matrimonio, condivise solo con gli ospiti, in genere resta fuori dal pieno ambito del GDPR. Ma l’eccezione è ristretta: nel momento in cui le foto sono pubblicate pubblicamente o coprono sistematicamente persone oltre il proprio nucleo familiare, non si applica più — la CGUE lo ha chiarito nel caso Ryneš (C‑212/13, 2014). E non si applica mai a un’azienda che organizza un evento. (Art. 2(2)(c); Considerando 18; CGUE C‑212/13)

Conclusione: un album privato solo su invito = impegno limitato. Una galleria pubblica, o qualsiasi evento aziendale = GDPR completo.

4. Dillo agli ospiti (la cosa che i host dimenticano)

Ai sensi dell’art. 13, quando raccogli dati direttamente dalle persone devi indicare in quel momento chi raccoglie, perché e sulla base legale (e, se ti basi su interesse legittimo, quale interesse specifico). Per un evento basta una riga sul cartello QR e sulla schermata di upload: «Le foto che carichi sono raccolte da [host] per creare un album di evento condiviso; ospitato nell’UE; puoi richiedere la rimozione di qualsiasi tua foto». (GDPR art. 13(1))

5. Gli ospiti possono chiedere la cancellazione delle loro foto entro un mese

Il diritto alla cancellazione (Art. 17) consente a un ospite di chiedere la cancellazione dei propri dati (ad esempio dopo il ritiro del consenso). Devi agire senza ingiustificato ritardo e entro un mese dalla richiesta (Art. 12(3)), prorogabile di altri due mesi solo per casi effettivamente complessi con avviso. Quindi lo strumento che usi deve rendere facile cancellare una foto specifica. (GDPR Art. 17(1); Art. 12(3))

Punto chiave: scegli una piattaforma che permetta la rimozione rapida di una foto, da te o dall’ospite — l’arco legale di un mese è reale.

6. Le foto dei bambini richiedono cure extra

Per i servizi online, l’art. 8 prevede un’età del consenso che varia per paese: 16 anni in Germania, 14 in Austria. Per una festa per bambini la risposta pratica è semplice: ottenere il consenso dei genitori prima di raccogliere e soprattutto prima di condividere foto dei loro figli, mantenere l’album privato e cancellare immediatamente su richiesta. (Art. 8(1) GDPR; BDSG (DE); § 4(4) DSG (AT))

7. Dove sono conservate le tue foto: UE o USA

Qui la scelta dello strumento diventa una decisione di conformità. Inviare le foto di residenti UE a un servizio hosted negli Stati Uniti è un trasferimento internazionale regolato dal Capitolo V. Dopo Schrems II (C-311/18), che ha annullato Privacy Shield, i trasferimenti si sono basati sulle Clausole Contrattuali Standard; il Data Privacy Framework UE‑US nel 2023 ha poi reintrodotto una via di adeguatezza, pur restando oggetto di sfide legali. Il modo più pulito per evitare tutto ciò è mantenere i dati nell’UE. (RGPD Cap. V; CGUE C-311/18; Decisione di esecuzione della Commissione (UE) 2023/1795)

La maggior parte delle app di foto evento è ospitata negli USA. Alcune — tra cui Gathmo (UE/Francoforte) e EventPics (Cloudflare R2 UE) — ospitano nell’UE, evitando così l’analisi di trasferimento per gli eventi UE. (research-foundation/02 — scheda EU residency, captato il 2026-06-08)

8. Conserva solo ciò che serve e solo per il tempo necessario

L’art. 5 richiede minimizzazione dei dati e limitazione della conservazione: raccogli solo il necessario e non conservarlo per sempre. Nella pratica: imposta una scadenza dell’album e cancella la raccolta quando lo scopo dell’evento è stato raggiunto. Una piattaforma che fa scadere automaticamente gli album (invece di archiviarli in modo nascosto) rende il processo automatico. (GDPR Art. 5(1)(c),(e))

9. Per le aziende: hai bisogno di una DPA con il tuo strumento

Se organizzi un evento aziendale, la piattaforma elabora i dati di dipendenti/ospiti per tuo conto: si tratta di un rapporto titolare‑responsabile del trattamento/sub‑responsabile, e l’art. 28 richiede un accordo scritto di Data Processing Agreement che copra ambito del trattamento, sicurezza, sub-responsabili, supporto ai diritti degli interessati e cancellazione a fine servizio. Chiedi a ogni fornitore il DPA prima della firma; uno strumento B2B serio ce l’ha già pronto. In Germania, il trattamento dei dati dei dipendenti coinvolge anche il BDSG § 26.

Come appare in scenari reali di eventi

Per un matrimonio privato, la configurazione a minor rischio è di solito semplice: tieni l’invito all’album solo su invito, metti un breve avviso vicino al QR, evita il riconoscimento facciale salvo consenso attivo degli ospiti, e consenti richieste di rimozione. La coppia non dovrebbe aver bisogno di un processo legale per ogni foto candid, ma deve evitare di trasformare un album privato in galleria pubblica senza curare il consenso.

Per una festa di compleanno per bambini valgono le stesse regole di base, con uno standard di cura più elevato. I genitori devono sapere dove finiscono le foto, chi può vedere l’album e quanto tempo resta online. Un album QR privato è molto diverso dal pubblicare il volto di ogni bambino su un social pubblico. Se un genitore ti chiede di non includere suo figlio, rimuovi subito la foto e vai avanti.

Per un offsite aziendale o una conferenza, tratta il processo come un piccolo progetto di trattamento dati. Definisci chi è il titolare, conferma la DPA della piattaforma, inserisci un avviso chiaro di upload sul cartello QR, evita il riconoscimento facciale non necessario e usa una finestra di retention definita. Se coinvolge dipendenti in Germania, anche HR dovrebbe considerare l’aspetto BDSG §26.

Per eventi pubblici o con ticket, si presume che il GDPR si applichi pienamente. Potrebbero servire anche segnaletica in sede, istruzioni per lo staff e un flusso di moderazione, così le immagini caricate non espongono persone che non si aspettavano di essere presenti. Più pubblico è l’evento, meno può bastare “si sa tutti che si fanno foto agli eventi” come piano privacy.

Un avviso semplice che puoi mettere accanto al codice QR

Su un cartoncino da tavolo non hai bisogno di legalese. Serve chiarezza. Un avviso pratico può essere breve:

Per un evento aziendale aggiungi il nome dell’azienda e il link all’informativa privacy completa. Per un matrimonio o festa privata, il contatto può essere l’host. Per eventi infantili, cita che i genitori possono richiedere la rimozione del contenuto del figlio. L’obiettivo è che l’ospite capisca lo scambio base prima dell’upload: chi raccoglie i media, perché, dove sono ospitati e come opporsi.