GDPR per i fotografi di eventi: per cosa sei responsabile

Sì. Le foto degli invitati sono dati personali, quindi, se vengono raccolte durante eventi nell’UE o riguardano residenti dell’UE, il GDPR si applica anche all’organizzatore e non soltanto alla piattaforma utilizzata. Le responsabilità principali riguardano una base giuridica e un’informativa chiara per la raccolta, tempi di conservazione ragionevoli e la capacità di soddisfare le richieste di cancellazione. Utilizzare una piattaforma ospitata nell’UE, con strumenti per consenso e cancellazione e un DPA disponibile, copre molti di questi aspetti, ma la valutazione che spetta al titolare del trattamento resta a carico dell’organizzatore. Queste sono indicazioni generali, non consulenza legale.

Di solito è il controller (talvolta congiuntamente con il cliente), perché decidi perché e come vengono raccolti i media degli ospiti. La piattaforma che conserva e serve le foto è tipicamente il processor, che tratta i dati secondo le tue istruzioni documentate. La distinzione conta perché gli obblighi cambiano a seconda del ruolo e perché la relazione va documentata, di norma tramite un DPA fornito dalla piattaforma. Per i dettagli, consulta un professionista.

Un accordo sul trattamento dei dati (DPA) è il contratto previsto dall’articolo 28 del GDPR che formalizza la relazione tra titolare e responsabile del trattamento. Ne hai bisogno con la tua piattaforma (il responsabile), e i clienti aziendali o del settore pubblico lo richiederanno spesso durante la procurement. Gathmo fornisce un DPA su richiesta, così può essere pronto. Avere il DPA preparato prima che un cliente lo chieda fa parte del presentarsi come fornitore professionale e conforme.

Il GDPR richiede che i dati personali non vengano conservati più a lungo del necessario per la finalità, ma non stabilisce una durata fissa: scegli un periodo ragionevole e lo applichi in modo coerente. Una piattaforma con finestre di retention definite e strumenti di cancellazione rende tutto gestibile: imposti la finestra, i dati degli ospiti vengono poi rimossi e puoi soddisfare le richieste di cancellazione. Documenta la tua scelta di retention per poterla spiegare se richiesta.

Serve una base giuridica e un’informativa chiara: gli ospiti devono capire cosa viene raccolto e perché. Il consenso è una base legale, e un segnaletica chiara più un flusso di upload che spiega lo scopo la supporta. La base esatta dipende dal contesto (ad esempio l’interesse legittimo può valere in alcuni casi), e lì l’assistenza professionale aiuta. In pratica, un avviso trasparente al punto di upload e una piattaforma che acquisisce il consenso coprono i casi comuni.

Gestisce la parte tecnica e riduce il tuo carico. Gathmo ospita i media degli ospiti in UE (Francoforte), offre una DPA ex Art. 28 GDPR, non prevede trasferimenti verso paesi terzi, e fornisce raccolta del consenso, finestre di retention definite e strumenti di cancellazione. Copre gli aspetti tecnici e contrattuali richiesti dai clienti, lasciando a te la valutazione come titolare (informativa, base legale, scelta di retention). Un’app consumer senza questi elementi rende molto più difficile dimostrare la compliance.

Può essere così, perché il trasferimento dei dati personali degli ospiti UE verso un paese terzo richiede garanzie adeguate (come le clausole contrattuali standard) e aggiunge complessità che devi gestire e documentare. Una piattaforma ospitata in UE senza trasferimenti verso Paesi terzi evita del tutto questo problema, rendendo le cose più semplici per te e più rassicurante per i clienti aziendali. Se usi uno strumento non UE, verifica prima le sue garanzie di trasferimento prima di gestire dati di ospiti UE e valuta se l’hosting in UE non sia la strada più semplice.