Quando raccogli foto, video e messaggi vocali dagli ospiti, stai raccogliendo dati personali di persone reali — amici, colleghi, familiari. La maggior parte degli strumenti per eventi conserva quei dati su server statunitensi e la maggior parte degli host non pensa mai a chiedere dove finiscono. Questa guida spiega cosa significa davvero "residenza dei dati UE", perché conta per un album di evento e come distinguere un’affermazione autentica da una semplice spilla di marketing.
Non è consulenza legale. Questo articolo spiega i principi in linguaggio semplice e cita gli articoli GDPR pertinenti, così puoi verificarli da solo. Non è consulenza legale. Per un evento specifico, soprattutto aziendale con dipendenti o bambini, parla con un consulente qualificato per la protezione dati.
Che cosa significa davvero la "residenza dei dati in UE"
La data residency risponde a una domanda semplice: in quale paese si trovano fisicamente i server che archiviano e processano le foto dei tuoi ospiti? "Data residency UE" significa che i dati restano su infrastruttura dentro l’Unione Europea (o, più genericamente, lo SEE), invece di essere trasferiti su un server in un altro paese.
È importante per come il GDPR tratta quei percorsi. Sotto il GDPR, inviare dati personali in un Paese fuori dall’UE — un “trasferimento verso Paese terzo” — è lecito solo con un meccanismo giuridico specifico: una decisione di adeguatezza ex art. 45 o garanzie adeguate come le SCC della Commissione Europea ex art. 46(2)(c), con diritti esigibili e rimedi reali per gli interessati (CITE-20260608-1011). Se il tuo strumento eventi tiene tutto dentro UE, quei meccanismi di trasferimento non si applicano. Tieni i dati in casa e salti la domanda di compliance più difficile.
Ecco perché la “data residency UE” non è un “nice-to-have”. È la differenza tra una base legale lineare e una che dipende dallo stato mutevole delle leggi sui trasferimenti transfrontalieri.
La GDPR si applica davvero alle foto degli eventi?
Sì — più spesso di quanto si creda. La fotografia di una persona è un dato personale perché la identifica. Diventa dato biometrico di categoria speciale solo quando viene trattata con un metodo tecnico specifico per l’identificazione univoca, come l’estrazione delle caratteristiche nel riconoscimento facciale — le gallerie ordinarie non superano questa soglia; CITE-20260608-1003.
C'è un’idea diffusa che gli eventi privati siano esenti. Il GDPR prevede un’esenzione per il trattamento da parte di una persona "nell'ambito strettamente personale o familiare" (art. 2(2)(c)) — perciò un ospite che conserva i propri scatti può rientrare. Ma questa esclusione protegge solo l'individuo; non esonera la piattaforma che fornisce il mezzo di trattamento (CITE-20260608-1008). Un servizio media evento è esso stesso responsabile o processore e resta pienamente sotto l'ombrello GDPR — ed è per questo che la localizzazione dei dati è la vostra preoccupazione, non solo quella del fornitore.
L’esenzione è anche più stretta di quanto sembri. La CJEU l’ha interpretata in modo rigoroso in Ryneš (C-212/13): il trattamento «diretto verso l’esterno dall’ambito privato» non può essere considerato puramente personale (CITE-20260608-1009). La pubblicazione aperta di foto di altri ospiti oltre un cerchio privato chiuso probabilmente esce da quell’esenzione e rende anche voi, ospite/host, soggetti al GDPR.
Perché gli album di eventi ospitati negli Stati Uniti sono un rischio discreto
La verità scomoda è che la maggior parte dei tools di foto eventi più diffusi hostano al di fuori dell’UE. Basandoci solo sulle informazioni pubblicate da ciascun fornitore (verificate il 08.06.2026):
- GuestCam dichiara che i suoi dati sono su storage cloud con sede negli Stati Uniti.
- Kululu conserva i contenuti principali su server Google Cloud (Firebase) negli Stati Uniti.
- Fotify è gestito da una società del Delaware, USA (Lumenlio, LLC).
- Wedibox è un’operazione statunitense (Wedibox LLC).
(Prezzi e location aggiornati a giugno 2026; i provider cambiano infrastruttura, quindi ricontrolla prima di fare affidamento.)
Questo non rende automaticamente illegali quegli strumenti. I trasferimenti negli USA possono essere legittimati: il framework EU-US DPF del 10 luglio 2023 resta valido, i trasferimenti verso organizzazioni certificate DPF possono utilizzarlo, e la prima impugnazione (Latombe, T-553/23) è stata respinta il 3 settembre 2025 (CITE-20260608-1012). C’è però un caveat: è pendente un ricorso (C-703/25 P) alla CGUE e il predecessore — Privacy Shield — è stato annullato da Schrems II nel 2020 (CITE-20260608-1011). Il quadro per i trasferimenti US è già cambiato e può cambiare di nuovo. Ospitare in UE significa non dover monitorare quel meteo.
Per una festa in casa può non essere fondamentale. Per un evento aziendale con foto dei dipendenti, un compleanno per bambini o qualsiasi incontro in cui un ospite preferisca semplicemente che il proprio volto non finisca su un server statunitense, questa distinzione è la decisione chiave.
Come distinguere un claim UE reale da una semplice etichetta?
«Hosted in UE» è diventato rapidamente una casella che tutti vogliono barrare, quindi vale la pena andare oltre le parole. Alcune domande separano prova e marketing:
- Il fornitore indica dove sono i dati? Una risposta specifica — un data center nominato, una regione nominata, processori nominati — vale molto più di un’emoji bandiera e delle parole “server europei”.
- La dichiarazione è esplicita o solo dedotta? Alcuni strumenti tedeschi ed europei sono davvero ospitati nell’UE e lo dichiarano chiaramente: ad esempio Weddies (server in Germania) e FridaySnap (server tedeschi/europei conformi al GDPR) sono espliciti. Altri si basano su formulazioni più leggere ("Made in Germany", "server europei") che sono ragionevolmente interpretabili ma più difficili da verificare. Avere sede nell’UE non equivale ad essere hosted nell’UE.
- Esistono accordi con sub-responsabili? Quando un servizio usa sub-processori, un Data Processing Agreement (DPA) conforme è obbligatorio: l’art. 28(3) richiede un contratto vincolante che definisca oggetto, durata, natura e finalità del trattamento, i tipi di dati e i diritti del titolare (CITE-20260608-1004). Una strategia seria di residenza UE include DPA con i propri processori, non solo la posizione dei server.
Un utile controllo di coerenza: se un’azienda non ti dice chiaramente dove risiedono le foto degli ospiti, considera quella come risposta.
L’altra faccia della storia: conservazione ed eliminazione
La residenza riguarda la localizzazione. Il GDPR riguarda anche per quanto tempo e se le persone possono uscirne.
Limitazione della conservazione e minimizzazione. I dati personali devono essere "adeguati, pertinenti e limitati a quanto necessario" e mantenuti in forma identificabile "non oltre il tempo necessario" (Art. 5(1)(c) e 5(1)(e); CITE-20260608-1013). Per un album evento significa finestre di conservazione definite e cancellazione automatica, non un album che resta su un server all’infinito. È un punto a favore di strumenti con un periodo di retention chiaro rispetto a un’impostazione predefinita illimitata "conserva per sempre".
Il diritto alla cancellazione. Ogni ospite può chiedere che i propri dati siano cancellati e il titolare deve agire «senza ingiustificato ritardo» — in ogni caso entro un mese dalla richiesta, prorogabile fino a due mesi ulteriori per richieste complesse o numerose (Art. 17(1) con Art. 12(3); CITE-20260608-1005, CITE-20260608-1006). Prima dell’evento, vale la pena sapere come il tuo strumento gestisce un messaggio del tipo «cancellate le mie foto» — perché per legge quel termine è reale.
Dillo subito. Quando raccogli dati direttamente dalle persone, devi informare chiaramente al momento della raccolta: chi controlla i dati, perché, su quale base giuridica e quali diritti spettano (Art. 13(1); CITE-20260608-1007). Per un evento, basta una breve nota privacy sulla pagina di upload o accanto al QR code, così gli ospiti sanno cosa stanno scansionando.
La posizione di Gathmo — in modo trasparente
Gathmo è stato costruito con approccio EU-first, e preferiamo mostrare ciò che facciamo invece di esibire un badge:
- Residenza dati UE definita. I media sono conservati in una giurisdizione UE, il database gira a Francoforte e il calcolo risiede in regioni UE, con DPA in essere con i nostri processor. (Fonte: prezzi Gathmo).
- Retention definita per tier. Gli album hanno finestre di scadenza reali invece di archiviazione illimitata: dai 30 giorni nel free (più 14 giorni di grace period) fino a 1 anno nel top tier, in linea con il principio di limitazione della conservazione.
- Prezzi in EUR per evento. Free / €29 / €69 / €89, con modello di residenza UE applicato a ogni tier.
Due caveat onesti, perché la fiducia è il punto centrale. Primo, Gathmo non è l’unica opzione hosted in UE — EventPics (austriaco, esplicitamente su Cloudflare R2 UE), Weddies e FridaySnap (server tedeschi) mantengono anche loro i dati in UE; il nostro punto di forza è la combinazione di residenza UE nominata più DPA dei processori insieme a funzioni come messaggi vocali trascritti e vero white-label, non il claim di essere gli unici. Secondo, Gathmo non offre ricerca facciale o RSVP al lancio — entrambi in roadmap, non nel prodotto oggi. Lo segnaliamo perché il face recognition è la funzione che potrebbe rendere foto ordinarie in dati biometrici speciali ai sensi dell’Art. 9 (CITE-20260608-1002); uno strumento che identifica ospiti con face-matching necessita un proprio impianto su consenso esplicito. Sapere che uno strumento non lo fa ancora è, per molti host, una feature.
