GDPRの悩みなしでEUでゲスト写真を集める方法

はい。EUでのデータ保管、最初のアップロード前の同意取得、削除ツールはすべてGathmoアカウントでデフォルト有効です。特別な設定は不要です。イベントごとに確認すべきは保存期間で、無料プランは30日、有料プランは90日から1年です。

イベントプランナー、フォトグラファー、法人向けの主催者として、業務上の立場で個人データを処理する場合は、Gathmoを処理者とするDPAを締結しておく必要がある可能性が高いです。Gathmoは、要望に応じてGDPR準拠の標準DPAを提供しています。イベント公開前に設定できるよう、data processing terms を確認し、サポートへご連絡ください。

イベントダッシュボードでアップロードを見つけて削除してください。ファイルはGathmoストレージから削除されます。ゲストが複数の項目をアップロードしていてすべて削除したい場合は、Gathmoサポートに連絡し一括削除を依頼してください。削除依頼はGDPRに基づき、いずれも1か月以内に対応する必要があります。

はい。Gathmoイベントにアップロードする際、ゲストは名前、メールアドレス、その他の識別情報を必ずしも入力する必要はありません。同意はアップロード時に記録されますが、特定個人に紐づきません。そのため収集したメディアは特定の人物に帰属しにくくなり、データ対応が簡素化される場合があります。

イベント写真収集がGDPRに適合するための3条件は、(1)最初のアップロード前に取得する同意、(2)EU拠点インフラ上での個人データ保管、(3)削除要請時の明確な処理プロセスです。すべてのゲストに対し、投稿前に収集内容と目的を説明する必要があります。写真・音声記録・動画クリップはいずれもGDPR上の個人データです。消去要求は1暦月以内に実施しなければなりません。Gathmoは全プランで同意取得と削除にデフォルト対応しています。

自動ではありませんが、法的義務を生じます。GDPR第V編の下、EU居住者の写真や音声録音を含む個人データをEEA外に送信するには、有効な法的根拠（通常は標準契約条項SCC）が必要です。米国拠点のプラットフォームも、データ処理契約にSCCが入っていれば準拠し得ます。確認義務は利用前に、イベントホストであるデータ管理者にあります。たとえばGathmoはサーバーを米国アリゾナ州フェニックスで運用してSCCに依拠しており、法人顧客にはDPAを提供しています。

DPA（データ処理契約）は、データ管理者（イベント主催者であるあなた）とデータ処理者（イベント写真プラットフォーム）との間で締結され、どのデータを処理し、どのように保護し、利用終了時に何が起こるかを定める契約です。GDPR第28条では、個人データを処理者に委託する場合、DPAは必須です。家庭内の私的イベント（家族例外）では不要ですが、法人イベント、ブランドイベント、事業体が運営するあらゆるイベントでは、DPAの締結が法的義務です。Gathmoは全プランで要請に応じてGDPR第28条のDPAを提供します。調達チェックリスト では、各チームが通常求める項目を説明しています。

まずは実務的なコンプライアンスのセットを確認してください。イベント写真撮影者向けGDPR、ゲストメディアのデータ所在地、法人イベントのセキュリティ質問、そして Gathmoのセキュリティ運用方法。これらのページは、DPA、保持、モデレーション、データ所在地、調達手続きといったプロ向けポイントを網羅しています。