GDPR とイベント写真：ホストが2026年に知っておくべきこと

結婚式、パーティー、企業イベントでゲストから写真や動画を収集する場合、他者の個人データを取り扱うことになり、EUではGDPRが適用されます。朗報は、一般的な私的イベントでは、頭字語が示すほど規制が厳しいわけではないことです。ここでは実際に重要な点を、確認しやすいよう根拠となる条文を明記したうえで平易にまとめます。

1. イベント写真は「個人データ」ですか？（通常ははい）

人物を識別する写真は個人データです。ただし、ニュアンスとして、写真は自動的に「機微情報（バイオメトリクス）」になるわけではありません。GDPRの附属書51で、特定の技術手段で特定の人を一意に識別できる場合、すなわち顔認識が使われたときにのみバイオメトリクスになります。したがって、通常の共有アルバムは普通の個人データです。一方、ゲストの写真を顔照合してグループ分けするアプリはバイオメトリクスを処理しており、はるかに厳格な規制（第9条）に該当し、通常は明示的同意が必要です（GDPR附属書51、条文9(1)）。

結論として、シンプルなQRフォトアルバムは低リスクです。顔認識による写真検索はそうではありません。使用する場合は明示的なOpt-in同意が必要です。

2. 法的根拠は？同意か「正当利益」か

ゲストの写真を処理するには、GDPR第6条に基づく法的根拠が必要です。ホスト向けに現実的なのは主に次の2つです。

• 正当な利益（Art.6(1)(f)）—通常、あなたが主催するイベントでの一般的な写真についてはこれに依拠できますが、来場者の権利より優先されない場合に限ります。データ主体が「子ども」の場合、法律は特別な注意を求めています。

• 同意（Art. 6(1)(a)）— より安全な法的根拠であり、正当な利益が優先できない場合や特殊カテゴリーデータ（顔認識）が関与する場合に必要です。同意は「具体的で、十分な情報に基づき、自由に与えられた」ものでなければなりません（GDPR Art. 6(1)）。

要点：非公開の結婚式やパーティーでは、通常、ゲスト写真アルバムは正当な利益を根拠にできます。子どもが目立って写る場合、写真を一般公開する場合、または判断に迷う場合は、明確な同意を得てください。

3. 「ただのプライベートパーティーです」例外とその限界

GDPR（欧州一般データ保護規則）には「純粋な個人または家庭内での活動」を対象外とする例外があります（第2条2項(c)、準拠18）。自分の誕生日や結婚式で、ゲストのみに共有するため写真を集める個人は通常、GDPRの全面的適用外です。ただし例外は限定的で、写真を公開で公開したり、家庭外の人物を体系的に撮影したりした時点で適用されません。これはRyneš事件（C‑212/13, 2014）でCJEUが明確に示しています。なお、イベントを運営する企業には一切適用されません（第2条2項(c)、準拠18、CJEU C‑212/13）。

結論：招待制のプライベートアルバム＝負担が低い。公開ギャラリー、または企業イベントでは完全なGDPR対応が必要。

4. ゲストへの案内（主催者が忘れがちなこと）

第13条により、利用者から直接データを収集する場合、収集時に誰がどこで処理し、目的と法的根拠（正当利益を根拠とする場合は具体的な利益）を通知しなければなりません。イベントの場合はQRサインとアップロード画面に1行あれば十分です。『アップロードした写真は[host]が共用イベントアルバムを作成するために収集します。EUでホストされています。あなたは自身の写真の削除を依頼できます。』（GDPR第13条1項）

5. ゲストは1か月以内に写真削除を依頼できる

消去権（Art.17）により、ゲストはデータ削除を請求できます（例：同意撤回後）。不当な遅延なく、原則1か月以内に対応し（Art.12(3)）、実際に複雑な場合のみ最大2か月延長し通知します。したがって使うツールは特定写真の削除を簡単に行えることが必要です。（GDPR Art.17(1); Art.12(3))

重要ポイント: あなたまたはゲストが写真をすぐ削除できるプラットフォームを選択すること。1か月の法的期限は現実的にあります。

6. 子どもの写真は特に配慮が必要です

オンラインサービスでは、GDPR第8条により同意年齢は国により異なります。ドイツは16歳、オーストリアは14歳です。キッズパーティーでは実務的には、収集前・とくに子どもの写真公開前に保護者同意を取得し、アルバムを非公開に保ち、要請があればすぐに削除します。 (GDPR Art. 8(1); BDSG (DE); § 4(4) DSG (AT))

7. 写真はどこに保管されるか：EUか米国か

この段階でツール選定はコンプライアンス判断になります。EU居住者の写真を米国ホストのサービスへ送ることは、GDPR第V章に基づく国際移転です。Schrems II（C-311/18）でプライバシーシールドが無効化された後、移転は標準契約条項に依存し、2023年にEU-US Data Privacy Frameworkが再び適合性ルートを復活させましたが、法的な争いは継続しています。最もクリーンな回避策は、データをEU内に留めることです。 (GDPR 第V章; CJEU C-311/18; EC 2023/1795)

ほとんどのイベント写真アプリは米国でホストされています。Gathmo（EU／フランクフルト）やEventPics（Cloudflare R2 EU）を含む一部はEU内でホストしており、EUイベントの移転分析を回避できます。（research-foundation/02 — eu-residency tab、2026-06-08取得）

8. 必要なものだけを、必要な期間だけ保管する

第5条はデータ最小化と保存期間の制限を求めます。必要な情報のみ収集し、無期限保存しないことです。実際には、アルバムの有効期限を設定し、イベント目的が達した時点でコレクションを削除します。暗黙のアーカイブではなく自動失効するプラットフォームだとこの運用が自動化されます。（GDPR第5条(1)(c),(e)）

9. 事業者向け：ツールとの間でDPA（データ処理契約）が必要です

企業イベントを運営する場合、プラットフォームはあなたに代わって従業員・ゲストデータを処理します。これは管理者（コントローラー）—処理者（プロセッサー）の関係であり、GDPR第28条では、処理範囲、セキュリティ、下請け処理、データ主体の権利支援、サービス終了時の削除を含む書面によるデータ処理契約が必要です。署名前に各ベンダーへDPAの提示を求めてください。信頼できるB2Bツールなら事前準備が整っています。ドイツでは従業員データの処理にはBDSG§26の規定も適用されます。

実際のイベントシーンでの見え方

プライベートな結婚式では、最もリスクの低い設定は通常シンプルです。アルバムは招待者限定にし、QRコード横に短い通知を表示し、ゲストが積極的に同意した場合を除き顔認識を使わない。削除要請にも対応できる状態にします。カップルが各カンディッドごとに法的ワークフローを組む必要はありませんが、同意のないまま私的アルバムを公開ギャラリーに変えることは避けるべきです。

子どもの誕生日パーティーでも同じ基本原則が適用されますが、より高い注意基準が必要です。保護者は、写真がどこへ送られるか、アルバムを誰が閲覧できるか、どのくらいの期間オンラインに残るかを理解している必要があります。プライベートQRアルバムは、全員の子どもの顔を公開SNSに投稿することとはまったく異なります。保護者から投稿を控えるよう依頼された場合は、その写真を削除して次へ進みます。

会社のオフサイトやカンファレンスでは、このプロセスを小規模なデータ処理プロジェクトとして扱います。管理者を決め、プラットフォームのDPAを確認し、QRサインに明確なアップロード通知を配置し、不要な顔認識は避け、保存期間を明確にしてください。ドイツの従業員が関与する場合、人事部はBDSG第26条の観点も考慮する必要があります。

公開イベントやチケット制イベントでは、RGPDをフル適用で考えるべきです。会場の表示、スタッフ向け指示、アップロード画像のモデレーション手順も必要になることがあります。公共性が高いほど、「イベントでは写真を撮るのは普通」というだけでは、プライバシー対策として不十分です。

QRコードの横に置ける簡潔な注意文

テーブルカードには法的文言は不要です。必要なのは明瞭さです。実用的な案内は短くてよいです。

企業イベントでは会社名と完全なプライバシー通知リンクを追加します。結婚式やプライベートパーティーでは連絡先をホストにできます。子どものイベントでは、保護者が子どもの削除をリクエストできる旨を明記します。重要なのは、ゲストがアップロード前に基本的な取り扱いを理解することです：誰がメディアを収集し、なぜ収集し、どこに保存され、どのように異議を述べるか。