イベント写真家のためのGDPR：何に対して責任を負うか

はい。ゲストの写真は個人データです。そのため、EU域内のイベントで収集する場合、またはEU居住者から収集する場合、GDPRは利用するプラットフォームだけでなく、主催者にも適用されます。主な責任は、収集に関する法的根拠と明確な通知、適切な保存期間、消去依頼へ対応できる体制を確保することです。EU域内でホスティングされ、同意・消去ツールとDPAを提供できるプラットフォームを利用すれば、その多くに対応できますが、管理者としての判断は引き続き主催者が担います。これは一般的な案内であり、法的助言ではありません。

通常はコントローラー（場合によってはお客様と共同）です。なぜどのようにゲストメディアを収集するかはあなたが決定します。写真を保存・配信するプラットフォームは通常プロセッサーとして、記録された指示に基づいてデータを扱います。この区別は役割により義務が異なるため重要で、関係性は通常、プラットフォームが提供するデータ処理契約（DPA）で文書化されるべきです。詳細は専門家にご相談ください。

データ処理契約（DPA）とは、GDPR第28条に基づく、データ管理者と処理者の関係を形式化する契約のことです。プラットフォーム（処理者）との間で締結が必要であり、法人や公共セクターの顧客は調達の一環としてこれを要求することが多いです。Gathmo ではリクエストに応じて DPA を提供しているため、すぐに用意できます。顧客から求められる前に DPA を準備しておくことは、プロフェッショナルでコンプライアンスに準拠したサプライヤーとして立ちふさわしい姿勢です。

GDPRでは、個人データは目的に必要な期間を超えて保存してはいけませんが、固定の期間を定めるものではありません。合理的な保存期間を定義し一貫して運用します。保存期間と削除ツールが明確なプラットフォームなら、管理しやすくなります。期間を設定すればその後はデータ削除され、削除依頼にも対応できます。説明可能なように保持方針を文書化してください。

法的根拠と明確な通知が必要です。ゲストが何を何のために収集されるか理解できる必要があります。同意はその一つであり、目的を説明する明快な案内とアップロード導線があれば補完されます。適切な根拠は文脈で変わる場合があります（例えば正当な利益が該当するケース）。その場合は専門家の助言が必要です。実務的には、アップロード時点での透明な通知と、同意を取得するプラットフォームが標準的なケースをカバーします。

Gathmoは処理側を担い、あなたの負荷を下げます。ゲストメディアはEU（フランクフルト）でホストされ、GDPR第28条のDPAを提供し、第三国移転はありません。さらに、同意取得、定義済み保存期間、削除ツールを備えています。これにより技術的・契約的な確認項目をカバーし、コントローラー側の判断（通知、合法根拠、保存の選択）はあなたが担保できます。これらを持たない一般向けアプリでは同等のコンプライアンス立証が格段に難しくなります。

EUのゲストの個人データを第三国へ移転する場合、適切な保護措置（標準契約条項など）が必要で、その管理と文書化の複雑さが増します。EUでホストされ、第三国移転のないプラットフォームは、この点を完全に回避でき、あなたにとっても、法人顧客にとっても安心感が高まります。非EUツールを使う場合は、EUゲストデータを扱う前に移転保護措置を確認し、EUホスティングの方が簡単な選択かどうかを検討してください。