イベント写真におけるEUデータ居住性：B2B調達で重要な理由

次のカンファレンス向け写真共有ツールは一見すると低リスクの購入に見えます。ゲストはQRをスキャンして携帯からアップロードし、あなたはアルバムを受け取るだけ。イベントマネージャーなら午後だけで契約可能に見えますが、ベンダーリスク担当者の机に上がると最初の質問は「データは実際どこに保存されていますか？」になります。

EU法人にとってこれは事務的な足かせではありません。承認可否を決める本質的条件です。写真は識別可能な従業員・顧客・ゲストの個人データで、端末からサーバーへ移ると、サーバーの所在法域がGDPRの国際移転規則という法的枠組みに購入を引き込みます。これは調達部門が署名前に確認すべき事項です。

このガイドは、イベント写真プラットフォームを評価する調達、IT、法務の担当者向けです。ここでは「EUデータ・レジデンシー」が実際に意味すること（「GDPR準拠」との違い）を説明し、チームの法的負担がどのように軽減されるか、2026年半ば時点のEU-US移転ルール、そしてベンダーのレジデンシー主張をシールを鵜呑みにせずどのように検証するかを解説します。EU/EEAの文脈向けに作られています。

「EUデータレジデンシー」は実際には何を意味するのでしょうか？

データ居住性は、データを保有・処理するサーバーがどの国にあるかという点です。イベント写真プラットフォームでは、これには写真・動画・ボイスメッセージそのもののアップロードに加え、データベースレコードやそれらを記述するバックアップも含まれます。

広告文でよく混同される3つの要素を分けて見る価値があります。

• データ所在地 — データが保存・処理される場所（データセンターの法域）。

• 会社所在地（本社・登記地）です。ベルリン設立の企業でもデータをバージニアに保存することは可能で、米国法人はフランクフルトでホスティングすることもあります。両者は一致する必要はありません。

• 「GDPR準拠」は通常、ベンダー側の実務を指す表現です。米国ホスティングのツールでもEU従業員の写真が載れば即座に越境移転が発生する場合があり、これは「EU居住」と同義ではありません。

この違いが調達で重要なのは、居住地が個人データがEU外へ移転したかどうかを左右する唯一の事実だからです。データをEU内に留めればGDPR第V章の移転ルールは適用されません。第三国に移すと、当然ながらその規則が全面的に適用されます。

B2B調達でデータ所在が特に重要なのはなぜですか？

GDPRではEUからの移転を規制行為とみなしており、法的な妥当性の立証責任はベンダーではなく管理者（あなた方）にあります。

第V章によれば、第三国への個人データ移転は、欧州委員会の妥当性決定（第45条）または、それがない場合には適切な安全措置（第46条2項(c)の標準契約条項）で、データ主体の執行可能な権利と実効的な救済を備える場合にのみ合法です。これはベンダーに任せられるチェックボックスではありません。会議写真が米国で処理される場合、組織はその法的根拠メカニズムを示し、Schrems II以降として、移転先の評価と補完的措置を文書化したことを示さなければなりません。

実務的には、米国でホストされるツールが生み出す具体的な作業を、EUでホストされるツールが取り除く、という意味です。つまり、実施・記録が必要な移転影響評価、監督当局に提出できる防御可能な法的根拠、そしてここ十年で何度も変化した法的地位への継続的対応です。各変化ごとに、利用する米国ベンダーごとに再評価が必要になります。データをEU内に残すと、これらはすべて不要になります。移転がないため選択すべきメカニズムもなく、影響評価も不要、追跡すべき適正化決定もありません。法務レビューを1か月かけずに、低リスクのツールを迅速に解禁しようとするチームにとって、これはデータ所在地の価値です。つまり、すぐに承認できるか、オープンなコンプライアンス案件になるかの差です.

「すでにDPAは持っていますが、それで十分では？」

DPA（データ処理契約）とデータ保有地は異なる要件であり、一般に両方必要です。第三者があなたの文書化された指示に基づき個人データを処理する場合、GDPR第28条(3)は拘束力のある書面契約（DPA）を要求し、処理者がどのようにデータを扱うかを定めます。しかしこの契約は、データの保存先や越境移転の合法性を自動的には保証しません。これは第V章に関する別の確認事項です。ベンダーは完璧な第28条DPAを提示しつつ、第三国で写真を処理している場合もあり、移転リスクは残ります。したがって調達チェックリストは「DPAかEU居住か」ではなく「DPAと居住地の明確な回答」を求めることになります（第28条DPAに必須の項目についてはガイド「Data Processing Agreements for Event Tech」を参照）。

2026年半ば時点でのEU–US移転ルールはどのような状況ですか？

ここが居住地を判断する価値がある理由です。短く言えば、米国へのデータ転送は現時点で可能ですが、規制環境は変化しており、係争も進行中なので、米国ホストのツールは確定ではなく継続的な評価対象です。2026年半ば時点：

• 標準契約条項（SCC）は生き残っていますが、条件付きです。Schrems II は2020年に旧Privacy Shieldを無効にした一方、SCCは原則として維持されました。ただし、ケースごとの移転影響評価と上記の補完措置が必要です。

• EU–米国データプライバシー・フレームワーク（DPF）の適合性決定は有効です。これは2023年7月10日に採択され、DPF認証を受けた米国事業者への移転を第45条に基づき適法に行えるようにします。EU一般裁判所は2025年9月3日、最初の争訟（T-553/23, Latombe v Commission）を退け、米国が十分な保護水準を確保していることを確認しました。

• ただし現在、裁判は係属中です。この判断（C-703/25 P）に対する上訴はCJEUで保留中で、2026年半ば時点では審理日程は未定です。実務的には、DPFは現時点で利用可能だがリスクゼロではなく、SCCと移転影響評価は依然として慎重な代替策です。

これは米国製ツールだからといって恐れるべきことではありません。選択とは、すでに過去に答えが変わり、再び変わる可能性のある論点を引き受けることを意味し、そのたびに影響を受けるベンダーを見直さなければならないことです。EU在住ツールを選べば、その論点はほぼ開かれず、次のシュレムズ系の判断の「火線」から離れられます。

マーケットは居住地で明確に分かれる傾向があります。分布は以下の通りです

これらのツールが実際にデータをどこにホスティングしているかを確認し、マーケットは3つの群に分かれます。以下は各提供者の公開情報（2026-06-08時点）に基づいており、ギャップは主張と同じだけ示唆的です。

米国拠点です。複数の主要ツールは、データが米国に置かれ、EU オプションがないことを明確に示しています。たとえば GuestCam（米国拠点のクラウドストレージ、EU/欧州でのホスティングなし）、Kululu（Google Cloud/Firebaseサーバーが米国）、Fotify（デラウェアの企業Lumenlio, LLCが運営）、Wedibox（米国企業 Wedibox LLC）。これらのいずれの場合も、EU企業が従業員またはゲストの写真を処理する場合、まさに第三国移転領域に該当し、完全な評価責任が伴います。

明確なEU在住です。EU/EAAでのホスティングを直接明示しているものは少数です。EventPics（オーストリア企業Aigner Software e.U.が運営、EU地域でホスティング）、JoinMyMoment（EU/EAAホスティング、ドイツHetzner、フランスScaleway、AWSフランクフルトにサブプロセッサー）、そしてLense（欧州連合内サーバーで、個人データは主にそこに保管・処理）。これらはデータ移転の問題が生じにくいツールです。

未記載、または不明確——これはそれ自体がレッドフラグです。多くの有意義なツールはデータの保存場所を明確に示していません。ドイツまたはEUで販売されている一部のアプリは「Made in Germany」「European servers」といった表現を使う一方で、サーバー所在地を明示していないことがあります。別のアプリは、会社所在地が非公開だったり、EU地域を示さないGoogle Cloud上で提供されていたりして、管轄が実質的に不明です。調達では、居住地未開示は中立ではなく、問題点です。供給者がホスティングの管轄を文書で示せないなら、データ移転の分析を完了できず、確認用DPAが明示されるまでレビューを通過すべきではありません

注記：マーケティングページ上でEU在住をうたうだけでは、証明にはなりません。次のセクションでそのギャップを埋めます。

ベンダーのEU居住地主張はどう検証しますか？

「GDPR適合」をホームページでうたうのはマーケティング上の主張です。調達チームは、ファイルに添付できる根拠が必要です。5つの質問が、主張を検証可能な形に変えます：

1. データセンターの地域を文面で指定してください。単に「欧州」とするのではなく、保存されるアップロードとデータベースの両方について、実際の管轄（例：ドイツ/フランクフルト）を明記する必要があります。DPAまたは注文書に明記することで、希望的表明ではなく契約上の条件になります。

1. サブプロセッサーの一覧を取得してください。ほとんどのプラットフォームは、クラウドストレージ、データベースホスト、メール・SMS配信など、サードパーティのインフラで運用されており、各サブプロセッサーにはそれぞれ異なる所在地があります。EUでホスティングしていても、通知を米国のサブプロセッサー経由で転送する場合、一定の個人データは越境します。全リストと各サブプロセッサーの所在を必ず確認してください

1. バックアップとログの置き場所を確認してください。EU内の一次保存だけでは不十分です。夜間バックアップが米国リージョンへ複製される場合は同様です。データ居住地要件は、ライブデータだけでなくコピーにも適用されます。

1. DPAに必ず反映されていることを確認してください。滞在義務とサブプロセッサー条項は、実際に署名するArt.28契約書に記載されている必要があります。そうして初めて拘束力が生まれ、ブログ記事だけの記載ではなくなります。

1. 削除の経路を確認してください。データ保管先は「どこか」だけではなく、「どのくらい保持し、どのように削除するか」も重要です。事業者が法定期限内にデータ主体の削除要求に対応できるか確認します。Art.17ではコントローラーは不当に遅滞なく削除すべきで、Art.12(3)は1か月以内の返信期限（複雑な要請なら最大2か月延長）を定めています。定義された保持期間と明確な削除経路は、実務上の保存制限（Art.5(1)(e)）要件です。

5 つをすべてきちんと文面で回答すれば、主張を支える居住地要件を守れます。バッジだけを示せば、取り下げられない請求になります。

この比較でのGathmoの立ち位置

Gathmoはこの記事の調達（procurement）の問いに向けて設計されています。データ所在地はEUにあり、オブジェクトストレージはEU管轄、主データベースはフランクフルト、EUベースの計算インフラ、処理業者とのDPAを整備。DPAはイベント別プランでリクエスト可能、B2B Studio/Agency/Enterpriseに含まれます。保存は定義済みで有限（プランにより30日～1年）で、開かれた無期限保存ではありません。これはArt.5(1)(e)の保存制限要件に沿っています。調達・IT部門が「イベントデータは欧州に残るのか？」を問う場合、これは“はい”と実証できる回答です。つまり、特定のデータセンターと処理業者DPAがあり、単なるマーケティング表現ではありません。

2つの重要ポイントです。調達部門には後でなく、最初にこちらから伝えるべき点です。第一に、Gathmoはローンチ時点で顔認識・顔検索を提供しません。これはフェーズ2のロードマップであり、ライブ機能ではありません。法人向けにはこれはむしろ利点になり得ます。顔テンプレートを作成しない通常のフォトギャラリーは、記事9の顔照合に伴う追加の生体データ同意義務を避けます。第二に、リージョン主張はノイズになりやすい領域で、複数ベンダーが欧州サーバーをうたいます。そのため、Gathmoの優位性は「唯一のEUオプション」ではなく、明示的に検証できるEU居住性（明確な管轄地域、サブプロセッサー透明性、署名済みDPA）として示しています。上の5問チェックを当社で実施してください。