GDPRと従業員イベント写真：2026年にHRが知るべきこと

御社は夏のオフサイトを終了したところです。約300枚の写真が個人スマホに散らばり、きれいに一括で書き出せる方法がないWhatsAppグループ、そして2023年に誰かが「一時的に」作成した共有ドライブのフォルダに残っています。社内コミュニケーション部門はニュースレター用に良い写真を12枚欲しがっています。さらに、ある従業員が「自分の写真はどこにも公開しないでほしい」とメールで要望しています。

この最後のメールこそがHRを立ち止まらせるべきものです。組織が識別可能な従業員の写真を収集・保存・公開する時点でGDPRが適用され、"ただのクリスマスパーティーだったから"という理由は、個人情報保護責任者が受け入れる弁明にはなりません。

このガイドは人事担当者と社内イベント企画者向けに、従業員イベントの写真に関するGDPR上の義務を整理します。実際の法的根拠、同意が必要な場合と不要な場合、画像を保持できる期間、従業員の顔を1枚でも扱う前に写真収集ツールへ要求すべき事項を解説します。EU/EEAの文脈を想定し、ドイツ向けの具体的な注意点を含みます。

従業員イベント写真にGDPRは適用されますか？

はい。職場でよく回される「私的利用」例外もここでは通用しません。

GDPRは「純粋な個人的または家庭内活動」として自然人が行う処理（第2条2項(c)）を職業・商業活動と無関係な場合に除外します。ゲストが私的に自分の写真を保管するケースは該当する場合がありますが、雇用者は該当しません。企業が会社目的で主催し、ニュースレター、イントラネット、採用ページ、全体会議資料向けに撮影するイベントは、定義上、職業的・商業的処理です。例外は個人を保護しますが、コントローラーとしての組織、またはその代理として行動するプラットフォームを保護しません。

もう一つ重要な制限があります。EU司法裁判所はRyneš事件（C-212/13）で、家庭内例外を狭く解釈しました。『個人の私的空間から外部に向けられた処理』（同件では公共空間の監視）は、純粋な私的行為とはみなされません。イベントに当てはめると、他者の写真をクローズドな私的サークル外（たとえば公開インターネット）で公開する行為は、この例外を外れてGDPRの対象となる可能性が高いです。

人事向けの実務上の答えはシンプルです。会社が写真を取得した時点で、特定可能な従業員が写っているすべての写真はGDPRの対象と見なします。

あなたの法的根拠は同意ですか、それとも正当な利益ですか？

すべての個人データ処理には、EU一般データ保護規則第6条に基づく適法性の根拠が必要です。一般的なイベント写真では、現実的なのは2つです：正当な利益（Art. 6(1)(f)）と同意（Art. 6(1)(a)）。

合法な利益（legitimate interest）は、処理が管理者または第三者の利益に必要で、かつその利益がデータ主体の権利と自由に優越しない場合に適用できます。これは実際のバランステストを実施し文書化する必要があり、子どもが関与する場合は保護を強化します。リスクが低く内部向けイベント記録の場合、多くの組織がこれを利用できます。

同意は具体的・十分な情報に基づき・自由意思でなければなりません。これは最も安全な法的根拠であり、正当利益の衡量が成立しない場合や特別カテゴリーデータが関わる場合は必須となります。

HR向けの落とし穴は雇用関係です。従業員は雇用主に依存しているため、当該文脈での同意が真に「自由意思」かどうかは監督当局が厳しく見ます。ドイツのBDSGはBDSG §26で従業員データを直接扱っており、雇用関係に必要な処理を認めつつ、依存関係を踏まえた上での自発性を検証すべきで、通常は書面で行うべきとして認めています。

法人イベント撮影の率直な考え方として、§26に基づく「必要性」は、通常、マーケティングやニュースレター向け写真には適合しません（完成度の高い採用写真は雇用契約の履行に「必要」とは言えないため）。したがって、外部向けや販促向けの用途では、自由意思で与えられ記録された同意と、従業員に不利益を与えず拒否できる明確な権利を備えることが妥当です。さらに、EUおよびドイツの判例により§26(1)の一部はEU法に反するとされ、処理はArt. 6 GDPRに直接基づくことも可能である点も留意してください。これは必要性の論点を拡大解釈するより、明確で直接的な同意で写真を保護すべき理由になります。

HRの実務的な目安は：

• 内部の低リスク記録（次のチーム更新で数枚の写真を共有する程度）では、正当な利益で足りる場合があります。前提は、利益衡量テストを実施・記録していることです。

• 外部公開やマーケティング／採用で使用するすべてのコンテンツについては、明確な事前同意を取得し、拒否しても不利益が生じないことを明記してください。

顔認識に対して、別途明示的な同意は必要ですか？

これは一般的な写真ギャラリーと法的リスクを分ける問いであり、消費者向けイベントアプリの多くが静かにリスクを生むポイントです。

顔の写真自体は自動的に機微情報とはなりません。GDPR 第51考慮要素は明確で、写真が生体情報データとして扱われるのは「特定の技術手段により、自然人の一意の識別または認証を可能にする場合」に限られます。単に写真を保存・表示するだけでは第9条は適用されません。

ただし、ツールが顔認識の特徴抽出を実行し、ゲストの識別や「セルフィーで自分の写真を全て探す」機能のために顔テンプレートを構築する場合、個人を特定する目的で生体データを処理することになります。これは第9条(1)で原則禁止され、通常は別途明示的同意などの例外がない限り認められません。通常の写真撮影で取得した同意より明確に高いハードルです。

これはベンダー選定の際に重要です。競合の多くは顔認識機能を看板機能として打ち出しています。この機能は結婚式では実用的ですが、従業員がいる企業イベントでは写真コレクションをGDPR第9条に該当する処理へ変えてしまい、明示的な生体認証同意の取得と第9条に基づく根拠の記録が必要になります。単にオフサイト写真を一元管理したいHRチームにとっては、想定外のリスクです。

技術面の注意：Gathmoはローンチ時点で顔認識・顔検索を提供していません（どちらもPhase2のロードマップ項目で、ライブ機能ではありません）。HRにとってはむしろ利点で、通常の写真ギャラリーは顔テンプレートを生成しないため、デフォルトでアーティクル9の対象外です。将来的に顔検索が必要になった場合は、別途明示的同意を伴う意思決定として扱い、アプリ内でこっそり有効化されるものとして考えないでください。

写真を収集する際、従業員には何を伝える必要がありますか？

透明性は任意ではなく、誰も読まない看板では満たされません。データ主体から直接個人データを収集する場合、GDPR第13条1項により収集時点で、管理者の身元と連絡先、処理の目的と法的根拠、そして正当利益を根拠とする場合は追求している具体的な利益を明示する必要があります。

イベント運営では、撮影／アップロード時点での明確な情報提供が必要です。誰が写真を管理するか、目的、法的根拠、保存期間、データ主体の権利を分かりやすく示します。QRコードで遷移するアップロードページは自然な配置場所で、ランディングまたはアップロード画面上に通知文を表示すれば、（必要な場合）同意取得も文脈内で実施できます。

案内文に含める項目を、簡潔なチェックリストにまとめました。

• 誰が責任者（運営組織）で、どこに連絡できるか、そしてDPO（任意で）」がいる場合はその連絡先。

• 写真を収集する目的は何ですか（例：社内ニュースレター、イントラネットギャラリー）。

• 法的根拠、そして正当な利益を根拠とする場合は、その利益が何か。

• 画像の保存期間。

• 従業員の権利（異議申立てと削除要求を含む）

写真はどのくらいの期間保存できますか？

無期限ではありません。これを規定するのは、記事5の2つの原則です。

• データ最小化（第5条1項(c)）：個人データは目的に対して適切・関連性があり、必要最小限でなければなりません。必要なメディアとメタデータを収集し、技術的に可能だからというだけで全てを取らないでください。

• 保管制限（GDPR 第5条1項e項）：識別可能な形でのデータ保存は、処理目的上必要な期間を超えてはならない。

実務的には、苦情の後でなくイベント前に保存期間を定めることを意味します。共有ドライブにずっと残るのではなく、企業ギャラリーが設定された期間後に自動削除される姿勢の方が明確です。ここは、目的に特化したツールの明確な自動保存期限が、場当たり的なフォルダより優位になる典型例です。システムが自動で保存制限を実行し、誰かが思い出して削除する必要がありません。

参考までに、Gathmoのイベントごとの各ティアには明確で有限の保存期間があります。最長でもTopティアで1年、Freeは30日で、無期限保管ではなく、GDPR第5条(1)(e)が求める運用に合致します。どのソリューションでも原則は同じで、データに明確な終了日があることです。

従業員が写真削除を依頼した場合、どうなりますか？

これは消去権、すなわち「忘れられる権利」です。拒否できる善意の配慮ではありません。

GDPR第17条(1)では、データ主体は特定の事由がある場合（例えば、目的に対してデータが不要になった場合、または同意が撤回され他の法的根拠がない場合）に、管理者へ保有データの削除を不当な遅延なく要求できます。第12条(3)には厳格な期限があり、請求受領後1か月以内に対応しなければなりません。この期限は、要件が複雑または件数が多いなど本当に複雑な場合にのみ、さらに2か月延長可能です。ただし、最初の1か月以内に延長理由をデータ主体へ通知する必要があります。

HRに関しては、次の2つの運用上の結果があります：

1. どの写真がどこにあるか把握する必要があります。イベントメディアがスマホ・チャット・クラウドドライブに散在していると、1か月後の削除要請への対応は手作業で崩壊します。1つの管理されたギャラリーで明確な削除フローを持てば、1回の操作で済みます。

1. 同意の撤回は、同意取得と同じくらい簡単である必要があります。法的根拠が同意である場合、従業員はそれを撤回でき、必要に応じて他の法的根拠がない限りデータを削除しなければなりません。

ベンダー評価では必ず直接確認します。特定人物のコンテンツを要請時に法定期限内で削除できますか、かつその約束を示せますか？ GathmoはGDPR準拠の削除対応がモデルの一部で、全ティアで法定期限内に実行されます。調達観点では、実運用で発生した時にではなく、削除手順を文書化して取得しておくことが重要です。

国際的なイベントや米国ベースのツールはどうなりますか？

参加者が複数のEU加盟国に分散していてもGDPRは適用されます。EU内の内部国境は法的評価を変えません。重要なのはデータの送信先であり、ここでプラットフォーム選定は機能比較ではなくコンプライアンス判断になります。　EUデータ所在がB2B調達で重要になる理由が、購買プロセスでの影響を整理しています。

EU外への個人データ移転は、適切性決定（Art.45）または標準契約条項（Art.46）等の適切な保障があり、執行可能な権利と救済が担保される場合のみ合法です。2026年半ばの状況では、2023年7月採択のEU-USデータプライバシーフレームワークは有効で、2025年9月にEU一般裁判所が最初の提訴を退け、現在はEU司法裁判所で上訴中（審理日未定）です。したがってDPF認定の米国組織への移転は可能ですがリスクゼロではなく、SCCと移転インパクト評価が実務的な保守策です。

移転の問題を根本的に避ける最もシンプルな方法は、最初からEU内でデータを保持することです。この点で市場は明確に分かれます。2026年6月時点の公開情報に基づく比較結果は以下です。

• 複数の一般的なツールは明示的に米国拠点です。たとえばGuestCamはデータが米国ベースのクラウドに保存され、EU/欧州の選択肢がないと明記しています。KululuはGoogle Cloud（Firebase）米国サーバーに主要コンテンツを保存。Fotifyは米国デラウェア法人が運営しています。
• EUにホストされているのは数が少ないグループです。EventPics（オーストリア企業運営、EU地域でのホスティング）とJoinMyMoment（ドイツ、フランス、AWSフランクフルトにEU/EEAサブプロセッサーを持つ）は、EU居住を明示的に示す例です。
• 一部のツールはデータの保存先を明確に示しておらず、調達チームにとってそれ自体が警告サインです。ベンダーがホスティング地域を説明できない場合、データ移転の評価を完了できません。

Gathmoの立ち位置はこの懸念に対して設計されています。データレジデンシーはEU内、オブジェクトストレージもEU管轄、メインデータベースはフランクフルト、EUコンピュートを採用し、プロセッサーとのDPAを整備。HRまたは調達チームが「従業員データはヨーロッパに保たれるか」という前提質問を持つ場合、法務に提示できる“はい”を示せます。しかも根拠は拠点名のデータセンター、処理者DPAであり、単なるマーケティング表現ではありません。複数のベンダーが欧州サーバーをうたうため、差別化要因は検証可能な証拠と署名済みDPAです。

あなたがコントローラーです。あなたのプロセッサーのDPAはどこにありますか？

これは購買プロセスで欠かせない確認です。外部ツールがあなたの委託に基づきあなたの指示で個人データを処理する場合、関係はコントローラー（事業者）と処理者（ツール）となり、GDPR第28条3項により、拘束力のある書面契約（DPA：データ処理契約）が必要です。

その契約は、ただ通してしまう定型文ではありません。第28条(3)は、処理の目的・期間・性質・目的、データの種類とデータ主体の分類、管理者の権利と義務を明確に定めることを求めます。さらに、処理委託者には具体的な義務を課さなければなりません。すなわち、文書化された指示に基づく処理、機密保持、第32条に基づく安全対策、サブプロセッサーの条件、データ主体権利のサポート、サービス終了時のデータの削除または返却、監査への対応。

要点は、あなたの組織が管理者、写真ツールが処理者であり、従業員の写真が扱われる前にGDPR準拠DPAが必要です。DPAを提示できないベンダーはEU企業では利用できません。　イベント技術のデータ処理契約で確認すべき点が、実際に効いてくる条項を順に扱っています。

評価で最も価値の高い問いはこれです。

• GDPR第28条に基づくDPAを提示できますか？（「何ですか？」という返答なら、その場で中断してください。）
• 下位のサブプロセッサーとその所在を明示しますか？
• 契約終了時にデータの削除または返還を保証しますか？

GathmoはDPAを提供します。イベント単位の各ティアでは要請に応じて、B2B Studio、Agency、Enterpriseでは契約に含まれます。法務向けに重要なのは、市場全体で専用のダウンロード可能なDPAと公開されたサブプロセッサー一覧は例外的で、消費者向けツールの多くは提供していないことです。　企業イベント撮影のためのGDPRチェックリストが、これらを担当者が順に確認できる形にまとめています。

QRコードそのものについてのひと言

ネームタグ、テーブルカード、ステージサイネージなどで読み取り可能なコードを使って写真を集める場合、実用性を保つための仕様があります。アップロードページは、同時にGDPR第13条情報提供の掲載場所としても最適です。ネームタグやバッジは最小で2×2cm（2.5×2.5cmだと腕で触れる距離で見やすい）、会場の奥から読むステージバナーはもっと大きくしてください。必要なクワイエットゾーンを確保し、明るい背景に濃いコードを使い、印刷し大量発注する前に必ず実サイズでテスト印刷とスキャンを行ってください。スキャンできないコードは写真を失うだけでなく、ゲストをフラストレーションの中で別ルートへ追いやり、同意説明から遠ざけてしまいます。