企業イベント写真向けGDPRチェックリスト：イベントプランナー向けガイド

400名規模の会議まであと3週間。アジェンダは確定し、ネームタグは印刷中、法務から「選んだ写真収集ツールはGDPR準拠か？」の確認が入りました。法学の学位は不要です。実行し確認できるチェックリストを作ることが必要です。

これがチェックリストです。イベント企画、HRマネージャー、調達担当がEU/EEAで法人イベントを運営する際のためのもので、識別可能な参加者の写真・動画収集は最初の画像が上がった時点で規制された個人データ処理になります。以下の項目をイベント前に確認すれば、実務的な調達レビューで問われる義務（法的根拠、インフォメーション、保存期間、削除、国際移転、DPA）を、法務が検証可能な形で網羅できます。

全体で6つのセクションがイベントの流れ順になっています。各セクションははい/いいえの簡易チェックリストです。すべてにチェックを入れればEUの調達チームが確認するポイントを満たせますが、1つでも空欄があるとDPOがその箇所を必ず指摘します。開始前の範囲上の注意として、これらのチェックは通常の写真・動画ギャラリー（保存と表示）を想定しており、顔認識は含みません。顔照合で参加者のグループ化や識別を行う場合は、はるかに厳格な枠組みになります。詳細はセクション1の専用チェックをご確認ください。

セクション1 — ツール選定前のベンダーチェック

ここが企業イベントと結婚式・誕生日イベントの最も大きな違いです。選ぶプラットフォームは単なる機能選定ではなく、法務チームが監査するデータ処理の判断です。候補ベンダーは全てこのチェックを行ってください。

☐ このベンダーは第28条に基づくDPA（データ処理者協定）を提供しますか？外部ツールがあなたの指示で個人データを代行処理する場合、関係は管理者対処理者となり、GDPR第28(3)条は拘束力ある書面契約を要求します。契約は処理の目的、期間、種類、データ主体のカテゴリ、そして管理者としてのあなたの権利を定め、処理者に明確な義務（文書化された指示に沿った処理、機密保持、セキュリティ、下請け条件、利用者権利支援、終了時の削除または返却、監査対応）を課す必要があります。DPAを提示できないベンダーは、EU企業は利用できません。(GDPR Art. 28(3).)

☐ ベンダーはサブプロセッサーとその所在を明示していますか？サブプロセッサーを利用するためのDPA条件は第28条の対象です。誰がデータに触れ、どの国からかが不明な場合、データ移転分析やベンダーリスク評価を完了できません。

☐ 契約終了時にデータを削除または返還することを、書面で契約上明示しますか？これは記事28条3項で処理者の義務として定められています。営業メールではなく契約書に明記してください。

☐ データはどこにホスティングされているか、ベンダーは明確に示していますか？ホスティング管轄を明言できないベンダーでは、移転分析ができません。『開示しません』は不合格として扱うべきです。（セクション5で回答に対する対応を説明）

☐ このツールは顔認識を使っていますか。使う場合、その法的リスクを本当に受け入れますか？これは見落とされがちな最重要チェックで、顔検索は利便性として販売されるためです。顔写真は自動的に「特殊カテゴリーデータ」になるわけではありません。Recital 51は、画像が生体データの定義に入るのは「特定の技術的手段により個人を一意に識別または認証できる場合に限る」と明記しています。

ただし、ツールが参加者をグループ化したり、セルフィーで「自分の写真をすべて見つける」を実現するために顔テンプレートを作成する場合、人物を一意に特定する目的で生体情報データを処理することになります。これは、特定の例外（通常は別途の明示的同意）がない限り、GDPR第9条(1)で禁止されています。一般的な写真よりも、はるかに高い同意のハードルになります。

この分野の競合の一部は顔認識検索を強調していますが、従業員を含む法人イベントでは、その機能はあなたが要求していない明示的同意という条件付きで、第9条該当の処理へと写真コレクションを変えてしまいます（GDPR第9条1項・趣旨51）。

セクション2 — 法的根拠を設定する

あなたは管理者です。組織が写真をなぜ、どのように処理するか決定します。処理ごとにArt.6に基づく法的根拠が必要です。通常のイベント写真では現実的な選択肢は2つあり、正しい選択が実効性のある対応と、ただの推測を分けます。

☐ アーティクル6に基づく法的根拠を特定しましたか。かつその利用に適切ですか？正当な利益（Art.6(1)(f)）は、処理があなたまたは第三者の利益に必要で、本人の権利より優先される場合に成立しますが、未成年者が関与する場合は保護が強化されます。同意（Art.6(1)(a)）は具体的・十分な情報に基づき・自由意思でなければならず、バランスが成立しない場合や機微なデータが関係する場合は最も安全で必要な根拠です。 (GDPR Art. 6(1)(a) と 6(1)(f)).

☐ 正当な利益を根拠にしている場合、バランス評価を実施して記録しましたか？「大丈夫だと思った」だけでは、文書化されたバランステストとは言えません。低リスクの内部向け資料（次回チームアップデートでの数枚のショット程度）では、正当な利益で十分な場合がありますが、実際に検討・記録されていることが前提です。

☐ 従業員向けの写真については、雇用関係を考慮しましたか？従業員は雇用者に依存しているため、規制当局はこの文脈での同意が本当に「自由に与えられたもの」か疑問視します。ドイツではBDSG §26が従業員データを直接規定しており、雇用関係上必要な場合の処理を許可し、雇用文脈での同意が有効な場合もあり得ると認めつつ、その自発性を評価し一般的には書面であることを要します。§26に基づく「必要性」はマーケティングや採用写真には通常不適切であり、対外用途では自由意志に基づき文書化された同意（拒否による不利益なし）というルートが防御上堅実です。（注：§26(1)の一部はEU法違反と判断されたため、処理はArt.6 GDPRを直接根拠とすることもあり得ます。これは宣伝写真を明確で明示的な同意に基づかせるべきもう一つの理由です。） (BDSG §26(1).)

確認すべき目安は次のとおりです：

• 低リスクの内部文書用途 → 適切な均衡審査を文書化すれば、正当利益で十分な場合があります。

• 外部向け、マーケティング、採用用途→明示的な任意同意、拒否しても不利益なし

セクション3 — 情報提供（透明性）を準備する

透明性は任意ではなく、誰も読まないサインでは不十分です。個人情報を本人から直接収集する場合、GDPR第13条1項は、収集時点で定義された情報一式の提示を求めます。これには管理者の身元と連絡先、処理の目的および法的根拠、そして正当な利益に依拠する場合の具体的な利益の内容が含まれます。（GDPR Art. 13(1)）

チェックリストの各項目をチェックしてください：

☐ 誰が管理者（あなたの組織）か、その連絡先、そしてDPO（存在する場合）。 ☐ 写真収集の目的（社内ニュースレター、イントラネットギャラリー、採用ページ）。 ☐ 法的根拠、正当利益の場合はその具体的内容。 ☐ 画像の保存期間。 ☐ 参加者の権利（異議申し立て、削除要求を含む）。

☐ 通知は撮影・アップロード時点で表示されていますか、それとも他の場所に隠れていますか？QRベースの収集フローでは、アップロードランディングページが自然な設置場所です。スキャンで参加者がアップロード画面に移動すると、情報はその場で提示され、同意（必要な場合）は文脈内で取得されます。アップロード時に同意を取得するツールなら、この確認項目を簡単に満たせます。

セクション4 — 開催前に保存期間を設定する

無期限の保存は、監査で指摘されるのを待っているようなものです。写真を保存できる期間には、第5条の二つの原則が適用されます。

• データ最小化（GDPR第5条1項(c)）：個人データは、目的にとって適切・関連性があり、必要な範囲内に限定されなければなりません。

• 保存制限（第5条(1)(e)項）—目的達成のために必要な期間を超えて、識別可能な形でデータを保有してはなりません（GDPR第5条(1)(c)項および5(1)(e)項）。

☐ クレームが来た後ではなく、イベント前に保留期間を決めましたか？固定期間で自動削除されるアルバムは、誰かに共有ドライブの削除を任せるのではなく、保存制限を確実に実装します。目的特化の定義済み自動保持を持つツールは、場当たり的なフォルダより優れています。参考までに、Gathmoのイベント別ティアは明示的な有限保存期間を持ち、Freeは30日、最上位は365日です。いずれを選んでも、チェックすべき項目は同じで、データの終了日を明確に決めることです。

☐ 必要なものだけを収集していますか？最小化はそれ自体がチェック項目です。ツールが目的のないメタデータやメディアを取り込むなら、正直にその項目はチェックできません。

セクション5 — 国際間データ転送とデータ所在

参加者が複数のEU加盟国にまたがる場合でも、同じGDPRチェックリストを維持します。より重要なのはデータの行き先です。そこがツール選択を遵守判断にする分岐点です。

☐ EU外へのデータ持出があるか、またある場合の合法的な移転手段があるかを把握していますか。EU外への移転は、適正性決定（Art.45）または標準契約条項（SCC: Art.46）などの適切な保障がある場合のみ合法で、執行可能な権利と救済措置が必要です。2026年半ば時点で、EU-US DPF適正性決定（2023年7月採択）は依然有効で、EU一般裁判所は2025年9月に初回訴訟を退け、現在上訴がEU司法裁判所で審理予定日未定で保留中です。DPF認定の米国組織への移転は可能ですが、リスクゼロではありません。SCCと移転影響評価（TIA）は慎重な代替策として残ります。（GDPR Art.45、Art.46(2)(c)；CJEU C-311/18 Schrems II；EU委員会DPF適合決定2023。）

☐ 簡単な解法：データは最初からEU内に置かれているか？転送問題を避ける最も簡単な方法は、データを最初からEU内に保持することです。2026-06-08時点の各社公開情報を見ると:（続く）

• 人気ツールの中には、明確に米国拠点のものがあります。GuestCamはEU/欧州向けオプションなしでデータを米国クラウドにホストすると明記しており、KululuはGoogle Cloud（Firebase）の米国サーバーに主要コンテンツを保管、Fotifyはデラウェア州の米国企業が運営しています。
• より小規模な運用ではEU内ホスティングのサービスもあります。EventPics（オーストリア企業運営、EUリージョンでホスティング）とJoinMyMoment（EU/EEAのサブプロセッサーとしてドイツ、フランス、AWSフランクフルトを利用）は、EUデータ居住地を明示しています。
• 一部のツールはデータの保管先を明示しません。これは調達上の赤信号です。なぜなら、空白のままではデータ移転評価を完了できないからです。

Gathmoはまさにこの検証向けに構築されています。オブジェクトストレージのEU居住、フランクフルトの主データベース、EU内コンピュート、処理者とのDPAを有し、居住性は名指しのデータセンターと契約DPAという証拠で示されます。単なるマーケティングバッジではありません。とはいえ、調達チームは「EUサーバー」との表示そのものではなく、検証可能な根拠と署名済みDPAで確認すべきです。

セクション6 — 消去リクエストに備える

これは忘れられる権利であり、断ってよいご厚意ではありません。GDPR第17条1項では、必要性がなくなった場合や、同意を撤回され他の法的根拠がない場合など、要件が成立すれば、データ主体は合理的に短期間（遅滞なく）本人データの削除を要求できます。厳格な期限もあります。第12条3項では、受領後、遅滞なく、遅くとも1か月以内に対応することが求められ、真に複雑または大量の場合のみさらに2か月まで延長可能です。ただし、1か月以内に本人へ延長と理由を通知した場合に限ります。（GDPR第17条1項、同12条3項）

☐ 各写真がどこに保管されているか把握していますか？イベントメディアがスマホ、グループチャット、共有ドライブに分散していると、1か月以内の削除要請は手作業の大混乱になります。単一の管理済みギャラリーで明確な削除フローを用意すれば、たった1アクションで済みます。これは一本化する実務上の理由そのものです。

☐ もし根拠が同意なら、取り下げも提供が簡単なほど簡単でなければなりません。参加者は同意を撤回でき、その後（他の法的根拠がない限り）削除が必要です。撤回手順は理論上ではなく実運用で機能する必要があります。

☐ ベンダーは法定期限内の削除対応を約束していますか？直接質問し、文書化してください。特定の人物のコンテンツを要請に応じ法定期間内に削除できるか、その保証を行うか。GathmoではGDPR準拠の要請時削除はモデルの一部です。この市場では専用DPAと公開されたサブプロセッサー一覧は例外であり規範ではないため、契約前に削除の経路を文書で確定しておくことが要点です。

実務上のポイント：バッジ上のQRコード

参加者名札、卓上カード、ステージサイネージでスキャン可能なコードを使う場合、そのリンク先アップロードページにも第13条の通知を置く必要があります。スキャンできないコードは写真を失うだけでなく、同意表示にたどり着く前に参加者をイライラさせます。仕様例：ネームカードやバッジでは最小2×2cm（アームレングスでは2.5×2.5cmが扱いやすい）、ステージバナーは会場奥から読むのでより大きく。適切なクワイエットゾーンを確保し、明るい背景に暗いコードを使い、数百枚印刷前に実寸テストを必ず行います。

1ページで確認するチェックリスト

これを印刷してDPO（データ保護責任者）に持って行ってください

1. ベンダー — DPA（Art.28）提供済み／下請業者の明示あり／削除・返還をコミット／ホスティングを明示／顔認識は理解され意図的に選択済み。

1. 法的根拠：第6条の根拠を特定すること。正当な利益の場合は利益衡量テストを記録すること。社員の写真が対外的用途になる場合は、文書化された同意に基づくこと（Art. 6, BDSG §26）。

1. 透明性 — 第13条の通知を準備し、完全な内容をアップロード時に表示。

1. 削除 — あらかじめ定義された有限の保存期間・必要な情報のみ収集（Art. 5）

1. データ移転—データがEUを出るかどうか、合法的な移転手段を使っているか、またはEU内に留めているか（第45–46条）が明確であること。

1. 消去 — すべてのメディアが1か所に集約 / 同意は取り消し可能・取り消し可能です / ベンダーは1か月以内に削除することを約束します（Art. 17, Art. 12(3)）。