花嫁・花婿向けGDPR解説：EU法下でゲスト写真はどう扱われるか

結婚式は人生で最も写真が撮られる日です。ゲストの携帯から、何百枚もの写真、いくつかの動画、準備していれば愛する人たちからの音声メッセージが流れます。美しい体験ですが、EU法上は他人の個人データを大量に扱うことになり、あなたが管理責任を負います。

実際よりも大ごとに聞こえるかもしれません。結婚式の写真を集めるために弁護士を雇う必要はありませんし、Renateおばさんがぼやけたケーキの写真をアップロードしたからといって、法律違反になるわけでもありません。ただし、ゲストには子どもや高齢の親族、オンラインに自分の姿が載ることを内心嫌がる人もいます。GDPRが実際に何を求めているのか、そして「もともとする予定だったこと以外には、何も必要ない」と言えるように設定する方法を理解しておく価値はあります。

このガイドはカップルとそのサポート担当者向けで、コンプライアンス責任者向けではありません。法的助言ではありません。具体的な事案は資格のある専門家に確認してください。ただし以下の各法的ポイントはGDPRの特定条文に紐付けているため、根拠を自分で確認できます。

結婚式写真はGDPRの対象になりますか？

率直に言うと、想像ほど多くはありませんが、ゼロではありません。

GDPR（EU一般データ保護規則）では、「自然人が純粋に個人的または家族的活動の一環として行う処理」（条2(2)(c)及び考慮要件18）に免除規定があります。ゲストが自分のスマホに自分の結婚式写真を保存し、個人的な思い出として残す行為は、家事・家庭内例外の範囲内に明確に該当します。あなたが個人的にアルバムを保管する場合も同様です。

2つのことがその安心地帯から引き戻します：

1. 外部公開。例外規定は厳しく解釈されます。Ryneš事件（C-212/13）では、EU司法裁判所は「私的環境から外部へ向けて行う」処理（当該事案では公共空間を覆う監視映像）は、純粋な私的活動とはみなせないと判断しました。結婚式に当てはめると、他人の写真をクローズドな私的サークルを超えて公開（公開Instagramグリッドや公開Webギャラリーなど）した時点で、家庭内例外の範囲外になり、GDPRの全義務が適用される可能性が高くなります。

1. 使用するツールに免責はありません。家庭内例外は個人を保護しますが、プラットフォーム提供会社は保護されません。写真を収集・保存するアプリは、いずれもGDPRの対象となる個人データを処理します。したがって、あなたの写真ツールがどこでどのように運用されるかが、自社の書類よりも本質的に重要です。

つまり、招待した人だけと共有するプライベートアルバムなら軽快です。誰でも閲覧できる公開状態なら重くなります。基盤となるツールは常に提供範囲内で、そこが最も慎重に選ぶべきポイントです。

写真を収集するには全員の同意が必要ですか？

これは主催者が不安になる質問ですが、朗報として、通常の写真で同意を法的根拠にすることはほとんどありません。

GDPR第6条1項により、あらゆる処理は法的根拠が必要です。結婚式では重要なのは次の2つです。

• 同意（Art.6(1)(a)）は「具体的で、十分な情報に基づき、自由に与えられたもの」でなければなりません。全てのゲストに対してアップロード前に文書化された同意を取得するのは現実的ではなく、通常の非機微性イベント写真では必須ではありません。

• 合法的利益（GDPR第6条1項(f)）：処理があなたの利益のために必要で、かつその利益が「データ主体の利益または基本的権利・自由」によって「上回られない」場合に成立します。通常の感度の高くない結婚写真について、主催者は通常、正当利益を根拠にできます。招待者を含む私的な祝典の思い出を収集することは、定型的に合理的な利益です。

レジストリの要点は明快です。通常のイベント写真（特別カテゴリ以外）ならホストは一般的に正当利益を根拠にできますが、バランスが取れない場合やセンシティブデータが関与する場合は同意がより安全で必要です。実務上は、子どもの画像や明確に撮影拒否した人には特に注意します。

同意が絶対条件となる部分があり、ここは独立したセクションとして扱う価値があります。

顔認識の落とし穴

顔の通常の写真は自動的に「特別カテゴリーデータ」とはなりません。41では、写真は「特別カテゴリーデータの処理」とみなされるべきではないと明確に述べています。顔写真がより厳しい第9条の対象となるのは、「自然人を一意に識別または認証できる特定の技術手段によって処理される」場合だけです。

要点：写真の保存と表示自体は問題ありません。顔認識で人物を照合する場合は第9条1項の生体情報処理に該当し、原則として第9条2項の特定の法的根拠（通常は各本人の明示的かつ個別同意）が必要です。結婚式写真ツールの中には顔検索を看板機能として打ち出すものもありますが、それを有効にすると同意要件の負荷が大きく重くなります。

これはGathmoの意図的な設計です。Gathmoには顔認識検索はありません（現時点ではロードマップ上の機能）。ゲストの顔はバイオメトリックの検索可能なテンプレートに変換されることなく、単なる写真として保存・表示されます。デフォルトで通常写真の範囲内にとどまります。

ゲストに何を伝える必要がありますか？

個人データを直接取得する場合、GDPR（Art.13(1)）は、収集時点でデータ管理者、収集目的、法的根拠、保存期間、権利内容を明確に伝えることを求めます。結婚式であれば、各テーブルに法的告知文を貼るのではなく、ゲストがスキャンしてアップロードする際に分かりやすい1行で示すのが実務的です。

これくらいのシンプルなもので十分です。

優れた写真ツールでは、アップロード画面で必要な項目を示し、結婚式当日にプライバシー文書を作成する必要がありません。これは形式に関する話ではなく、誰も写真の行き先に戸惑わないための工夫です。

誰かが自分の写真を削除してほしいと依頼しました。どうしますか？

ゲストには消去権、つまり「忘れられる権利」（Art. 17(1)）があります。誰かがアルバムから離脱した場合、または画像を保持する正当な理由がなくなった場合、当人はあなたに個人データの削除を求めることができ、あなたは「不必要な遅延なく」対応しなければなりません。

期限は？GDPRには明確な上限があります。要請から1か月以内に対応（第12条3項）する必要があり、複雑案件や件数が多い場合は最初の1か月以内に延長通知を行えばさらに2か月延長できます。結婚式ではほぼ複雑なケースはなく、写真を見つけて削除すれば済みます。期限は存在しますが、ほとんど使い切ることはありません。

実際には、主催者としてダッシュボードから個別写真や特定ゲストの全投稿を削除できるプラットフォームの方が圧倒的に扱いやすいです。グループチャットで「それを削除してください」と交渉する必要がありません。Gathmoのアルバムはレビューキューを備えた主催者管理型で、静かな「これを外してほしい」という依頼にも2クリックで対応できます。

すべてを永久保存することはできません（そう思いたくても）

GDPRの保存期間制限およびデータ最小化の原則（第5条1項(e)、(c)）では、個人データは「必要以上に長く」保持してはならず、「必要な範囲」に限定すべきと定めています。締切り日なしでゲスト画像を無期限保存することは、まさに法が避けるべき状態です。

感情的なポイントはここです。結婚式の文脈では「この声と顔をずっと残したい」という想いが強いものの、法令とロングリングのバランスを取るには、①十分に広く明確な保存期間を設定し、②フル品質のアルバムを自分用の恒久バックアップとして保存し、③共有クラウド版は計画的に期限切れにする、という流れが王道です。長期保管はあなたのドライブに、クラウドには適切な終了日を持たせます。

Gathmoの保存機能はまさにこのために設計され、プランに応じて拡張されます。

保存期間が終了すると、共有アルバムを無期限でオンラインに残すべきではありません。Gathmoの製品仕様では、ティアごとに一定の保存期間が明示されており、（すべての有料ティアで）バッチZIPダウンロードが思い出を保全する方法です。これによりフル品質のままあなた自身のストレージに保存され、\"永遠\"は本来あるべき場所に置かれます。

多くの主催者が見落とすポイント：写真が実際どこに保存されているか

すべてを丁寧に準備していても、ホスティングが国際移転の問題を引き起こすツールを選ぶことはあります。特にドイツやフランスの結婚式では、データの所在確認は最重要項目の一つです。

個人データがEU外、例えば米国のクラウドへ移転される場合、GDPR第V章の特定条件（第45条の適格性認定、または第46条の標準契約条項などの十分な保障）を満たす必要があります。法的背景は波乱続きです。Schrems II（C-311/18）では旧Privacy Shieldは無効化されましたがSCCは存続。2023年7月施行のEU-US Data Privacy Framework適格性決定も、まだ争いが継続中で、EU一般裁判所は2025年9月に第一の異議を退けましたが、CJEUでの上訴は保留です。現実には使えますがリスクゼロではなく、結婚式当日に悩みたくない論点です。

その疑問自体を回避する最も確実な方法は、最初からEU内にデータを保持することです。そうすれば第三国への移転の有無を判断する必要がありません。

ここが写真共有ツールの真の違いです。データ要約（2026年6月検証、ネイティブ通貨、"2026年6月時点"）では、明確な分岐点が見えます：

• 明確に米国でホスト：GuestCam は米国ベースのクラウドストレージを明示、Kululu は主に米国の Google Cloud（Firebase）に保存、Wedibox と Fotify は米国企業です。

• EU居住地が不明または未確認：Guestlenseなど複数の競合はデータ所在を明示していません。競合のEU居住性が不確かな場合は、推測せず「未確認」と扱うのが安全です。

• EU内ホスティング: ドイツおよび欧州のツール群（EventPics、FridaySnap、Weddies、Lense、JoinMyMomentなど）がEU内でホスティングを行っています。

Gathmoは最後のカテゴリに明確に属し、曖昧なバッジではなく実証データを提示します。写真、動画、音声メッセージはEUデータ居住で保管されます。つまり、EU管轄のオブジェクトストレージ、フランクフルトのPostgresデータベース、EU内コンピュート、そして処理者との署名済みDPAです。ここで重要なのは厳密さです。EUホスティングは実在しますが、Gathmoだけの特権ではありません。強みは、EU居住ストレージ＋全プラン対応音声ゲストブック（Grandでは全文転記付き）＋ホスト管理のモデレーション済みアルバム、を1つにまとめている点です。

責任分担の要点

GDPRの観点では、お客様（カップル/ホスト）がコントローラーです。データをどのような目的で、どのように処理するかを決定するのはあなたです。プラットフォームはあなたの指示の下で動く処理者です。この関係は、セキュリティ、サブプロセッサー、ゲストの権利支援、サービス終了時のデータ削除または返却を定めた書面によるデータ処理契約（Art.28(3)）でガバナンスされるべきです。Gathmoの製品情報は、ホスト向けDPAの有無を示しています。どのベンダーでも「ホスト向けDPAを提供していますか？」と直接確認してください。

子どもがアップロードする場合に追加で確認すべき点。ドイツではオンラインサービスのデジタル同意年齢は16歳（例外なし）、オーストリアは14歳（§4(4) DSG）であり、それ以下では保護者同意が必要です。一般的な結婚式ではまれですが、これは、未成年者データを通常の写真以上に高負荷で処理する機能を有効にしないべき理由の一つです。