Galleria ospiti conforme al GDPR per eventi con fotobox: di cosa hanno davvero bisogno i gestori

Le foto degli ospiti di matrimoni ed eventi aziendali sono dati personali — spesso addirittura con un chiaro riferimento al volto. Chi, come gestore di fotobox, elabora, conserva e condivide queste immagini, diventa automaticamente parte di un processo rilevante ai fini della protezione dei dati. Questo riguarda non solo le grandi aziende, ma ogni ditta individuale che noleggia una box.

I tre errori più comuni con le gallerie fotografiche

• Link di galleria indicizzati pubblicamente. Se un link è raggiungibile senza protezione di accesso o con un URL facilmente indovinabile, anche persone estranee possono accedere alle foto degli ospiti.
• Spazio di archiviazione cloud senza accordo di trattamento dati. Se si utilizza un fornitore con cui non esiste un DPA, manca la base giuridica per l'elaborazione delle foto dell'evento per conto terzi.
• Nessun termine di cancellazione chiaro. Foto conservate senza limiti, senza che clienti o ospiti sappiano per quanto tempo e perché, sono un punto critico ricorrente nelle richieste dei clienti aziendali.

Cosa succede quando le cose vanno male

Uno scenario ipotetico, ma realistico: dopo l'evento, un ospite scansiona il codice QR sulla propria card evento — ma invece di finire nella propria galleria, perché il link era indovinabile o addirittura indicizzato da un motore di ricerca, finisce nella galleria di un evento completamente diverso della stessa settimana. Per le persone coinvolte non si tratta di una bagatella: si tratta di una violazione dei dati personali ai sensi del GDPR, con un potenziale obbligo di notifica all'autorità di controllo (art. 33 GDPR) e, a seconda della gravità, agli stessi interessati (art. 34 GDPR). Per il gestore, nel caso peggiore, ciò comporta oneri di documentazione, la necessità di spiegazioni al cliente e un danno reputazionale più difficile da riparare di qualsiasi guasto tecnico. Decisivo: il rischio non nasce da cattive intenzioni, ma da un singolo punto debole strutturale — un link indovinabile o indicizzato.

Cosa serve a una soluzione di galleria pulita

Quattro elementi fanno la differenza tra "in qualche modo risolto" e un processo che regge anche a una domanda critica:

• Link QR privati invece di cartelle aperte — accesso solo per le persone in possesso del link corretto, non individuabile tramite motori di ricerca.
• DPA con il fornitore del software — base contrattuale chiara su chi elabora quali dati e per quanto tempo.
• Concetti di cancellazione definiti — una data di scadenza per evento, dopo la quale le foto vengono cancellate automaticamente o su richiesta.
• Hosting nell'UE — l'elaborazione dei dati all'interno dell'UE semplifica notevolmente l'argomentazione nei confronti dei clienti.

Il concetto di cancellazione nella pratica

Un concetto di cancellazione non deve essere complicato, ma deve essere concreto. "Cancelliamo prima o poi" non basta di fronte a una domanda critica. Ha senso una data di scadenza chiaramente comunicata per evento o pacchetto — ad esempio un numero fisso di giorni nella modalità di prova gratuita, seguito da cancellazione automatica, mentre la conservazione in caso di utilizzo a pagamento segue il periodo concordato con il cliente. Più importante della scadenza esatta è il fatto che ne esista una — e che sia messa per iscritto nell'offerta o nel DPA, invece di essere improvvisata solo su richiesta. I clienti che ricevono in anticipo una risposta chiara a "Cosa succede alle foto dopo?" fanno domande critiche più raramente rispetto ai clienti che devono chiederlo da soli.

Chi è effettivamente responsabile?

Come gestore, resti di norma il titolare del trattamento ai sensi della protezione dei dati per le foto dei tuoi eventi — anche se utilizzi un software di terzi. Il fornitore del software agisce come responsabile del trattamento. Perché ciò funzioni correttamente dal punto di vista legale, serve un DPA tra te e il fornitore. Senza questo accordo, manca la base perché il fornitore possa elaborare le foto degli ospiti.

Checklist: cosa dovrebbe regolare un DPA con il fornitore del software

Non tutti i DPA sono ugualmente completi. Questi punti dovrebbero avere una risposta concreta prima di firmarlo o presentarlo ai tuoi clienti:

• Quali dati esattamente vengono elaborati (foto, eventualmente nomi in caso di flussi di approvazione)
• Dove vengono conservati i dati — esplicitamente all'interno o all'esterno dell'UE
• Per quanto tempo i dati vengono mantenuti prima di essere cancellati automaticamente
• Chi viene informato in caso di violazione dei dati ed entro quale termine
• Se e quali sub-responsabili vengono impiegati
• Come avviene la cancellazione dopo la fine o la disdetta del contratto

Consiglio pratico per le richieste dei clienti aziendali

Negli eventi aziendali, un DPA viene ormai spesso richiesto attivamente prima ancora che un'offerta venga accettata. Chi può offrire subito un documento già pronto appare notevolmente più professionale rispetto ai concorrenti che devono improvvisare solo dopo la richiesta. Lo stesso vale per il termine di cancellazione: indicarlo senza essere sollecitati nell'offerta risponde alla domanda prima ancora che venga posta.

Questo articolo non sostituisce una consulenza legale. Per una valutazione vincolante del tuo modello di business specifico, si consiglia una verifica individuale in materia di protezione dei dati.