Per quanto tempo si possono conservare le foto di un matrimonio, di un evento aziendale o di una conferenza? La domanda si ripresenta a ogni evento, e la risposta non è né «per sempre» né «il meno possibile». Il GDPR fissa un principio chiaro (il tempo deve essere proporzionato alla finalità), ma lascia a ogni titolare del trattamento il compito di stabilirlo. Questa guida offre punti di riferimento concreti, per tipo di evento, senza inutile gergo giuridico.
Il principio GDPR di limitazione della conservazione
L'articolo 5.1.e del GDPR pone la regola detta di «limitazione della conservazione»: i dati personali possono essere conservati solo per il tempo necessario alla finalità per cui sono stati raccolti. Una foto è un dato personale non appena vi compare una persona identificabile: un volto riconoscibile, una targa, un badge con il nome leggibile.
In concreto, questo significa due cose. Prima di tutto, bisogna definire in modo esplicito la finalità prima della raccolta: «ricordo personale degli sposi», «comunicazione interna dell'azienda», «promozione della prossima edizione della conferenza». Poi bisogna fissare un tempo coerente con questa finalità, e rispettarlo. Conservare all'infinito «per ogni evenienza» è una violazione.
La CNIL, l'autorità francese per la protezione dei dati, distingue tre fasi nel ciclo di vita di un dato: il periodo di utilizzo attivo (il dato serve alla finalità ogni giorno), il periodo di archiviazione intermedia (il dato è conservato per rispondere a un obbligo legale o contrattuale, ma non è più consultato liberamente) e la cancellazione definitiva. Per le foto di eventi, l'archiviazione intermedia è raramente giustificata: di norma si è o nell'utilizzo attivo o nella cancellazione.
Il giusto riflesso: chiedersi ogni sei mesi «perché conservo ancora queste foto per altri sei mesi?» e accettare di eliminarle appena non c'è più un motivo documentato.
I tempi consigliati per ogni caso d'uso
Non esiste un tempo di legge unico per le foto di eventi. Ma la pratica, incrociata con le raccomandazioni della CNIL, fa emergere intervalli ragionevoli a seconda del contesto.
I tempi a colpo d'occhio, prima del dettaglio per caso d'uso:
| Foto | Finalità | Tempo indicativo |
|---|---|---|
| Galleria di matrimonio condivisa con gli invitati | Che ognuno recuperi le proprie foto | Da 6 a 18 mesi dopo il matrimonio |
| Archivio personale degli sposi | Ricordo personale | Nessun limite fissato |
| Backup del fotografo di matrimonio | Ristampe, album aggiuntivi | Da 1 a 5 anni, secondo il contratto |
| Evento aziendale e team building | Comunicazione interna | Da 1 a 3 anni |
| Relatori di una conferenza, liberatoria firmata | Replay, gallerie d'archivio | Da 5 a 10 anni, secondo il contratto |
| Partecipanti a una conferenza in campo largo | Promozione delle edizioni successive | Da 2 a 5 anni |
| Gallerie clienti di un fotografo | Prodotto da consegnare per contratto | Da 1 a 5 anni dopo la consegna |
Foto di matrimonio (lungo termine, base giuridica adatta alla coppia)
Per un matrimonio la finalità è eminentemente personale: conservare il ricordo di un momento unico. La base giuridica più solida è in genere il contratto (tra la coppia e il fotografo) oppure il legittimo interesse della coppia quando gestisce la galleria da sola.
In pratica, questi tempi sono difendibili:
- Galleria condivisa con gli invitati: da 6 a 18 mesi dopo il matrimonio, il tempo che ognuno recuperi le proprie foto. Oltre questo limite, la finalità di condivisione è esaurita.
- Archivio personale degli sposi: senza limite esplicito, finché gli sposi lo desiderano. Sono i loro dati e la loro finalità.
- Backup presso il fotografo professionista: in genere da 1 a 5 anni secondo il contratto, per consentire ristampe o integrazioni dell'album.
Il punto di attenzione riguarda gli invitati che compaiono nelle foto. Se chiedono di rimuovere un'immagine che li riguarda (diritto alla cancellazione, vedi più avanti), il responsabile della galleria deve provvedere entro un tempo ragionevole, anche se la coppia non è d'accordo. Qui il diritto individuale prevale sul ricordo collettivo.
Foto di eventi aziendali e team building (breve e medio termine, da 1 a 3 anni)
In un contesto professionale interno, la finalità è in genere la comunicazione interna o la valorizzazione HR: newsletter, intranet, guida di benvenuto per i nuovi assunti, presentazioni ai clienti. La CNIL ritiene che un tempo da 1 a 3 anni sia coerente con questo tipo di uso.
Le foto prodotte durante le attività di un evento aziendale, caccia al tesoro fotografica, sfide o best-of per la newsletter interna (vedi le nostre idee di team building con le foto), rientrano in questa finalità: comunicala ai partecipanti già al brief.
Oltre i 3 anni, le foto perdono la loro rilevanza operativa: i volti sono cambiati, gli uffici anche, il messaggio non funziona più. Continuare a conservarle espone a un rischio senza alcun vantaggio. Per un evento aziendale annuale, una regola semplice: si conservano le foto fino all'edizione N+2, poi si eliminano quelle dell'edizione N.
Centralizzare le foto di un evento aziendale in un unico posto, con una data di raccolta tracciata e un meccanismo di cancellazione di gruppo, semplifica enormemente l'applicazione di questa regola. Condividerle tramite WhatsApp o chiavette USB rende la conformità quasi impossibile: ogni partecipante ha la propria copia, fuori da ogni controllo. L'articolo Centralizzare le foto di un evento aziendale senza un team IT illustra le opzioni per organizzare questa centralizzazione in modo semplice.
Un caso particolare: i dipendenti che lasciano l'azienda mantengono il diritto alla cancellazione sulle foto in cui compaiono. Una procedura di cancellazione deve restare accessibile anche dopo la loro partenza.
Foto di conferenze pubbliche (variabile a seconda della cessione dei diritti)
Per una conferenza aperta al pubblico, la situazione si complica. Convivono diverse categorie: relatori (spesso con una liberatoria per i diritti d'immagine firmata), partecipanti identificabili (in genere sulla base del legittimo interesse dell'organizzatore o del consenso), VIP e ospiti sensibili (caso per caso).
Per i relatori che hanno firmato una cessione esplicita, il tempo può essere lungo: da 5 a 10 anni è frequente per i replay video e le gallerie d'archivio. Fa fede il contratto.
Per i partecipanti ripresi in campo largo, l'intervallo abituale è da 2 a 5 anni, il tempo di promuovere le edizioni successive. Oltre questo limite il legittimo interesse diventa debole e si impone la cancellazione.
Per gli ospiti sensibili (minori, personalità politiche, persone che hanno chiesto esplicitamente di non essere fotografate), bisogna poter individuare e rimuovere rapidamente le loro immagini. È uno dei casi in cui il riconoscimento facciale, usato per gestire il diritto alla cancellazione, può paradossalmente facilitare la conformità, perché permette di trovare in pochi secondi tutte le foto di una stessa persona.
Gallerie clienti dei fotografi professionisti (da 1 a 5 anni dopo la consegna)
Per un fotografo professionista, la galleria del cliente è un prodotto da consegnare per contratto. Il tempo di conservazione è in genere fissato dal contratto stesso, e l'intervallo classico è da 1 a 5 anni dopo la consegna finale, per consentire ristampe, album aggiuntivi o cessioni di diritti occasionali.
Superato questo periodo, il fotografo deve o chiedere un rinnovo esplicito del consenso, o eliminare gli originali. La pratica di conservare «ad vitam» i RAW di tutti i vecchi clienti non è più difendibile dall'entrata in vigore del GDPR nel 2018.
L'articolo Riconoscimento facciale e fotografi: conformità al GDPR illustra gli obblighi specifici dei fotografi professionisti, in particolare quando usano uno strumento di selezione per volto per consegnare le gallerie.
Un buon contratto con il cliente indica in modo esplicito: il tempo di conservazione, la procedura di cancellazione alla fine di questo periodo e la possibilità per il cliente di chiedere una copia d'archivio prima della cancellazione.
Resta da scegliere lo strumento di consegna sapendo dove archivia i file: il nostro confronto delle alternative a Pixieset per la consegna delle gallerie mette a confronto l'hosting e il quadro GDPR delle principali piattaforme.
Il diritto alla cancellazione e la sua gestione operativa
L'articolo 17 del GDPR dà a ogni persona identificabile in una foto il diritto di chiederne l'eliminazione, senza dover motivare la richiesta nella maggior parte dei casi. È l'obbligo più operativo del regolamento, e quello che pone più difficoltà nella pratica.
La richiesta può assumere diverse forme: un'email, una lettera, un messaggio sui social, perfino una richiesta a voce durante l'evento. Il titolare del trattamento ha un mese di tempo per rispondere (articolo 12.3 del GDPR), prorogabile di due mesi in caso di richiesta complessa.
Si pongono subito tre domande operative.
Chi riceve le richieste? Un indirizzo email dedicato (per esempio gdpr@esempio.com) deve essere pubblicato sulla galleria, sull'invito o sulla pagina dell'evento. Senza un punto di contatto identificabile, le richieste si perdono e il termine di un mese salta.
Chi elimina tecnicamente? L'organizzatore dell'evento, il fotografo, chi ospita la galleria? Il ruolo va assegnato prima dell'evento, non il giorno in cui arriva una richiesta. Se lo strumento di condivisione consente l'eliminazione singola (per foto) o per persona (tramite riconoscimento facciale), la gestione diventa molto più rapida.
Come verificare che la cancellazione sia completa? Le foto possono essere state scaricate, condivise su altri canali, inserite in supporti stampati. Il responsabile non è tenuto a rincorrere le copie fuori dal proprio perimetro di controllo, ma deve poter dimostrare di aver eliminato tutte le copie sotto il suo controllo. Conservare un registro delle cancellazioni (data, richiedente, foto interessate) è una buona pratica.
Per le organizzazioni che gestiscono molti eventi, mettere in piedi un flusso di conformità documentato, che includa il diritto alla cancellazione, fa risparmiare moltissimo tempo. La pagina Conformità Evokly illustra le funzionalità integrate che automatizzano una parte di questi obblighi.
Documentazione da produrre
Il GDPR non si riduce ai tempi: impone anche di documentare le proprie pratiche. Servono almeno tre documenti, da tenere aggiornati.
Il registro dei trattamenti (articolo 30 del GDPR). Obbligatorio per quasi tutte le organizzazioni (l'esenzione per quelle con meno di 250 dipendenti copre solo trattamenti occasionali, senza rischi e senza dati sensibili), elenca tutti i trattamenti di dati personali con la loro finalità, la loro base giuridica, le categorie di persone interessate e il tempo di conservazione. Per un evento basta una riga: «Foto dell'evento aziendale 2026, finalità: comunicazione interna, tempo: 24 mesi, base: legittimo interesse, responsabile: direzione HR».
Le informative al momento del consenso o della raccolta. Quando i partecipanti scansionano un codice QR per accedere alla galleria condivisa, una breve nota deve indicare loro chi raccoglie le foto, per quale scopo, per quanto tempo saranno conservate e come esercitare i propri diritti. Una frase di 2 righe in fondo alla pagina della galleria basta nella maggior parte dei casi.
Il tempo esplicito nel contratto con il cliente (per fotografi e agenzie). Il contratto deve indicare il tempo di conservazione dei file sorgente, la durata di messa a disposizione della galleria di consegna e la procedura di cancellazione alla scadenza. È anche una tutela per il fornitore: senza una clausola esplicita, è lui a dover dimostrare il rispetto del GDPR. Un'agenzia che rivende la galleria ai propri clienti inserisce questa clausola nella voce foto del preventivo: vedi come fatturare un servizio foto in white label.
Questi documenti non devono essere lunghi. Devono essere aggiornati e coerenti con ciò che accade davvero. Una policy che annuncia «12 mesi di conservazione» ma le cui foto sono ancora online 3 anni dopo è più pericolosa di nessuna policy.
Sanzioni previste in caso di mancato rispetto
Le sanzioni GDPR finiscono spesso sulle prime pagine, ma la realtà operativa è più sfumata. La CNIL privilegia ampiamente la diffida e l'accompagnamento prima della sanzione economica, soprattutto per le organizzazioni in buona fede.
Il massimo teorico delle sanzioni è elevato: fino a 20 milioni di euro o il 4% del fatturato mondiale annuo, a seconda dell'importo più alto (articolo 83 del GDPR). In pratica, le sanzioni effettivamente pronunciate dalla CNIL in materia di foto di eventi e di conservazione sono più modeste, ma pubbliche, e questo crea un effetto reputazionale spesso più doloroso della multa.
In una decisione pubblica del 2023, la CNIL ha sanzionato un'azienda del settore della selezione del personale per aver conservato per più di 5 anni le foto dei candidati senza una base giuridica aggiornata e senza una procedura di cancellazione operativa. L'importo (diverse decine di migliaia di euro) era proporzionato, ma la comunicazione associata ha avuto un impatto duraturo sulle risorse umane.
Nel 2024, una decisione simile ha riguardato una piattaforma per eventi che non rispondeva alle richieste di cancellazione entro i termini di legge. L'inadempienza era tanto procedurale quanto legata alla conservazione: nessun indirizzo di contatto dedicato, nessun registro delle richieste, nessuna prova di esecuzione. Il messaggio della CNIL è costante: non sono i tempi in sé a porre problemi, è l'assenza di un processo documentato intorno ad essi.
Per la grande maggioranza degli organizzatori, il rischio reale non è una multa enorme ma il reclamo di un partecipante scontento, trattato pubblicamente dall'autorità di protezione dei dati (la CNIL in Francia, il Garante per la protezione dei dati personali in Italia). Basta questo a giustificare l'investimento in una policy chiara.
FAQ
Per quanto tempo si possono conservare le foto di un evento professionale?
Il tempo abituale è da 1 a 3 anni per un evento aziendale o interno, e da 2 a 5 anni per una conferenza pubblica. Oltre questo limite la finalità di comunicazione si esaurisce e la conservazione diventa difficile da giustificare. Il criterio previsto dalla legge non è un tempo fisso, ma la proporzionalità rispetto alla finalità documentata.
Serve il consenso scritto di ogni persona fotografata?
Non sempre. Il consenso è una delle basi giuridiche possibili, ma per le foto di atmosfera in un evento professionale può bastare anche il legittimo interesse dell'organizzatore. È invece obbligatoria un'informativa ben visibile (un cartello all'ingresso, una nota sull'invito), insieme a una procedura per esercitare il diritto di opposizione o di cancellazione.
Cosa fare se qualcuno chiede di eliminare la propria foto?
Hai un mese di tempo per rispondere alla richiesta (articolo 12 del GDPR), prorogabile fino a tre mesi nei casi complessi. Individua le foto interessate, eliminale da tutti i supporti sotto il tuo controllo e conferma per iscritto l'esecuzione a chi ha fatto la richiesta. Conserva un registro della cancellazione per poter dimostrare di aver gestito la richiesta in caso di controllo.
Il diritto all'immagine e il GDPR sono la stessa cosa?
No, sono due regimi giuridici distinti che si applicano in parallelo. Il diritto all'immagine rientra nel diritto civile (in Francia, l'articolo 9 del Codice civile francese) e tutela l'uso dell'immagine di una persona identificabile. Il GDPR è un regolamento europeo sui dati personali. Una foto può rispettare il diritto all'immagine (liberatoria firmata) e violare il GDPR (tempo di conservazione non documentato), e viceversa.
Bisogna dichiarare la raccolta di foto all'autorità di protezione dei dati?
No, la dichiarazione preventiva non esiste più dall'entrata in vigore del GDPR nel 2018. Devi però tenere internamente un registro dei trattamenti, da esibire su richiesta in caso di controllo. Per i trattamenti ad alto rischio (il riconoscimento facciale su larga scala, per esempio) può essere richiesta una valutazione d'impatto sulla protezione dei dati (DPIA).
Le foto scattate a un evento privato rientrano nel GDPR?
Se l'uso è strettamente personale e familiare (l'esenzione domestica dell'articolo 2.2.c del GDPR), no. Un genitore che fotografa una festa di compleanno e tiene le foto per sé non è soggetto al GDPR. Condividerle con familiari e amici in una galleria chiusa resta, in linea di principio, dentro questa esenzione. Il GDPR si applica non appena escono da questa cerchia (pubblicazione aperta online o sui social) o quando l'evento è organizzato da un'azienda o da un'associazione; il fornitore che ospita la galleria vi è sempre soggetto.
La conformità al GDPR sulle foto di eventi non è né misteriosa né impossibile. Si basa su tre azioni concrete: definire un tempo coerente con la finalità, documentare questo tempo in un registro semplice e organizzare il diritto alla cancellazione attorno a un punto di contatto identificabile. La maggior parte degli strumenti moderni per eventi integra ormai questi obblighi di default.
Consulta i prezzi per vedere i piani Evokly che includono la galleria condivisa, l'eliminazione singola e il flusso per il diritto alla cancellazione.
