Droit à l'image et RGPD : photos et vidéos en entreprise

Photo d'équipe sur le site, portrait dans le trombinoscope, vidéo de salon sur LinkedIn : ces usages ordinaires mettent en jeu deux corps de règles. Ce que l'on appelle le droit à l'image RGPD recouvre en réalité le droit à l'image issu du code civil et la protection des données personnelles. Les deux s'appliquent ensemble : respecter l'un ne dispense pas de l'autre.

Cet article vise les images que votre organisme capte et diffuse volontairement : salariés, clients, participants, enfants. Les caméras relèvent d'un autre cadre, traité dans notre article sur la vidéosurveillance en entreprise.

Une photo est-elle une donnée personnelle ?

Oui, dès que la personne est identifiable, directement ou indirectement. L'article 4 du RGPD vise toute information se rapportant à une personne identifiée ou identifiable. La CNIL le rappelle dans sa fiche sur le retrait d'une image en ligne : si vous êtes reconnaissable, votre image est une donnée personnelle.

Une photo n'est pas pour autant une donnée sensible : selon le considérant 51 du RGPD, elle ne l'est que si elle est traitée selon un mode technique permettant l'identification unique de la personne, comme la reconnaissance faciale.

Droit à l'image et RGPD : deux régimes qui se cumulent

Le droit à l'image découle du droit au respect de la vie privée posé par l'article 9 du code civil, tel que le rappellent la CNIL et service-public.fr. Le RGPD encadre tout traitement de l'image : captation, stockage, diffusion, partage avec un prestataire.

Sur quel fondement traiter photos et vidéos ?

La base légale dépend de l'usage, mais pour une diffusion publique le consentement reste la voie la plus sûre, car l'accord exigé par le droit à l'image coïncide avec lui. L'intérêt légitime peut fonder certains usages internes, sans jamais neutraliser le droit à l'image. Le contrat ne vaut que lorsque l'image est l'objet même de la prestation.

Sur les conditions de validité et la preuve, voir notre article sur le consentement RGPD. L'article 7 du RGPD impose de pouvoir démontrer que la personne a consenti.

Peut-on publier la photo d'un salarié sans son accord ?

Non. La CNIL répond qu'un employeur qui souhaite faire figurer la photo d'un salarié dans un annuaire interne ou externe doit obtenir son autorisation, exprimée clairement et sans ambiguïté, et recommande un écrit.

C'est le point le plus délicat du droit à l'image RGPD : le lien de subordination fragilise le consentement. Le Comité européen de la protection des données estime, dans ses lignes directrices 05/2020, que les salariés ne peuvent consentir librement que dans des situations exceptionnelles, lorsque le refus n'entraîne aucune conséquence négative. En pratique : proposez une alternative (avatar, initiales) et laissez le salarié choisir support par support.

Photos de groupe, lieux publics et événements

Sur le terrain du droit à l'image RGPD, un événement en lieu privé exige l'accord de chaque personne reconnaissable. Dans un lieu public, service-public.fr indique qu'il n'est requis que si la personne est isolée et reconnaissable, une scène de groupe où personne n'est mis en avant n'exigeant pas d'autorisation individuelle. Le RGPD s'applique toutefois : informez les participants avant l'événement (invitation, affichage) et offrez-leur un moyen simple de ne pas être photographiés.

Photos d'enfants : qui doit donner son accord ?

Les titulaires de l'autorité parentale, par écrit. La loi n° 2024-120 du 19 février 2024 a inscrit dans le code civil que les parents protègent en commun le droit à l'image de l'enfant et l'y associent selon son âge et sa maturité. La CNIL confirme que l'utilisation des photos d'élèves suppose un accord écrit des parents. Le RGPD renforce cette prudence : l'intérêt légitime cède notamment lorsque la personne concernée est un enfant.

Combien de temps garder une photo et comment gérer le retrait ?

Aucune durée légale unique n'existe : c'est à vous de fixer une durée de conservation proportionnée à la finalité (article 5 du RGPD) et de l'écrire dans l'autorisation. Le départ d'un salarié est un bon moment pour retirer sa photo.

Le retrait du consentement doit être aussi simple que son recueil. Il ne remet pas en cause les diffusions passées, mais impose de cesser les nouvelles et de traiter les demandes d'effacement prévues au chapitre III du RGPD. Fixer ou transmettre sans consentement l'image d'une personne dans un lieu privé est en outre puni d'un an d'emprisonnement et de 45 000 euros d'amende (article 226-1 du code pénal, cité par la CNIL).

Que doit contenir une autorisation de droit à l'image ?

Un modèle d'autorisation de droit à l'image RGPD n'a pas de forme imposée, mais la CNIL et service-public.fr convergent : un écrit daté et signé, précis sur les usages. Il sert à la fois d'accord au sens du code civil et de support aux mentions d'information exigées par l'article 13 du RGPD.

Adaptez cette trame à chaque usage : une autorisation générale et illimitée serait fragile en cas de contestation.

À retenir

• Le droit à l'image RGPD cumule l'accord exigé par le code civil et les obligations du RGPD.
• Une image où la personne est reconnaissable est une donnée personnelle.
• Pour un salarié, le refus ne doit entraîner aucune conséquence ; proposez une alternative.
• Pour un enfant, l'accord écrit des titulaires de l'autorité parentale est requis.
• Fixez une durée, des supports et un moyen simple de retrait dans chaque autorisation.