Une photo est une donnée personnelle
Cela peut sembler surprenant, mais dès qu’une personne est reconnaissable sur une photo, cette photo est une donnée personnelle au sens du RGPD. Peu importe qu’il s’agisse d’un portrait professionnel ou d’un cliché rapide avec votre téléphone. Reconnaissable = donnée personnelle = le RGPD s’applique.
Cela concerne:
- Les photos de collaborateurs sur votre site web ou page LinkedIn
- Les photos de clients ou visiteurs sur Instagram, Facebook ou TikTok
- Les photos de participants à des événements, formations ou ateliers
- Les photos de personnes dans votre newsletter ou matériel marketing
Vous publiez une photo de la sortie d’équipe, une photo d’ambiance de votre journée portes ouvertes, ou un post Instagram d’un client satisfait. Mais avez-vous le droit?
Quand c’est autorisé: les deux principales bases juridiques
1. Le consentement (Article 6(1)(a))
La base juridique la plus évidente. Vous demandez à la personne photographiée son consentement avant de publier. Cela paraît simple, mais il y a des subtilités:
- Le consentement doit être spécifique: “je consens à ce que cette photo soit publiée sur le compte Instagram de l’entreprise X”
- Le consentement doit être libre: avec les collaborateurs, c’est délicat en raison de la relation de travail; ils doivent réellement pouvoir refuser sans conséquences
- Le consentement est révocable: si quelqu’un dit ensuite “je veux que cette photo disparaisse,” vous devez la supprimer
- Le consentement oral est valable, mais le consentement écrit est prouvable et fortement recommandé
2. L’intérêt légitime (Article 6(1)(f))
Dans certains cas, vous pouvez publier des photos sur la base de l’intérêt légitime, sans consentement explicite. C’est typiquement le cas pour:
- Les photos de groupe lors d’un événement public où les participants pouvaient raisonnablement s’attendre à être photographiés
- Les photos d’ambiance où les individus ne sont pas au centre
- La couverture médiatique d’un événement public
Toutefois, vous devez toujours effectuer une mise en balance des intérêts. Votre intérêt (promotion de votre événement) doit l’emporter sur l’intérêt de vie privée des personnes photographiées. Et vous devez informer les participants au préalable que des photos seront prises.
La différence: photo de groupe vs. portrait
Cette distinction est cruciale en pratique:
Photo de groupe lors d’un événement public. Vous organisez un cocktail networking et prenez une vue d’ensemble de la salle. Les individus ne sont pas au centre. Vous avez communiqué au préalable que des photos seraient prises. L’intérêt légitime peut être une base juridique valable.
Portrait d’une personne spécifique. Vous prenez un gros plan d’un visiteur de votre stand et le publiez sur Instagram avec la légende “nos clients sont enthousiastes!” Ici, la personne est au centre. Vous avez besoin d’un consentement explicite.
La règle: plus la personne est reconnaissable et centrale dans l’image, plus l’exigence de consentement est forte.
Sanctions: ce n’est pas un risque théorique
Les autorités de contrôle ont déjà sanctionné l’utilisation négligente de photos:
Opérateur télécom grec - 150 000 EUR (HDPA, 2020). L’autorité grecque a sanctionné un opérateur télécom qui avait publié des photos du personnel sur son site web sans consentement valide. Des collaborateurs ont indiqué qu’ils n’avaient pas donné leur accord, ou que le consentement n’était pas libre en raison de la pression de la direction.
Centre de fitness espagnol - 10 000 EUR (AEPD, 2022). Un centre de fitness a publié des photos de membres sur Instagram sans consentement. Quand un membre a demandé la suppression, il a fallu des semaines avant que le centre ne réponde.
Bonnes et mauvaises pratiques
Ce que vous DEVEZ faire
- Informer au préalable que des photos seront prises, par ex. avec un panneau à l’entrée de l’événement
- Demander un consentement explicite pour les portraits et gros plans
- Consigner le consentement, de préférence par écrit ou via un formulaire numérique
- Réagir rapidement quand quelqu’un demande la suppression d’une photo
- Être particulièrement prudent avec les photos d’enfants - toujours obtenir le consentement d’un parent ou tuteur
Ce que vous ne devez PAS faire
- Publier des photos sans aucune base juridique - ni consentement, ni intérêt légitime
- Supposer que la présence équivaut automatiquement au consentement pour des gros plans sur les réseaux sociaux
- Utiliser des photos de collaborateurs après leur départ sans vérifier si le consentement est encore valable
- Ignorer les demandes de suppression ou y répondre trop tard
- Taguer des photos avec des noms sans consentement; cela relie la photo à un profil identifiable
Que devez-vous mettre en place maintenant?
- Inventoriez les photos de personnes présentes sur vos réseaux sociaux et votre site web
- Vérifiez si vous disposez d’une base juridique valide pour chaque photo
- Établissez une politique photo définissant quand vous photographiez, comment vous demandez le consentement et comment vous traitez les demandes de suppression
- Formez vos collaborateurs responsables des réseaux sociaux
- Documentez vos traitements de photos dans votre registre des traitements
GDPRWise identifie automatiquement quelles données personnelles vous collectez et partagez, y compris les images sur votre site web et vos réseaux sociaux. Pour savoir exactement où vous en êtes.