Une photo est une donnee personnelle
Cela peut sembler surprenant, mais des qu’une personne est reconnaissable sur une photo, cette photo est une donnee personnelle au sens du RGPD. Peu importe qu’il s’agisse d’un portrait professionnel ou d’un cliche rapide avec votre telephone. Reconnaissable = donnee personnelle = le RGPD s’applique.
Cela concerne:
- Les photos de collaborateurs sur votre site web ou page LinkedIn
- Les photos de clients ou visiteurs sur Instagram, Facebook ou TikTok
- Les photos de participants a des evenements, formations ou ateliers
- Les photos de personnes dans votre newsletter ou materiel marketing
Vous publiez une photo de la sortie d’equipe, une photo d’ambiance de votre journee portes ouvertes, ou un post Instagram d’un client satisfait. Mais avez-vous le droit?
Quand c’est autorise: les deux principales bases juridiques
1. Le consentement (Article 6(1)(a))
La base juridique la plus evidente. Vous demandez a la personne photographiee son consentement avant de publier. Cela parait simple, mais il y a des subtilites:
- Le consentement doit etre specifique: “je consens a ce que cette photo soit publiee sur le compte Instagram de l’entreprise X”
- Le consentement doit etre libre: avec les collaborateurs, c’est delicat en raison de la relation de travail; ils doivent reellement pouvoir refuser sans consequences
- Le consentement est revocable: si quelqu’un dit ensuite “je veux que cette photo disparaisse,” vous devez la supprimer
- Le consentement oral est valable, mais le consentement ecrit est prouvable et fortement recommande
2. L’interet legitime (Article 6(1)(f))
Dans certains cas, vous pouvez publier des photos sur la base de l’interet legitime, sans consentement explicite. C’est typiquement le cas pour:
- Les photos de groupe lors d’un evenement public ou les participants pouvaient raisonnablement s’attendre a etre photographies
- Les photos d’ambiance ou les individus ne sont pas au centre
- La couverture mediatique d’un evenement public
Toutefois, vous devez toujours effectuer une mise en balance des interets. Votre interet (promotion de votre evenement) doit l’emporter sur l’interet de vie privee des personnes photographiees. Et vous devez informer les participants au prealable que des photos seront prises.
La difference: photo de groupe vs. portrait
Cette distinction est cruciale en pratique:
Photo de groupe lors d’un evenement public. Vous organisez un cocktail networking et prenez une vue d’ensemble de la salle. Les individus ne sont pas au centre. Vous avez communique au prealable que des photos seraient prises. L’interet legitime peut etre une base juridique valable.
Portrait d’une personne specifique. Vous prenez un gros plan d’un visiteur de votre stand et le publiez sur Instagram avec la legende “nos clients sont enthousiastes!” Ici, la personne est au centre. Vous avez besoin d’un consentement explicite.
La regle: plus la personne est reconnaissable et centrale dans l’image, plus l’exigence de consentement est forte.
Sanctions: ce n’est pas un risque theorique
Les autorites de controle ont deja sanctionne l’utilisation negligente de photos:
Operateur telecom grec - 150 000 EUR (HDPA, 2020). L’autorite grecque a sanctionne un operateur telecom qui avait publie des photos du personnel sur son site web sans consentement valide. Des collaborateurs ont indique qu’ils n’avaient pas donne leur accord, ou que le consentement n’etait pas libre en raison de la pression de la direction.
Centre de fitness espagnol - 10 000 EUR (AEPD, 2022). Un centre de fitness a publie des photos de membres sur Instagram sans consentement. Quand un membre a demande la suppression, il a fallu des semaines avant que le centre ne reponde.
Bonnes et mauvaises pratiques
Ce que vous DEVEZ faire
- Informer au prealable que des photos seront prises, par ex. avec un panneau a l’entree de l’evenement
- Demander un consentement explicite pour les portraits et gros plans
- Consigner le consentement, de preference par ecrit ou via un formulaire numerique
- Reagir rapidement quand quelqu’un demande la suppression d’une photo
- Etre particulierement prudent avec les photos d’enfants - toujours obtenir le consentement d’un parent ou tuteur
Ce que vous ne devez PAS faire
- Publier des photos sans aucune base juridique - ni consentement, ni interet legitime
- Supposer que la presence equivaut automatiquement au consentement pour des gros plans sur les reseaux sociaux
- Utiliser des photos de collaborateurs apres leur depart sans verifier si le consentement est encore valable
- Ignorer les demandes de suppression ou y repondre trop tard
- Taguer des photos avec des noms sans consentement; cela relie la photo a un profil identifiable
Que devez-vous mettre en place maintenant?
- Inventoriez les photos de personnes presentes sur vos reseaux sociaux et votre site web
- Verifiez si vous disposez d’une base juridique valide pour chaque photo
- Etablissez une politique photo definissant quand vous photographiez, comment vous demandez le consentement et comment vous traitez les demandes de suppression
- Formez vos collaborateurs responsables des reseaux sociaux
- Documentez vos traitements de photos dans votre registre des traitements
GDPRWise identifie automatiquement quelles donnees personnelles vous collectez et partagez, y compris les images sur votre site web et vos reseaux sociaux. Pour savoir exactement ou vous en etes.