Droit à l'image des salariés : ce que l'employeur doit prévoir

Le séminaire de rentrée a réuni cent vingt collaborateurs. Un photographe a pris six cents images, la communication en veut une dizaine pour la lettre interne, et une salariée vous écrit : « Je n'ai jamais été prévenue, et je ne veux pas figurer sur ces photos. »

Que répondez-vous ? Le plus souvent, il n'existe ni procédure ni document, seulement l'habitude. Cet article pose le cadre : ce que le droit demande à l'employeur qui photographie ses salariés pendant un événement interne, ce qui est solide, et ce qui n'a pas de réponse tranchée. Il ne traite pas de la diffusion (qui publie où, droit d'auteur, réseaux sociaux) : un autre article y est consacré.

L'employeur est responsable de traitement

Le RGPD appelle « responsable du traitement » celui qui « détermine les finalités et les moyens » du traitement (article 4, point 7). Pour les photos de votre séminaire, c'est vous : vous décidez de photographier, de conserver, de montrer.

Le photographe ou le prestataire qui trie les images traite pour votre compte. Son contrat doit prévoir qu'il n'agit que sur vos instructions documentées (article 28). Il ne vous décharge de rien : choisir une base légale et informer les personnes reste votre affaire.

Quelle base légale ? Le consentement est fragile

L'article 6 du RGPD liste les bases qui rendent un traitement licite. Pour des photos d'événement, deux sont envisageables : le consentement (point a) et l'intérêt légitime (point f). Aucune ne va de soi entre un employeur et ses salariés.

Pourquoi le consentement d'un salarié est suspect

Le consentement doit être libre, et le considérant 43 du RGPD l'écarte en cas de « déséquilibre manifeste » entre la personne et le responsable. Le Comité européen de la protection des données (CEPD) applique le principe au travail dans ses lignes directrices 05/2020 : vu la dépendance qui découle de la relation employeur/employé, il est « peu probable » que le salarié puisse refuser sans craindre de conséquences négatives, et le CEPD juge « problématique » que l'employeur fonde ses traitements sur le consentement.

Le texte n'interdit pourtant pas tout. Un salarié ne peut consentir librement que « dans des situations exceptionnelles, lorsqu'absolument aucune conséquence négative ne résultera » de son refus. L'exemple 5 du CEPD : une équipe de tournage filme dans un bureau, ceux qui ne veulent pas apparaître ne sont pénalisés en rien et disposent de bureaux équivalents ailleurs dans le bâtiment. La CNIL tient la même ligne dans son référentiel sur la gestion du personnel, avec un clip promotionnel tourné dans un espace de travail : le consentement est possible si les salariés choisissent d'apparaître ou non, sans « aucun impact » sur leurs conditions de travail, leur rémunération ou leur avancement.

Autrement dit, une feuille à signer à l'entrée de la salle ne prouve rien. Ce qui prouve la liberté, c'est un refus qui ne coûte rien et qui est praticable. L'article 7 ajoute que le responsable doit pouvoir démontrer le consentement, et qu'il doit être « aussi simple de retirer que de donner son consentement ».

L'intérêt légitime : possible, mais il se démontre

L'intérêt légitime (article 6, point f) évite de dépendre d'une signature, mais impose un travail. La CNIL en décrit trois conditions : un intérêt légitime, la nécessité du traitement (sans moyen moins intrusif), et l'absence de prévalence des droits des personnes, évaluée au regard de leurs attentes raisonnables. Ce n'est pas une base « par défaut », et le responsable doit pouvoir démontrer qu'il y recourt à bon droit. Si l'équilibre n'est pas atteint, il faut chercher une autre base. L'article 6 range parmi les éléments de la balance le fait que la personne soit un enfant.

Cette base a un corollaire, l'article 21 : le salarié peut s'opposer à tout moment « pour des raisons tenant à sa situation particulière », et l'employeur doit cesser le traitement, sauf s'il démontre des motifs légitimes et impérieux. Ce droit doit être porté à l'attention de la personne au plus tard à la première communication, clairement et séparément des autres informations (article 21, paragraphe 4).

Ce que nous n'avons pas trouvé : une page de la CNIL qui applique l'intérêt légitime aux photos d'un événement interne. Son référentiel RH range les annuaires internes sous cette base, mais ne dit rien du reportage d'une soirée. La mise en balance est à conduire et à documenter par vous, sans modèle officiel.

Ce que dit la CNIL des photos de salariés

Pour l'annuaire du personnel, la CNIL est nette : l'employeur qui veut y faire figurer la photo d'un salarié doit avoir son autorisation, « exprimée très clairement et sans ambiguïté », et il est recommandé de la demander par écrit. Son référentiel présente d'ailleurs la photographie comme une donnée facultative.

Deux régimes se superposent donc : le RGPD, et le droit à l'image tiré de l'article 9 du Code civil, que la CNIL décrit comme un droit « exclusif et absolu » sur son image. Retenir l'intérêt légitime au titre du RGPD ne règle pas la seconde question dès que la photo identifiable est montrée : c'est l'objet de l'article sur la diffusion.

Code du travail : des restrictions justifiées et proportionnées

L'article L1121-1 pose que nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives des restrictions « qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Il ne parle pas de photographie, mais il donne une grille : imposer à un salarié d'être photographié, ou de subir l'analyse de son visage, pour participer à un événement, serait une restriction dont il faudrait justifier la nécessité et la proportion. Nous n'avons trouvé aucune décision qui l'applique à des photos d'événement : c'est un cadre, pas une réponse.

Et le CSE ?

L'article L2312-38 impose d'informer et de consulter le comité social et économique, avant la décision de mise en œuvre, sur « les moyens ou les techniques permettant un contrôle de l'activité des salariés ». Un reportage de soirée n'est pas, en soi, un tel moyen. Nous n'affirmons donc aucune obligation de consulter le CSE pour des photos d'événement : nous n'avons trouvé aucun texte qui la prévoie. La question se poserait si le dispositif servait à autre chose qu'un souvenir, par exemple identifier les présents. Un accord d'entreprise peut aussi contenir des règles propres : vérifiez-le avec votre service juridique ou votre DPO.

Informer : quoi, quand, où

L'article 12 demande une information « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ». Les articles 13 et 14 en listent le contenu. Pour des photos d'événement, il faut dire au minimum :

• qui est responsable du traitement, et comment le joindre (ou son DPO) ;
• pourquoi les photos sont prises, sur quelle base, et quel est l'intérêt légitime le cas échéant ;
• qui les recevra : photographe, prestataire, autres participants ;
• combien de temps elles seront conservées, ou les critères qui fixent cette durée ;
• les droits : accès, effacement, opposition, retrait du consentement, réclamation auprès de l'autorité de contrôle ;
• le recours éventuel à la reconnaissance faciale.

Quand ? L'article 13 exige l'information « au moment où les données sont obtenues » quand elles sont collectées auprès de la personne ; l'article 14, qui vise les autres cas, laisse un délai raisonnable d'un mois au plus. Nous n'avons pas trouvé de source qui dise lequel s'applique à une photo prise par un photographe. Le plus sûr est de ne pas trancher : informer avant, dans l'invitation, puis rappeler sur place.

Où ? Dans l'invitation, avec le droit d'opposition présenté à part ; à l'entrée de la salle, par un affichage. Pour la vidéo, la CNIL décrit des panneaux qui portent l'essentiel (finalités, responsable ou DPO, droits, réclamation) et renvoient le reste à un autre support. Elle parle de vidéoprotection, pas de reportage photo, mais cette information à deux niveaux se transpose. L'article 12 prévoit aussi des icônes normalisées.

Un refus sans conséquence, et une alternative réelle

C'est le point qui décide de tout. Un salarié qui refuse ne doit subir aucun désavantage : ni remarque, ni exclusion d'une activité, ni invitation à « faire un effort ».

Aucun texte n'impose de zones ou de signes pour qui ne veut pas être photographié. C'est la traduction concrète de l'exigence précédente, et quelques moyens simples la rendent réelle :

• une table ou un coin où le photographe ne va pas ;
• un badge ou un autocollant discret, connu des photographes, qui signifie « pas de photo de moi » ;
• une consigne aux photographes : ne pas insister, supprimer sur demande ;
• un interlocuteur identifié (RH ou DPO), joignable avant et après l'événement.

Si l'événement prévoit un tri par reconnaissance faciale, l'alternative doit exister aussi à ce niveau : pouvoir consulter des photos sans transmettre son visage. Chez YourPics, le consentement se donne par une case jamais pré-cochée, et entrer sans selfie vaut refus : aucune empreinte n'est calculée, et l'invité voit toutes les photos si l'album est ouvert à tous, sinon celles que l'organisateur a mises en avant.

Conservation, départ du salarié, demande de retrait

L'article 5 du RGPD limite la conservation sous forme identifiable au temps nécessaire aux finalités. Nous n'avons trouvé aucune durée légale propre aux photos d'événement. Le référentiel RH de la CNIL pose le principe : le responsable fixe la durée en amont, et elle fait partie des informations à communiquer. Choisissez un chiffre, justifiez-le, écrivez-le dans la note.

Départ du salarié. Le 13 mai 2026, la chambre sociale de la Cour de cassation (pourvoi n° 24-19.117, arrêt non publié au bulletin) a rejeté le pourvoi d'un employeur qui avait gardé la photo d'un salarié sur le site de l'entreprise après la rupture du contrat. L'autorisation, signée en 2014, était donnée « sans limitation dans le temps » : la cour d'appel en avait déduit qu'elle cessait avec le contrat. La Cour rappelle que la cession du droit à l'image relève de la liberté contractuelle, si les parties ont « stipulé de façon suffisamment claire les limites de l'autorisation ». La leçon : n'écrivez jamais une autorisation sans durée. L'arrêt vise un site internet, pas une photo de groupe dans une archive interne, et ne dit pas ce qu'elle doit devenir.

Demande de retrait. Si le traitement repose sur le consentement, le salarié peut le retirer à tout moment (article 7, paragraphe 3) et obtenir l'effacement s'il n'existe pas d'autre fondement (article 17). Sous l'intérêt légitime, l'opposition de l'article 21 produit le même effet, sauf motif impérieux démontré. L'employeur répond dans un délai d'un mois, prolongeable de deux mois si la demande est complexe (article 12, paragraphe 3). Prévoyez qui reçoit la demande et qui retire l'image, des supports comme des sauvegardes.

Le même risque existe côté réparation : la chambre sociale a rappelé le 19 janvier 2022 (pourvois n° 20-12.420 et 20-12.421, non publié) que la seule constatation d'une atteinte au droit à l'image ouvre droit à réparation, sans preuve d'un préjudice distinct. L'affaire concernait une photo en ligne dont le salarié demandait la suppression.

Les enfants du personnel

Une fête de fin d'année amène des mineurs, que l'employeur ne connaît pas comme salariés. La CNIL est nette : l'accord des parents est nécessaire avant de publier la photo d'un mineur, et pour l'école elle précise que cet accord doit être écrit. Le considérant 38 du RGPD leur accorde une protection spécifique.

Concrètement : une invitation qui s'adresse aux parents, la mention de la prise de photos, une autorisation parentale écrite avant toute utilisation. Aucune source que nous ayons lue ne dit ce qu'il est permis de faire du visage d'un enfant dans un outil de tri : pas de traitement biométrique des enfants sans avis du DPO.

Reconnaissance faciale : l'article 9 change le régime

Une photo n'est pas automatiquement une donnée sensible : le considérant 51 précise qu'elle ne devient biométrique que traitée par un moyen technique spécifique permettant l'identification unique d'une personne. C'est ce que fait un tri par reconnaissance faciale (article 4, point 14, qui cite les « images faciales »).

L'article 9, paragraphe 1, interdit alors le traitement, sauf cas du paragraphe 2, dont le consentement explicite. L'intérêt légitime n'y figure pas : il ne lève pas l'interdiction. Le consentement d'un salarié reste soumis aux réserves du CEPD vues plus haut. Pour un traitement de catégories particulières « à grande échelle », l'article 35 exige une analyse d'impact préalable ; le texte ne chiffre pas cette échelle, c'est une question pour votre DPO.