La soirée de fin d'année s'est bien passée. Le photographe a livré six cents clichés, la responsable communication en veut une dizaine pour LinkedIn, un collaborateur a déjà posté une photo de table sur son compte, et un client demande « la photo où l'on est tous ensemble ». Quelqu'un finit par poser la question : a-t-on le droit ?

La réponse honnête commence par une mauvaise nouvelle : il n'existe pas une règle, mais trois, qui se superposent et ne se remplacent pas. Un accord valable pour l'une ne règle pas les deux autres. Cet article les distingue, les applique lieu de diffusion par lieu de diffusion, puis dit franchement ce que les textes ne tranchent pas.

Les obligations propres de l'employeur envers ses salariés (information, fragilité de leur consentement, conservation, opposition) font l'objet d'un autre article. Nous ne les développons pas ici.

1. Trois cadres qui se superposent

Le droit à l'image : celui de la personne photographiée

L'article 9 du Code civil tient en une phrase : « Chacun a droit au respect de sa vie privée. » Le mot « image » n'y figure pas. Le droit à l'image est une construction des juges, que la CNIL rattache expressément à la vie privée et non à la protection des données.

La Cour de cassation en a donné une formulation nette le 2 juin 2021 (première chambre civile, pourvoi n° 20-13.753) : le droit dont chacun dispose sur son image « porte sur sa captation, sa conservation, sa reproduction et son utilisation », et « la seule constatation d'une atteinte ouvre droit à réparation ». Dans le même arrêt, elle rappelle que la protection effective de l'image suppose, en principe, le consentement de la personne dès la prise de vue, et pas seulement au moment de la publication.

Retenez qu'aucun préjudice n'a à être prouvé, et que l'accord se pense à chaque étape : photographier, conserver, diffuser.

Le RGPD : celui des données personnelles

Le RGPD définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable » (article 4, point 1). La CNIL en tire la conséquence pour les photos : si une image se rapporte à une personne identifiée ou identifiable, c'est une donnée personnelle. La publier est un traitement, et celui qui décide de la publier en est le responsable.

Il lui faut alors une base légale parmi celles de l'article 6. Deux sont plausibles pour une photo d'événement : le consentement (point a), donné « pour une ou plusieurs finalités spécifiques », et l'intérêt légitime (point f), qui cède si les droits et libertés de la personne l'emportent. Le consentement peut être retiré à tout moment, et le retirer doit être aussi simple que le donner (article 7, paragraphe 3). Le responsable doit aussi informer les personnes au moment de la collecte (article 13).

Le droit d'auteur : celui du photographe

Une photographie peut être une œuvre : l'article L112-2 du Code de la propriété intellectuelle range « les œuvres photographiques et celles réalisées à l'aide de techniques analogues à la photographie » parmi les œuvres de l'esprit. L'auteur jouit d'un droit exclusif « du seul fait de sa création » (article L111-1), et la signature d'un contrat de travail ou de prestation ne le fait pas disparaître, sous réserve des exceptions que le Code prévoit. Payer ou employer un photographe ne vous transfère donc pas les droits sur ses images.

Pour les obtenir, il faut une cession. Les contrats par lesquels sont transmis des droits d'auteur doivent être constatés par écrit (article L131-2), et l'article L131-3 pose deux conditions : chaque droit cédé doit faire l'objet d'une mention distincte dans l'acte, et le domaine d'exploitation doit être délimité quant à son étendue, sa destination, son lieu et sa durée.

La Cour de cassation applique cette exigence à un photographe. Le 12 juillet 2006 (première chambre civile, pourvoi n° 05-15.472), elle censure une cour d'appel qui avait appliqué la clause générale d'un bon de commande à une utilisation publicitaire, alors que le reportage était destiné d'abord à illustrer une brochure. Elle ajoute que le nom de l'auteur ne pouvait pas être omis sans son autorisation.

⚠️ L'accord du photographe ne remplace jamais celui des personnes photographiées, et inversement. Un contrat de cession bien rédigé vous donne le droit d'utiliser le cliché en tant qu'œuvre. Il ne dit rien de la personne qui apparaît dessus. Et l'accord d'un participant ne vous donne aucun droit sur la photographie elle-même. Vérifiez donc, dans le contrat du photographe, quels usages sont cédés : intranet seul, ou aussi site public, réseaux sociaux, presse, et pour quelle durée.

Comment les deux premiers s'articulent

La CNIL présente les deux voies comme parallèles : une personne peut agir auprès du responsable du site au titre du droit à l'effacement du RGPD, ou saisir le juge au titre du droit à l'image, et les deux démarches peuvent être menées en même temps. Ce que nous n'avons trouvé dans aucune source officielle, c'est une règle qui dirait que l'intérêt légitime suffit, côté RGPD, à diffuser une photo de groupe alors que le droit à l'image reste muet. La prudence est de ne pas compter dessus pour une personne isolée et reconnaissable.

2. Selon l'endroit où l'on publie

L'intranet

Un espace réservé aux salariés reste une diffusion. La CNIL le dit à propos de l'annuaire du personnel : l'employeur qui veut publier la photo d'une personne doit avoir son autorisation, « que l'annuaire soit interne ou externe ». Cette autorisation doit être exprimée très clairement et sans ambiguïté, et la CNIL recommande de la demander par écrit, pour avoir une preuve et délimiter la portée de l'accord.

Le cercle est restreint et la finalité (garder la mémoire de l'événement entre participants) est facile à expliquer, ce qui rend l'intranet plus simple à défendre. Il n'est pas pour autant exempté.

Le site public et les comptes de l'entreprise

C'est le cas le plus exposé. La CNIL est claire : le droit à l'image s'applique partout, y compris sur internet, et avant de publier une photographie sur un réseau social, il faut s'assurer que la personne concernée est d'accord. L'entreprise qui publie sur son site, sur LinkedIn ou sur ses autres comptes est dans cette situation, et c'est elle qui est responsable du choix des images.

Premier point : l'accord doit couvrir ce support. Un consentement donné pour l'intranet ne vaut pas pour LinkedIn. Selon la CNIL, l'accord doit préciser les supports de diffusion, les objectifs et la durée, et une diffusion qui dépasse l'accord peut être contestée. Second point : la republication par le compte de l'entreprise d'une photo postée par un tiers est une diffusion de l'entreprise, avec ses propres obligations.

Les collaborateurs et les invités qui publient eux-mêmes

Le RGPD écarte de son champ le traitement réalisé « par une personne physique dans le cadre d'une activité strictement personnelle ou domestique » (article 2, paragraphe 2, point c). Le texte dit « strictement », et il vise une personne physique, pas l'entreprise : la photo de table postée par un convive sur son compte privé relève d'abord de lui-même, pas de vous.

Là s'arrête ce que nous pouvons affirmer. Un compte professionnel de collaborateur, un post destiné à valoriser son employeur, un public ouvert à tous : à partir de quel moment l'activité cesse-t-elle d'être « strictement personnelle » ? Nous n'avons pas trouvé de source officielle qui tranche ce cas. Ce qui reste utile, c'est de dire aux participants, avant l'événement, ce que vous attendez d'eux.

La presse

La liberté de la presse a son propre régime. Dans un arrêt du 29 mars 2017 (première chambre civile, pourvoi n° 15-28.813), la Cour de cassation rappelle qu'elle autorise la diffusion de l'image de personnes impliquées dans un événement d'actualité ou illustrant un débat d'intérêt général, « sous la seule réserve du respect de la dignité de la personne humaine ». Le RGPD fait de même un cas à part : le droit à l'effacement ne s'applique pas lorsque le traitement est nécessaire à l'exercice de la liberté d'expression et d'information (article 17, paragraphe 3, point a).

Reste à savoir si une soirée d'entreprise constitue un « événement d'actualité » ou un « débat d'intérêt général ». Nous n'avons trouvé aucune décision qui réponde pour ce type d'événement, et la communication institutionnelle de l'entreprise ne relève de toute façon pas de la liberté de la presse. Pour un journaliste invité, la question se pose ; pour votre propre site, non.

3. Quatre cas qui reviennent toujours

La photo de groupe, la foule, la personne isolée

La CNIL écrit que, dans les lieux publics, « seule l'autorisation des personnes qui sont isolées et reconnaissables est nécessaire ». Deux limites à cette phrase. Elle vise les lieux publics, et une soirée d'entreprise a le plus souvent lieu dans un lieu privé : appliquez-la avec prudence. Et la CNIL rappelle de son côté que photographier une personne dans un lieu privé sans son consentement est sanctionné pénalement (article 226-1 du Code pénal).

Un arrêt illustre la logique de l'isolement. Le 12 décembre 2000 (première chambre civile, pourvoi n° 98-21.311), la Cour de cassation casse une décision qui jugeait licite la publication, sans autorisation des parents, de la photographie d'un enfant déguisé lors d'une fête folklorique, parce que son image était « isolée de la manifestation au cours de laquelle elle avait été prise ». Le cadrage serré, la légende, la mise en avant d'une seule personne détachent l'image du collectif.

Reste l'identification. Elle ne dépend pas seulement du visage : le 29 mars 2017, la Cour a jugé identifiable un médecin dont le visage était flouté et la voix déformée, parce que des personnes qui le connaissaient avaient reconnu sa silhouette, sa physionomie et son cabinet. Un flou ne protège donc pas toujours. Quant à un seuil du type « au-delà de dix personnes, plus d'accord nécessaire », nous n'en avons trouvé aucun dans les sources consultées.

Les invités externes

Clients, prestataires, partenaires : le droit à l'image est le même pour tous, et l'article 9 du Code civil ne distingue pas selon le statut. La différence tient à votre position. Vous n'avez pas de lien d'autorité avec eux, mais vous n'avez pas non plus de raison de supposer leur accord pour que leur visage serve à votre communication.

Prévoyez de les informer à l'invitation ou à l'accueil, et de leur donner une manière simple de dire non.

Les mineurs

Pour les enfants, la CNIL est claire : avant de publier la photo d'un mineur, l'accord des parents est nécessaire, et il faut être particulièrement vigilant à ce qu'une autorisation écrite parentale existe. Un événement ouvert aux familles est donc le cas où l'on ne publie pas sans demander.

Le retrait d'une photo

Une personne qui découvre sa photo peut agir par plusieurs voies, qui se cumulent. La CNIL décrit la démarche : contacter l'auteur de la diffusion ou le responsable du site, demander la dépublication en indiquant les adresses concernées, puis, sans réponse satisfaisante sous un mois, saisir la CNIL, ou la justice.

Sur le fond, le RGPD prévoit l'effacement lorsque les données ne sont plus nécessaires, lorsque la personne retire son consentement, ou lorsqu'elle s'oppose au traitement fondé sur l'intérêt légitime et qu'il n'existe pas de motif légitime impérieux (article 17, paragraphe 1). Le responsable doit répondre dans un délai d'un mois à compter de la demande, prolongeable de deux mois dans les conditions de l'article 12, paragraphe 3. Selon la CNIL, l'action en justice se prescrit par trois ans à partir de la diffusion.

L'exception de la liberté d'expression existe (article 17, paragraphe 3, point a), mais elle n'a pas été conçue pour une photo de communication interne. Mieux vaut un retrait rapide qu'un désaccord de plusieurs mois autour d'une image dont vous n'avez pas besoin.

Ce qu'il faut faire : avant, pendant, après

Avant l'événement

  • Faites écrire dans le contrat du photographe quels droits sont cédés, pour quels supports, quels territoires et quelle durée (L131-3), et précisez la mention du nom.
  • Décidez à l'avance des supports : intranet, site, réseaux, presse. Un accord par support.
  • Prévenez les participants, salariés et invités, de la prise de photos et des usages prévus, avec un moyen simple de refuser.
  • Prévoyez un recueil d'autorisation écrite des parents pour les mineurs.
  • Désignez la personne qui reçoit les demandes de retrait.

Pendant l'événement

  • Prévoyez un moyen visible pour ceux qui ne veulent pas apparaître, par exemple un badge ou une zone sans photo.
  • Demandez au photographe d'éviter les cadrages serrés sur une personne sans son accord.

Après l'événement

  • Triez avant de publier : écartez les images d'une personne isolée sans accord, les enfants sans autorisation parentale, les clichés gênants.
  • Publiez sur les supports pour lesquels vous avez l'accord, et uniquement ceux-là.
  • Traitez les demandes de retrait dans le mois, sans exiger de justificatif d'identité hors doute raisonnable.
  • Fixez une durée de conservation et tenez-vous-y.

Nous appliquons ces exigences à la distribution des photos aux participants : un consentement explicite, avec une case non pré-cochée, une entrée sans selfie qui ne calcule aucune empreinte du visage, et des durées de conservation datées, écrites dans notre politique de confidentialité.