Une photo de l'équipe sur la page « À propos », un trombinoscope sur l'intranet, une vidéo de salon publiée sur LinkedIn, une caméra à l'entrée de l'entrepôt : l'image des personnes circule partout dans une entreprise, et chacun de ces usages relève de deux régimes à la fois. Le droit à l'image, issu du Code civil, protège la personne contre la diffusion de sa représentation. Le RGPD, lui, encadre tout traitement d'une image qui permet d'identifier quelqu'un. Pour le DPO, la question n'est donc pas seulement « avons-nous l'accord ? », mais « sur quelle base légale traitons-nous cette image, pour quelle durée, et comment gérons-nous le retrait ? ». Ce guide pose les règles, les bases légales et les cas les plus fréquents en entreprise.
Le droit à l'image, un droit de la personnalité
Ce que protège le droit à l'image
Le droit à l'image n'est pas écrit en tant que tel dans la loi : il a été dégagé par la jurisprudence à partir de l'article 9 du Code civil, selon lequel « chacun a droit au respect de sa vie privée ». Il permet à toute personne de s'opposer à la captation, à la reproduction et à la diffusion de son image sans son autorisation.
Le support importe peu : photographie, vidéo, dessin, capture d'écran d'une visioconférence. Ce qui compte, c'est que la personne soit reconnaissable. Une silhouette floue ou une personne de dos, impossible à identifier, ne relève pas du droit à l'image.
Le lieu importe peu aussi. Être photographié dans la rue ne vaut pas accord pour la diffusion d'un portrait : dès que l'image isole une personne identifiable et la prend pour sujet, son autorisation est requise.
Les limites posées par la jurisprudence
Le droit à l'image cède dans plusieurs situations, que les tribunaux apprécient au cas par cas :
- l'information du public sur un événement d'actualité, tant que l'image est en lien direct avec cet événement et respecte la dignité de la personne ;
- les personnes publiques dans l'exercice de leur fonction, mais pas dans leur vie privée ;
- les images de foule, quand aucune personne n'y est isolée ni cadrée pour elle-même ;
- la liberté d'expression artistique, dans des limites que le juge met en balance avec la vie privée.
Aucune de ces exceptions ne couvre une communication d'entreprise. Une photo de salariés sur un site corporate ou une vidéo promotionnelle n'est ni de l'actualité, ni de l'art : l'exception ne joue pas.
L'image, une donnée personnelle au sens du RGPD
Une image qui identifie est une donnée personnelle
L'article 4.1 du RGPD définit la donnée à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Un visage, une silhouette reconnaissable associée à un nom, une voix dans une vidéo : tout cela en fait partie. Le détail des catégories est dans notre guide sur les données personnelles.
Conséquence directe : prendre, stocker, publier, partager ou archiver une photo d'une personne identifiable est un traitement. Il lui faut une finalité déterminée, une base légale, une information des personnes, une durée de conservation et une place dans le registre des traitements.
Photo et donnée biométrique : la frontière du considérant 51
Une photo n'est pas, en soi, une donnée sensible. Le considérant 51 du RGPD le précise : le traitement de photographies ne devrait pas systématiquement être considéré comme un traitement de catégories particulières de données, puisqu'une photo ne relève de la définition des données biométriques (article 4.14) que lorsqu'elle est traitée par un moyen technique spécifique permettant l'identification ou l'authentification unique d'une personne.
La frontière est donc opérationnelle. Une photo publiée sur le site reste une donnée personnelle ordinaire. La même photo passée dans un algorithme de reconnaissance faciale, pour un contrôle d'accès par exemple, devient une donnée biométrique et tombe sous l'interdiction de principe de l'article 9 du RGPD, levée seulement par l'une des exceptions qu'il énumère.
Deux régimes qui se cumulent
Le droit à l'image et le RGPD ne se remplacent pas, ils s'additionnent. L'autorisation de droit à l'image répond au Code civil ; elle ne dispense pas des obligations du RGPD (information, base légale, durée, droits des personnes). À l'inverse, un traitement licite au regard du RGPD ne dispense pas de l'accord de la personne pour diffuser son portrait.
Quelle base légale pour traiter une image ?
L'article 6 du RGPD impose de rattacher chaque traitement à l'une de ses six bases légales. Pour l'image, deux reviennent en pratique. Le raisonnement complet est détaillé dans notre guide sur le choix de la base légale.
Le consentement (article 6.1.a) pour une diffusion publique
Pour diffuser l'image d'une personne à l'extérieur (site, réseaux sociaux, brochure, publicité), le consentement est la base la plus solide. Il doit être libre, spécifique, éclairé et univoque, et l'article 7 du RGPD ajoute deux exigences qui structurent toute la gestion des autorisations :
- le responsable de traitement doit être en mesure de démontrer le consentement (article 7.1) ;
- la personne peut le retirer à tout moment, aussi simplement qu'elle l'a donné (article 7.3).
Le RGPD n'exige pas, en lui-même, un écrit. Mais l'obligation de preuve rend l'écrit indispensable en pratique : un accord oral ne se démontre pas lors d'un contrôle. Sur les conditions de validité, voir notre guide sur le consentement explicite.
L'intérêt légitime (article 6.1.f) pour certains usages internes
Certains usages internes et attendus, comme un annuaire ou un trombinoscope réservé aux collaborateurs, peuvent reposer sur l'intérêt légitime de l'employeur. Cette base exige une mise en balance documentée entre l'intérêt poursuivi et les droits des personnes, et elle ouvre au salarié un droit d'opposition au titre de l'article 21 du RGPD.
Le choix n'est pas neutre dans une relation de travail. Le considérant 43 du RGPD et les lignes directrices 05/2020 du CEPD sur le consentement soulignent qu'en raison du lien de subordination, un salarié est rarement en position de consentir librement. Le consentement reste possible pour une diffusion externe, à condition qu'un refus n'ait aucune conséquence pour le salarié, ce qui doit se lire dans la procédure.
Les mineurs : l'accord des deux parents
Pour l'image d'un enfant, la loi n° 2024-120 du 19 février 2024 a rétabli l'article 372-1 du Code civil : les parents protègent en commun le droit à l'image de leur enfant mineur, et l'associent à son exercice selon son âge et sa maturité. Concrètement, l'autorisation doit être recueillie auprès des titulaires de l'autorité parentale, ce qui concerne les entreprises qui photographient des enfants lors d'événements familiaux, de campagnes ou d'opérations clients.
Les cas fréquents en entreprise
Photos et vidéos de salariés
Trombinoscope, page équipe, posts LinkedIn, vidéos de recrutement : chaque usage est une finalité distincte, avec sa base légale et sa durée. Une bonne pratique consiste à distinguer clairement l'usage interne de la diffusion externe, et à recueillir une autorisation séparée pour la seconde. Le salarié qui refuse ne peut faire l'objet d'aucune mesure défavorable, et son refus doit être enregistré pour ne pas être oublié à la prochaine campagne photo.
Le départ d'un salarié est le moment où les écarts apparaissent : sa photo reste sur la page équipe, dans une brochure en ligne ou dans un ancien post. Prévoir dans l'autorisation ce qui se passe à la fin du contrat évite une demande d'effacement contentieuse.
Événements, salons et webinaires
Lors d'un événement, informer les participants avant l'entrée (invitation, affichage à l'accueil, formulaire d'inscription) qu'ils peuvent être photographiés ou filmés, et à quelles fins, permet de respecter l'obligation d'information de l'article 13 du RGPD. Cette information ne vaut pas autorisation de faire de quelqu'un le sujet d'un portrait diffusé : pour un témoignage, une interview ou un gros plan, l'accord individuel reste nécessaire. Prévoir aussi un moyen simple de signaler son refus (badge de couleur, zone hors champ).
Vidéosurveillance : un autre régime
La vidéosurveillance des locaux relève d'une logique différente : la finalité est la sécurité des biens et des personnes, pas la diffusion. Elle repose en principe sur l'intérêt légitime, et le Code du travail ajoute ses propres conditions : information préalable des salariés (article L. 1222-4), proportionnalité au but recherché (article L. 1121-1) et information-consultation du CSE (article L. 2312-38). La CNIL a consolidé ces exigences dans une fiche publiée le 9 juillet 2026, que nous avons résumée dans notre actualité sur le contrôle de l'activité des salariés. Pour les questions pratiques (placement des caméras, durée, affichage), voir notre guide sur la vidéosurveillance et le RGPD.
Droits des personnes et durée de conservation
Une image traitée au titre du RGPD ouvre à la personne l'ensemble de ses droits : information (article 13), accès, effacement (article 17), opposition lorsque le traitement repose sur l'intérêt légitime (article 21), et retrait du consentement lorsqu'il en est la base (article 7.3). Le retrait ne rend pas illicite ce qui a été fait avant lui, mais il interdit toute nouvelle utilisation : les publications en ligne doivent être retirées, les supports imprimés déjà distribués ne peuvent plus être réédités. Organiser la réponse à ces demandes est l'objet de notre guide sur l'exercice des droits.
Aucun texte ne fixe une durée unique pour une autorisation de droit à l'image. C'est au responsable de traitement de la déterminer selon la finalité, de l'écrire dans l'autorisation et de l'appliquer réellement, avec une suppression ou un archivage à l'échéance. Les principes généraux sont dans notre guide sur les durées de conservation. Côté outillage, ces traitements se suivent comme les autres : chaque usage de l'image (site, réseaux, intranet, vidéosurveillance) a sa ligne quand on veut tenir son registre des traitements à jour.
Les sanctions : civiles, pénales et administratives
Trois niveaux de responsabilité peuvent se cumuler.
- Civil : sur le fondement de l'article 9 du Code civil, la personne peut obtenir des dommages-intérêts et le retrait de l'image.
- Pénal : fixer, enregistrer ou transmettre sans son consentement l'image d'une personne se trouvant dans un lieu privé est puni d'un an d'emprisonnement et de 45 000 € d'amende (article 226-1 du Code pénal) ; conserver ou diffuser une image ainsi obtenue est puni des mêmes peines (article 226-2).
- Administratif : un traitement d'images non conforme au RGPD expose à une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83 du RGPD).
Les images de salariés sont un terrain de contrôle réel. Le 27 décembre 2023, la CNIL a sanctionné Amazon France Logistique d'une amende de 32 millions d'euros (délibération SAN-2023-021) pour des manquements liés à la surveillance des salariés, dont la vidéosurveillance des entrepôts. Le 23 décembre 2025, le Conseil d'État a réformé en partie la délibération et ramené l'amende à 15 millions d'euros. D'autres décisions sont recensées sur notre page sanctions RGPD.
De la règle au document : l'autorisation écrite
Les règles ci-dessus se traduisent, pour chaque diffusion, par une autorisation écrite qui identifie les parties, décrit les supports et la durée, rappelle les droits de la personne et prévoit le retrait. La rédaction clause par clause, avec un exemple prêt à adapter, est détaillée dans notre modèle d'autorisation de droit à l'image.
Pour suivre au même endroit les traitements d'images, les autorisations, leurs échéances et les demandes de retrait, avec le reste de votre conformité RGPD, demandez une démo de Leto.
Questions fréquemment posées
Une photo est-elle une donnée personnelle ?
Oui, dès qu'elle permet d'identifier une personne, directement ou indirectement (article 4.1 du RGPD). Sa captation, sa publication et sa conservation sont alors des traitements soumis au RGPD : finalité, base légale, information, durée de conservation et inscription au registre.
Faut-il un consentement écrit pour publier la photo d'un salarié ?
Le RGPD n'impose pas la forme écrite, mais il impose de pouvoir démontrer le consentement (article 7.1). Pour une diffusion externe, site ou réseaux sociaux, un accord écrit et spécifique est donc la seule pratique défendable. Il doit être réellement libre : un refus ne peut entraîner aucune conséquence pour le salarié.
Combien de temps vaut une autorisation de droit à l'image ?
Aucun texte ne fixe de durée unique. L'autorisation doit indiquer elle-même sa durée, adaptée à la finalité (une campagne, la durée du contrat de travail, un nombre d'années défini), et l'entreprise doit retirer ou supprimer les images à l'échéance.
Un salarié peut-il retirer son autorisation ?
Oui, à tout moment, lorsque le traitement repose sur son consentement (article 7.3 du RGPD). Le retrait ne rend pas illicites les utilisations passées, mais toute nouvelle utilisation est exclue : les publications en ligne doivent être retirées et les supports ne peuvent plus être réimprimés avec son image.
Une photo est-elle une donnée sensible ?
Pas en soi. Selon le considérant 51 du RGPD, une photo ne devient une donnée biométrique, donc une catégorie particulière au sens de l'article 9, que lorsqu'elle est traitée par un moyen technique spécifique permettant d'identifier ou d'authentifier une personne de manière unique, comme la reconnaissance faciale.
Peut-on publier une photo de groupe prise lors d'un événement ?
Une vue d'ensemble où personne n'est isolé est en principe admise, à condition d'avoir informé les participants en amont (article 13 du RGPD). Dès qu'une personne est cadrée pour elle-même ou mise en avant, son accord individuel est nécessaire.
