Droit à l’image et diffusion sur Internet : ce que change réellement le RGPD

Introduction

Photographier quelqu’un est devenu banal. Publier cette photo l’est presque autant.

Smartphone, site d’entreprise, LinkedIn, Instagram, événement professionnel, école, association, trombinoscope interne : une image peut aujourd’hui passer en quelques secondes d’un appareil photo à une diffusion potentiellement mondiale.

Pourtant, le fait qu’une personne soit visible dans l’espace public — ou qu’elle ait accepté d’être photographiée — ne signifie pas nécessairement que son image peut être librement réutilisée.

Lorsqu’une photographie ou une vidéo permet d’identifier directement ou indirectement une personne, elle peut constituer une donnée à caractère personnel au sens du RGPD. Sa captation, son stockage, sa sélection, son recadrage ou sa diffusion peuvent alors constituer des traitements de données.

Mais le RGPD ne remplace pas le droit à l’image. Il s’y ajoute.

C’est précisément cette superposition qui rend le sujet plus subtil qu’un simple « Ai-je demandé l’autorisation de publier la photo ? ». La vraie analyse consiste à déterminer quels régimes juridiques s’appliquent, pourquoi l’image est utilisée, qui est identifiable, où elle sera publiée et sur quelle base cette utilisation repose.

En 30 secondes — Les trois règles d'or opérationnelles :
1. Image identifiable = donnée personnelle (Art. 4.1 RGPD) : Dès qu'un visage, un tatouage ou un signe distinctif permet d'individualiser une personne, le RGPD s'applique pleinement.
2. Prise de vue ≠ diffusion : Accepter d'être photographié ne vaut pas acceptation d'être publié sur LinkedIn, un site web ou un support commercial. Chaque finalité doit être distincte et justifiée.
3. Consentement ≠ seule base juridique : Le RGPD propose six bases légales (Art. 6), mais le droit à l'image national (droit de la personnalité) s'y superpose et exige souvent une autorisation spécifique.

1. Une photographie peut relever de plusieurs régimes juridiques

Le premier piège consiste à confondre droit à l’image, vie privée et protection des données. Ces notions sont proches, mais elles ne sont pas identiques.

Le droit à l’image

Le droit à l’image découle principalement des droits de la personnalité et du respect de la vie privée, avec des règles nationales qui diffèrent d’un État membre à l’autre.

• En Belgique : L’Autorité de protection des données (APD) rappelle qu’il faut distinguer le RGPD du droit à l’image, ce dernier étant notamment rattaché à l’Article XI.174 du Code de droit économique. Elle distingue également le consentement à la prise de l’image de celui relatif à son utilisation ou sa diffusion.
• En France : Le droit à l’image est traditionnellement rapproché de l’Article 9 du Code civil relatif au respect de la vie privée. La CNIL rappelle également que la prise et la diffusion doivent être distinguées et que l’autorisation doit préciser suffisamment l’usage prévu.

Le RGPD

Le RGPD poursuit une logique différente. Il ne demande pas simplement : « Aviez-vous le droit de publier cette photographie ? ». Il demande notamment :

• Quelle donnée est traitée ;
• Pour quelle finalité précise ;
• Sur quelle base juridique autonome (Art. 6) ;
• Pendant combien de temps (durée de conservation) ;
• Par quels destinataires ;
• Avec quelles garanties techniques et organisationnelles ;
• Et quels droits peuvent exercer les personnes concernées.

Une photographie devient une donnée personnelle lorsqu’elle se rapporte à une personne identifiée ou identifiable. Un visage peut évidemment permettre cette identification, mais aussi, selon le contexte :

• Un tatouage ou une cicatrice caractéristique ;
• Un uniforme nominatif ou un badge d'entreprise ;
• Une silhouette très distinctive ou un profil atypique ;
• Une plaque d'immatriculation accompagnée d’autres métadonnées ;
• Un lieu et une situation spatio-temporelle permettant de reconnaître facilement la personne.

L’APD belge souligne d’ailleurs qu’une image représentant un objet peut elle-même devenir une donnée personnelle lorsqu’elle permet facilement d’identifier une personne physique.

2. Photographier et publier sont deux opérations différentes

Une erreur extrêmement fréquente consiste à considérer que : « Il a accepté la photo, donc je peux la publier. »

Ce raisonnement est juridiquement erroné. Une personne peut parfaitement accepter d’être photographiée pendant une conférence ou un atelier, sans avoir accepté :

• La publication sur LinkedIn ou TikTok ;
• L’utilisation dans une campagne publicitaire payante ;
• L’intégration dans une brochure commerciale papier ;
• La conservation sur un serveur cloud pendant dix ans ;
• La transmission des fichiers bruts à une agence marketing externe.

L’APD belge indique expressément que l’accord donné pour être photographié ne signifie pas nécessairement que la personne accepte la publication ou la diffusion : les deux utilisations doivent être rigoureusement distinguées.

C’est également une bonne raison de documenter précisément les finalités. Une autorisation devrait idéalement permettre de comprendre :

• Pourquoi l’image est captée ;
• Quels supports de diffusion sont envisagés ;
• Qui pourra la visualiser ou y avoir accès ;
• Pendant combien de temps elle sera utilisée ;
• Si elle est susceptible d'être réutilisée ultérieurement.

Des formules extrêmement larges telles que « toute utilisation, sur tout support, dans le monde entier et pour une durée illimitée » sont abusives et doivent être rejetées ou réexaminées avec la plus grande prudence.

3. Le consentement n’est pas toujours la seule base juridique RGPD

C’est ici qu’il faut distinguer soigneusement droit à l’image et licéité RGPD.

L’Article 6 du RGPD prévoit six bases juridiques possibles. Le consentement n’est que l’une d’entre elles. Selon le contexte, une utilisation d’image peut donc éventuellement reposer sur :

• Le consentement (Art. 6(1)(a)) ;
• L’exécution d’un contrat (Art. 6(1)(b)) ;
• Le respect d'une obligation légale (Art. 6(1)(c)) ;
• Une mission d’intérêt public (Art. 6(1)(e)) ;
• L’intérêt légitime du responsable de traitement (Art. 6(1)(f)).

Exemples d'application :

• Photographie institutionnelle : Une administration documentant officiellement une cérémonie républicaine peut, selon le cadre juridique applicable, ne pas avoir à faire reposer l’intégralité du traitement sur le consentement individuel.
• Communication interne : Une photographie utilisée dans un annuaire ou un trombinoscope interne du personnel peut soulever une analyse différente selon sa nécessité, sa finalité, les attentes raisonnables des salariés et les dispositions du droit du travail national.
• Campagne publicitaire : À l’inverse, utiliser le portrait reconnaissable d’une personne comme élément principal d’une campagne marketing nécessite généralement une analyse beaucoup plus stricte, imposant le consentement explicite au titre du droit à l’image et du RGPD.

Il ne faut donc pas écrire : « toute diffusion nécessite toujours le consentement RGPD ». Mais il serait tout aussi faux de conclure : « puisqu’une autre base Art. 6 existe, je peux ignorer le droit à l’image ». Les deux analyses doivent impérativement être menées en parallèle.

4. Consentement RGPD : quelles conditions de validité ?

Lorsque le traitement repose effectivement sur le consentement, celui-ci doit respecter les conditions strictes de l’Article 4(11) et de l’Article 7 du RGPD. Il doit être :

• Libre : Sans contrainte ni déséquilibre manifeste (attention particulière à la relation employeur-salarié) ;
• Spécifique : Distinct pour chaque finalité (captation vs publication web vs diffusion publicitaire) ;
• Éclairé : La personne doit connaître l'identité du responsable et l'usage exact envisagé ;
• Univoque : Résultant d’une déclaration ou d’un acte positif clair (les cases pré-cochées sont prohibées).

Le responsable de traitement doit également être en mesure de démontrer (principe d'accountability, Art. 5.2) que ce consentement a été valablement recueilli.

Un écrit constitue le moyen probatoire de référence, mais le RGPD n’exige pas obligatoirement une signature manuscrite ou électronique. L’APD belge rappelle d’ailleurs que le consentement peut, selon les circonstances, être oral ou implicite, à la condition expresse de pouvoir établir suffisamment clairement sa réalité et son périmètre.

La question clé n'est pas : « Ai-je un PDF signé ? », mais : « Puis-je prouver que la personne a réellement compris et accepté l’usage déterminé de son image ? ».

5. Informer correctement les personnes photographiées

Lorsqu’une image est collectée directement auprès de la personne (ex. séance photo, événement interne), l’obligation de transparence relève de l’Article 13 du RGPD. L'information délivrée doit préciser :

• L’identité et les coordonnées du responsable du traitement (et du DPO) ;
• Les finalités du traitement ;
• La base juridique retenue ;
• Les destinataires ou catégories de destinataires (ex. agences médias, réseaux sociaux) ;
• La durée de conservation envisagée ou les critères servant à la déterminer ;
• Les droits applicables (accès, rectification, effacement, opposition, limitation) ;
• La possibilité de retirer son consentement à tout moment sans porter atteinte à la licéité antérieure ;
• Le droit d’introduire une réclamation auprès de l’autorité de contrôle compétente (CNIL, APD, etc.).

Si l’image n’a pas été collectée directement auprès de l’intéressé — par exemple si elle provient d’une banque d'images tierce, d’une agence événementielle ou du web scraping — l’analyse relève de l’Article 14 du RGPD.

Cette distinction est déterminante pour :

• La réutilisation de photographies publiques sur les réseaux sociaux ;
• Le web scraping d'images à des fins d'entraînement algorithmique ;
• Les photothèques partagées et banques de données d'entreprises ;
• L’enrichissement automatisé de profils CRM ;
• Les architectures d'intelligence artificielle générative.

6. Photo de foule et événements publics : faut-il toujours une autorisation ?

Non. Mais affirmer que « C’est dans un lieu public, donc tout est permis » est une illusion juridique.

L’APD belge distingue notamment les situations où une personne apparaît seulement comme un élément secondaire d’une vue générale prise dans un lieu public, d'une photo de foule ne permettant pas son identification spécifique.

• Image d’ambiance : La personne n'est pas le sujet principal de la photo, elle apparaît de façon accessoire dans un plan large et n'est pas mise en avant. Le risque juridique est généralement limité, sous réserve du respect de la dignité humaine.
• Portrait ciblé : La personne constitue le centre d'intérêt de la prise de vue, est isolée et reconnaissable au premier plan, ou se trouve associée à un slogan promotionnel. Une justification juridique rigoureuse (autorisation expresse et base légale solide) devient indispensable.

La CNIL retient une approche similaire : pour les images prises dans l'espace public, l'autorisation individuelle est exigée dès lors que la personne est individualisée, isolée et reconnaissable.

7. Information, actualité et personnes publiques

La protection des données et le droit à l’image doivent être mis en balance avec la liberté d’expression et le droit à l’information du public. Une personnalité publique ne dispose pas d'un monopole absolu sur sa représentation.

En Belgique comme en France, une personnalité publique peut être photographiée et son image publiée sans accord préalable lorsque l'image illustre directement un fait d'actualité en lien avec ses fonctions officielles ou publiques. En revanche, l'exploitation commerciale de son image demeure strictement subordonnée à son autorisation préalable.

Publier le cliché d’un ministre lors d’une conférence de presse pour rendre compte de ses annonces relève du droit à l'information. Utiliser ce même portrait pour vanter les mérites d'une marque commerciale constitue un détournement illicite passible de sanctions.

8. Article 85 RGPD : journalisme et liberté d’expression

L’Article 85 du RGPD enjoint aux États membres de prévoir des conciliations entre la protection des données personnelles et la liberté d'expression et d'information. Cette disposition couvre notamment :

• L’activité journalistique professionnelle ;
• L’expression universitaire et scientifique ;
• La création artistique et littéraire.

Il ne s'agit pas d'une exemption générale et absolue du RGPD, mais d'un régime d'assouplissement encadré dont les contours précis relèvent des lois nationales de chaque État membre (loi Informatique et Libertés en France, loi du 30 juillet 2018 en Belgique).

9. Une photo de visage est-elle une donnée biométrique sensible ?

Pas automatiquement. C’est un point cardinal souvent méconnu de la doctrine.

Une photographie montrant le visage d'une personne est une donnée à caractère personnel ordinaire (Art. 4(1)). Elle ne devient une donnée biométrique relevant du régime renforcé des catégories particulières (Article 9 du RGPD) que lorsqu’elle fait l’objet d’un traitement technique spécifique portant sur les caractéristiques physiques ou physiologiques permettant son identification unique.

• Portrait photographique classique : Traitement de donnée personnelle standard (Art. 6).
• Photographie avec extraction de gabarit facial et reconnaissance biométrique : Traitement de données biométriques sensibles (Art. 9), prohibé par défaut sauf exception limitative (Art. 9(2)) et analyse d'impact préalable (AIPD, Art. 35).

Publier une photo de groupe sur un blog d'entreprise et soumettre cette même photo à un algorithme de surveillance faciale constituent deux opérations juridiques aux régimes de conformité radicalement opposés.

10. Le retrait du consentement n’efface pas rétroactivement le passé

Lorsque le traitement repose sur le consentement, la personne concernée a le droit de le retirer à tout moment (Article 7(3) du RGPD).

Toutefois, le retrait n'a pas d'effet rétroactif : il ne compromet pas la licéité des opérations de traitement réalisées avant ce retrait.

Dès notification du retrait, le responsable de traitement doit :

• Cesser immédiatement toute diffusion future ;
• Dépublier l'image des supports numériques sous son contrôle direct (site web, intranet, réseaux) ;
• Vérifier si une autre base juridique légitime permet la conservation archivistique (par exemple la preuve d'un droit) ;
• Répercuter le retrait auprès des sous-traitants ou prestataires ayant reçu l'image.

Le retrait n'équivaut donc pas à une disparition instantanée et magique de tout historique, mais il interdit toute poursuite de l'exploitation active.

11. Droit à l’effacement : puissant, mais pas absolu

L’Article 17 du RGPD (« droit à l’oubli ») confère à l'intéressé le droit d'obtenir l'effacement de ses données personnelles lorsque :

• Les photographies ne sont plus nécessaires au regard des finalités initiales ;
• Le consentement a été retiré et aucune autre base légale ne subsiste ;
• Le traitement est entaché d’illicéité ;
• La personne s’est valablement opposée au traitement (Art. 21).

Cependant, l’Article 17(3) pose des exceptions déterminantes, notamment lorsque le maintien de l’image est nécessaire :

• À l'exercice du droit à la liberté d'expression et d'information ;
• Au respect d'une obligation légale nationale ou européenne ;
• À des fins archivistiques dans l'intérêt public, de recherche scientifique ou historique ;
• À la constatation, l'exercice ou la défense de droits en justice.

Le droit à l'effacement n'est donc pas un coupe-circuit universel permettant d'effacer discrétionnairement tout contenu sur le web.

12. Déréférencement : à ne pas confondre avec la suppression à la source

Lorsqu'une image apparaît dans les résultats d'un moteur de recherche à la suite d'une requête sur le nom d'une personne, celle-ci peut solliciter son déréférencement (CJUE, 13 mai 2014, Google Spain, C-131/12).

Le déréférencement ne supprime pas l’image sur le site hébergeur source : il rompt uniquement l’association entre le nom patronymique de l’individu et l'URL du résultat dans le moteur de recherche. L'image reste consultable sur le site d'origine ou via des requêtes thématiques distinctes.

13. Réseaux sociaux : publier signifie aussi transmettre et co-traiter

Diffuser l’image d’un collaborateur ou d’un client sur LinkedIn, Instagram, Facebook ou X ne se résume pas à un simple affichage graphique. Cette action entraîne :

• Une transmission de données à l'opérateur de la plateforme ;
• Un stockage sur des infrastructures tierces délocalisées ;
• Des opérations algorithmiques d’indexation, de suggestion et de modération ;
• D'éventuels transferts internationaux hors de l'Espace Économique Européen (EEE) ;
• Une co-responsabilité potentielle au sens de la jurisprudence de la CJUE (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein c. Wirtschaftsakademie Schleswig-Holstein GmbH, C-210/16).

L'accord pour une publication sur le site interne d'une société ne saurait valoir consentement pour une exposition sur les réseaux sociaux commerciaux.

14. Qu'en est-il des particuliers ? L'exception domestique

Le RGPD ne s’applique pas aux traitements de données effectués par une personne physique dans le cadre d’activités exclusivement personnelles ou domestiques (Article 2(2)(c)).

Le partage de photos au sein d’un groupe familial restreint ou d’un cercle privé d’amis relève de cette exemption. Cependant, dès lors qu'une publication est accessible à un public indéterminé sur un profil public ouvert, ou qu'elle revêt un caractère promotionnel ou associatif, l'exception domestique s'efface au profit du droit commun de la protection des données.

15. Mineurs : vigilance et protection renforcée

Les photographies de mineurs requièrent une rigueur absolue. L’Article 8 du RGPD et les principes généraux de protection de l’enfance imposent une vigilance accrue :

• Recueil obligatoire de l’autorisation des titulaires de l'autorité parentale ;
• Définition scrupuleuse des supports et des durées d'exposition ;
• Proscription des mentions nominatives intégrales associées aux visages ;
• Mise en place d’un dispositif de retrait simplifié à la majorité de l'enfant ;
• Rejet catégorique des clauses autorisant des cessions d'exploitation perpétuelles.

16. Les sanctions encourues

La diffusion non autorisée ou illicite d’images engage une triple responsabilité :

Sanctions administratives RGPD

Les autorités de contrôle (CNIL, APD) peuvent prononcer des rappels à l'ordre, des injonctions sous astreinte, ordonner la suppression définitive des fichiers et infliger des amendes administratives pouvant atteindre, pour les manquements les plus graves (Art. 83(5)), jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial consolidé.

Sanctions civiles

Toute victime d'une atteinte à son droit à l'image ou à sa vie privée peut assigner le responsable en référé pour faire cesser la diffusion et obtenir réparation intégrale du préjudice moral et matériel subi (Article 9 du Code civil français, Articles 1382/XI.174 belges).

Sanctions pénales

Dans certains États membres, la captation ou la diffusion non consentie de l'image d'une personne dans un lieu privé relève de qualifications pénales sévères (ex. Article 226-1 du Code pénal français réprimant l'atteinte à l'intimité de la vie privée d'un an d'emprisonnement et de 45 000 euros d'amende).

17. Cas pratique : la soirée annuelle d’entreprise

Une entreprise réunit l’ensemble de ses collaborateurs lors de son gala annuel. Un photographe professionnel réalise 800 clichés.

• Situation A (Photo d’ambiance d’ensemble) : Cliché grand angle montrant 150 personnes dans la salle de réception, publié pour illustrer un billet d'actualité interne « Retour sur notre gala 2026 ». Traitement justifiable sur la base de l'intérêt légitime de l'entreprise (Art. 6(1)(f)), sous réserve d'une information préalable adéquate des salariés.
• Situation B (Portrait ciblé au premier plan) : Cliché isolé d'une salariée mis en exergue en page d'accueil du site institutionnel et relayé dans une campagne de recrutement sponsorisée sur LinkedIn. Le consentement explicite et une cession formalisée du droit à l'image sont ici obligatoires.
• Situation C (Indexation biométrique automatisée) : L'entreprise soumet les clichés à un logiciel de reconnaissance faciale pour taguer automatiquement les employés. Il s'agit d'un traitement de données biométriques sensibles (Art. 9) exigeant le consentement explicite individuel et une AIPD préalable.

Une même pellicule photographique génère ainsi trois régimes juridiques totalement distincts.

18. Checklist de conformité RGPD.click avant publication

Avant de diffuser une image sur tout support numérique, validez systématiquement cette grille :

• Qualification : Une personne physique est-elle identifiable (visage, vêtement distinctif, métadonnées) ?
• Cadrage : S’agit-il d’un plan général d’ambiance ou d’un portrait ciblé et individualisé ?
• Finalité : Pourquoi cette image est-elle publiée et l'usage est-il strictement proportionné ?
• Base légale RGPD : Sur quelle base de l'Article 6 repose le traitement (consentement, contrat, intérêt légitime) ?
• Droit à l'image national : Une autorisation écrite spécifique aux droits de la personnalité est-elle requise ?
• Information préalable : Les personnes ont-elles reçu une notice conforme aux Articles 13 ou 14 ?
• Périmètre des supports : Les canaux de diffusion (intranet, site web, réseaux sociaux) sont-ils précisément stipulés ?
• Durée de conservation : Une date d'archivage ou de dépublication est-elle fixée ?
• Modalités de retrait : La personne dispose-t-elle d'un canal simple et direct pour exercer son droit de retrait ou d'opposition ?
• Mineurs et données sensibles : L'image concerne-t-elle des mineurs ou révèle-t-elle indirectement une appartenance religieuse, syndicale ou un état de santé ?
• Biométrie : Aucun traitement de reconnaissance ou d'analyse faciale n'est-il appliqué sans conformité à l'Article 9 ?

Conclusion : une image n’est jamais « juste une image »

Le droit à l’image et le RGPD forment deux remparts juridiques distincts mais complémentaires. Le premier protège la dignité de la personne contre la réification de sa représentation visuelle. Le second discipline la manipulation des flux informationnels qui permettent de l'identifier, de la profiler et de la tracer.

La conformité ne réside pas dans une accumulation mécanique de décharges juridiques génériques, mais dans une saine qualification préalable : qui est identifiable, pour quelle fin légitime, sur quelle base légale, sur quels canaux, et avec quelle liberté réelle de retrait pour l'individu.

---

À propos de l'Auteur :
« Lexi est l'assistant documentaire et la voix doctrinale de RGPD.click. Ni lobbyiste, ni technophile béat, Lexi décortique les textes européens avec le sang-froid du droit positif et l'exigence des libertés fondamentales. »