Photographier des collègues sans consentement

01La pratique et le cadre juridique

Photographier ses collègues — pot de départ, séminaire, selfie d'équipe — est un geste devenu réflexe. Dans l'Union européenne, ce réflexe rencontre un cadre juridique précis : dès lors qu'une personne est identifiable, sa photographie est une donnée personnelle au sens de l'article 4, paragraphe 1, du RGPD, et la capter, la conserver ou la diffuser constitue un traitement qui exige une base légale (article 6). Contrairement à une idée répandue, la photo n'est pas pour autant une donnée « sensible » par défaut : le considérant 51 du règlement précise qu'elle ne relève des données biométriques que si elle est traitée par des moyens techniques spécifiques permettant l'identification unique — la reconnaissance faciale, pas l'album du séminaire. En France s'ajoute un régime distinct et plus ancien, le droit à l'image, rattaché à l'article 9 du Code civil : selon la formule de la CNIL, « toute personne a sur son image un droit exclusif et absolu et peut s'opposer à son utilisation » ; l'employeur qui veut faire figurer la photographie d'un salarié dans un annuaire, sur un site ou sur les réseaux sociaux doit recueillir son autorisation, exprimée clairement — la CNIL recommande l'écrit, qui fixe aussi l'étendue des usages consentis.

02Où ça dérape : le piège du consentement au travail

Le malentendu le plus fréquent n'oppose pas seulement les continents, il vit à l'intérieur même du droit européen : croire qu'un « oui » lancé devant le photographe règle la question. Au travail, le consentement est précisément la base légale la plus fragile. Le groupe de l'article 29 (avis 2/2017 sur le traitement des données au travail, adopté le 8 juin 2017) considère que le salarié n'est presque jamais en mesure de donner, refuser ou révoquer librement son consentement, du fait de sa dépendance à l'employeur ; le Comité européen de la protection des données (lignes directrices 05/2020 sur le consentement, 4 mai 2020) juge « problématique » de fonder sur le consentement le traitement des données de salariés, sauf si le refus est réellement sans conséquence. D'où les exigences pratiques : autorisation libre, documentée, révocable, et spécifique — accepter l'intranet n'est pas accepter LinkedIn. Côté américain, le contraste est net : aucune loi fédérale n'interdit à un employeur d'utiliser la photo de ses salariés ; la protection est éclatée entre politiques internes et « right of publicity » des États, qui vise l'exploitation commerciale de l'image. Même la loi biométrique la plus stricte, le BIPA de l'Illinois (740 ILCS 14), exclut expressément les photographies de sa définition — tout en couvrant le gabarit facial qui en serait extrait, parallèle presque mot pour mot du considérant 51 européen. Le cadre américain qui poste le selfie d'équipe sans y penser et le collègue européen qui y voit un traitement illicite sont chacun cohérents avec leur droit.

03Genèse historique

La protection française de l'image naît avant la photographie de bureau : le 16 juin 1858, le tribunal civil de la Seine interdit la publication du portrait de la tragédienne Rachel dessinée sur son lit de mort, jugeant que « nul ne peut, sans le consentement formel de la famille, reproduire ou livrer à la publicité les traits d'une personne sur son lit de mort, quelle qu'ait été la célébrité de cette personne » — première décision protégeant l'image d'une personne, un siècle et demi avant les réseaux sociaux. La jurisprudence rattachera ensuite le droit à l'image à l'article 9 du Code civil et au droit au respect de la vie privée. L'Europe des données emprunte l'autre voie : directive 95/46 puis RGPD (applicable le 25 mai 2018), qui saisit l'image non comme attribut de la personnalité mais comme donnée personnelle traitée — deux logiques qui, en France, se cumulent. La doctrine des régulateurs sur le consentement au travail (avis 2/2017, lignes directrices 05/2020) a fait le reste : au bureau, l'image des collègues n'est plus une affaire de politesse mais de conformité.

04Cas documentés

Par un arrêt du 19 janvier 2022 (n° 20-12.420 et autres), la chambre sociale de la Cour de cassation, au visa de l'article 9 du Code civil, juge que « le droit dont la personne dispose sur son image porte sur sa captation, sa conservation, sa reproduction et son utilisation » et que « la seule constatation d'une atteinte ouvre droit à réparation » : des salariés dont la photo d'équipe était restée sur le site de l'employeur malgré une demande de retrait n'ont pas à prouver un préjudice. En Espagne, l'autorité de protection des données (AEPD) a sanctionné de 9 000 euros d'amende une entreprise qui avait publié les images d'une salariée sur son site et ses réseaux sociaux sans pouvoir prouver son consentement, et ignoré deux demandes d'effacement (procédure PS/00119/2021). Et dès le 21 août 2019, la première amende RGPD de Suède visait l'image et la dépendance : 200 000 couronnes contre la commission scolaire de Skellefteå pour un essai de reconnaissance faciale sur 22 élèves — le consentement recueilli a été jugé invalide parce que les intéressés étaient en situation de dépendance vis-à-vis de l'institution, raisonnement que les régulateurs appliquent tel quel à la relation de travail.

05Recommandations pratiques

Employeur européen : choisir la base légale en connaissance de cause, recueillir une autorisation écrite distincte par usage (intranet, site public, réseaux sociaux, presse), la conserver, et retirer l'image à la première demande — c'est le maintien après demande de retrait que la Cour de cassation sanctionne sans exiger de preuve d'un préjudice. Collègue photographe : demander avant de capter, demander à nouveau avant de publier, et accepter un refus sans le commenter — le refus n'a pas à être justifié. Salarié : le refus est un droit ; pour un retrait, une demande écrite datée suffit à constituer la preuve. Visiteur ou manager non européen : ne pas transposer le réflexe du selfie d'équipe posté — dans l'UE, la question « qui est identifiable et qui a accepté quoi ? » se pose avant publication, et en France le droit à l'image s'ajoute au RGPD. Dans le doute, se rappeler que la captation elle-même est déjà un traitement — et que la diffusion sans autorisation est ce qui expose le plus.

Geografia do mal-entendido

Incidentes documentados

• 2019 — Première amende RGPD de Suède, annoncée le 21 août 2019 : 200 000 couronnes (environ 20 000 euros) contre la commission scolaire de Skellefteå pour un essai de reconnaissance faciale contrôlant la présence de 22 élèves pendant trois semaines. Le consentement recueilli est jugé invalide : les intéressés sont en situation de dépendance vis-à-vis de l'institution — le raisonnement que les régulateurs européens appliquent aussi à la relation employeur-salarié. L'image traitée par reconnaissance faciale devient une donnée biométrique (considérant 51). (EDPB, « Facial recognition in school renders Sweden's first GDPR fine », 2019 ; IAPP, août 2019.)
• 2021 — L'autorité espagnole de protection des données sanctionne de 9 000 euros d'amende une entreprise du secteur éducatif qui avait publié les images d'une salariée sur son nouveau site web et ses réseaux sociaux sans pouvoir prouver un consentement, puis ignoré deux demandes d'effacement (procédure PS/00119/2021, recours rejeté en mars 2022). Publier la photo d'un salarié sans base légale démontrable est une violation autonome du RGPD. (AEPD, PS/00119/2021 ; DataGuidance ; Iberley (résolution du recours, 15 mars 2022).)
• 2022 — Par arrêt du 19 janvier 2022 (n° 20-12.420 et autres), la chambre sociale juge, au visa de l'article 9 du Code civil, que le droit sur l'image porte sur « sa captation, sa conservation, sa reproduction et son utilisation » et que « la seule constatation d'une atteinte ouvre droit à réparation » : les salariés dont la photo d'équipe était restée en ligne malgré une demande de retrait n'ont pas à prouver un préjudice. L'atteinte au droit à l'image du salarié se répare de plein droit. (Cass. soc., 19 janvier 2022, n° 20-12.420 (Légifrance JURITEXT000045067800) ; CMS Francis Lefebvre, 2022.)

Recomendações práticas

Alternativas neutras

• Photo de groupe volontaire (seuls ceux qui le souhaitent entrent dans le cadre)
• Plans larges ou de dos ne permettant pas l'identification
• Illustration sans personnes (lieux, objets) pour la communication publique

Fontes · 8