Photos des salariés : autorisation et RGPD

Une photo destinée à reconnaître un collègue dans l’annuaire ne donne pas automatiquement le droit de l’utiliser dans une campagne publicitaire. Pour une PME, la bonne méthode consiste à distinguer les usages, obtenir une autorisation adaptée et savoir où retirer les images lorsqu’un salarié refuse une nouvelle diffusion ou quitte l’entreprise.

Ce qu’il faut retenir

• Le droit à l’image et le RGPD se cumulent : une base légale ne remplace pas l’autorisation de diffuser un portrait.
• Le caractère interne du trombinoscope ne dispense pas de demander cette autorisation.
• Pour une communication volontaire, le refus doit rester sans conséquence professionnelle.
• Chaque autorisation doit délimiter les supports, les objectifs et la durée ; les usages après départ doivent être examinés expressément.
• La preuve d’une autorisation et la photographie publiée n’ont pas nécessairement la même durée de conservation.

Distinguer la photo, son usage et sa base légale

Une image permettant d’identifier un salarié est une donnée personnelle. Elle ne devient pas automatiquement une donnée biométrique sensible : cette qualification suppose un traitement technique spécifique permettant ou confirmant l’identification unique. Un système de reconnaissance faciale demande donc une analyse différente d’un annuaire comportant des portraits. Le RGPD impose, dans les deux cas, une finalité déterminée et une base légale : articles 4(1), 4(14), 5(1)(b), 6(1) et, pour la biométrie concernée, 9(1) et 9(2). Source : RGPD.

L’équipe RH doit écrire une ligne par usage : annuaire interne, badge, page de présentation publique, publication sur un réseau social, document commercial. Précisez les destinataires et la raison pour laquelle une photo est nécessaire. Une simple préférence graphique ne justifie pas de contraindre toute l’équipe à apparaître publiquement. Le choix de la base légale du traitement doit suivre cette analyse, avant la collecte.

Le trombinoscope interne nécessite une autorisation

La CNIL répond explicitement que l’employeur doit obtenir une autorisation claire et non ambiguë pour utiliser une photographie dans l’annuaire du personnel, qu’il soit interne ou externe. Elle recommande un écrit permettant de prouver l’accord et d’en définir le périmètre. L’intérêt légitime invoqué pour organiser un annuaire ne neutralise donc pas le droit à l’image. Source : CNIL, photographie dans l’annuaire du personnel.

Prévoyez une alternative fonctionnelle : nom, fonction, coordonnées professionnelles et avatar neutre. Rendez possible le remplacement d’un portrait devenu inadapté. Ne déduisez pas l’accord du seul fait que le salarié a participé à une séance photo : la prise de vue et les diffusions ultérieures doivent correspondre à ce qui lui a été expliqué.

Pour une campagne volontaire fondée sur le consentement RGPD, l’article 7(1) impose de pouvoir démontrer ce consentement. L’article 7(3) impose un retrait aussi simple que l’accord initial, sans remettre en cause la licéité des opérations antérieures au retrait. L’absence de liberté réelle, notamment si le refus pénalise le salarié, fragilise ce fondement ; voir aussi le considérant 43. Source : RGPD, consentement. Notre guide sur le consentement valable aide à organiser ce choix.

Une trame d’autorisation à adapter

L’autorisation suivante concerne une communication facultative. Elle ne couvre pas un dispositif de sécurité ou de reconnaissance biométrique.

Personne concernée : [nom]. Organisme utilisateur : [identité et contact]. Images concernées : [séance, fichiers ou description permettant de les identifier]. J’autorise leur utilisation pour [objectif précis]. Je choisis séparément les supports suivants : [annuaire réservé aux salariés] ; [page publique précisément identifiée] ; [réseau social et compte] ; [brochure définie]. Cette autorisation vaut du [date] au [date], pour [territoire ou diffusion internet accessible mondialement]. Les réutilisations dans un autre contexte nécessitent un nouvel examen et, lorsque nécessaire, un nouvel accord. Mon refus n’a pas de conséquence sur ma situation professionnelle. Pour demander un retrait ou exercer mes droits, je contacte [adresse]. Les conditions applicables à un départ de l’entreprise sont : [retrait des pages d’équipe, devenir des supports déjà diffusés et éventuel usage distinct expressément autorisé].

Joignez une notice précisant les informations de l’article 13 du RGPD, notamment la base légale, les destinataires, les durées, les droits et la réclamation auprès de la CNIL. En pratique, faites valider le document par les RH et la communication, puis rattachez chaque fichier à la version de l’autorisation correspondante. Une autorisation signée mais introuvable lors d’une demande de retrait ne permet pas une gestion fiable.

La fiche Service Public insiste également sur la précision du support, de l’objectif et de la durée de diffusion. Les exceptions liées à l’information du public ne constituent pas une permission générale de publier des salariés reconnaissables lors d’un séminaire privé. Source : droit à l’image et respect de la vie privée.

Préparer le retrait et le départ du salarié

Le 13 mai 2026, la Cour de cassation a confirmé une condamnation pour maintien de la photographie d’un salarié sur le site de l’entreprise après son départ. Dans cette affaire, l’autorisation sans limitation temporelle ne définissait pas suffisamment clairement sa durée. La Cour rappelle l’importance des limites de durée, de territoire, de supports et de contexte. Ce raisonnement invite à examiner chaque autorisation ; il ne signifie pas que toute autorisation précisément rédigée s’éteint nécessairement à chaque rupture. Source : Cass. soc., 13 mai 2026, n° 24-19.117, points 7 à 11.

Ajoutez une rubrique « images » à la procédure de départ d’un salarié. Le responsable de communication relève les pages, fichiers téléchargeables, publications programmées, prestataires et banques d’images internes concernés. Il arrête les nouvelles utilisations dépourvues d’autorisation valable et consigne les retraits réalisés. Une ancienne brochure déjà distribuée, une page actuelle présentant l’équipe et une archive probatoire ne se traitent pas mécaniquement de la même manière.

Conservez seulement les éléments nécessaires pour prouver les autorisations et les opérations de retrait, avec des accès restreints et une durée justifiée. N’utilisez pas cette archive comme une réserve d’images pour de nouvelles campagnes. Pour les photos d’un événement réunissant aussi des clients ou partenaires, complétez cette procédure par le guide des photos d’événements utilisées en marketing.

Questions fréquentes

Le contrat de travail peut-il contenir une autorisation générale ?

Une clause très large couvrant tous les supports, tous les usages et une durée indéfinie est fragile. Préférez une autorisation distincte, compréhensible et liée aux utilisations prévues. L’accord sur une communication facultative doit rester libre, même si le document est remis à l’embauche.

Une photo de groupe dispense-t-elle de demander un accord ?

Pas automatiquement. Le contexte, le caractère reconnaissable des personnes et la finalité de diffusion comptent. Une photo d’équipe pour promouvoir l’entreprise ne devient pas une image d’actualité du seul fait que plusieurs salariés y figurent.

Faut-il effacer immédiatement toute preuve après un retrait ?

Le retrait met fin aux utilisations futures fondées sur le consentement. Une conservation limitée de preuves peut répondre à une finalité distincte, notamment la défense de droits ; elle doit être justifiée, sécurisée et séparée de la bibliothèque de communication. Elle ne permet pas de continuer à publier l’image.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.