DROIT À L’IMAGE ET RGPD : LES ENJEUX D’UNE ADAPTATION NÉCESSAIRE

  • par
Droit à l’image et RGPD, photographe, femme, protection des données

Dans le cas particulier de l’usage artistique, la publication de photographies de personnes identifiables aux seules fins d’expression artistique n’est pas soumise aux principales dispositions de la Loi Informatique et Libertés.

Droit à l’image et RGPD : Comment appliquer le RGPD de manière cohérente avec la particularité du secteur et du droit à l’image ?

L’enjeu stratégique du choix de la base légale

Le premier d’entre ces principes est en logique celui de la base légale, ou condition de licéité, dont l’article 6 du RGPD fournit une liste exhaustive : un traitement de données à caractère personnel, en l’occurrence celui de l’image d’une personne physique, n’est licite que si et dans la mesure où, l’une au moins des conditions listées à cet article est remplie, à savoir :

a) La personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b)
Le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;
c)
Le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
d) Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;
e) Le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
f) Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. »

Ici comme ailleurs, le premier réflexe pourrait tendre à vouloir fonder toute collecte et utilisation de l’image sur le consentement de la personne physique concernée ; ce réflexe se justifierait d’ailleurs d’autant plus, en première analyse, que ce consentement est d’ores et déjà requis au titre des règles de droit commun précitées, issues du Code civil et du Code pénal.

Cette solution pose cependant des difficultés pratiques majeures, pour un grand nombre de situations, au regard de l’article 7.3 du RGPD, dans la mesure où celui-ci consacre un nouveau droit au retrait du consentement : dès lors que l’utilisation de l’image, en tant que traitement d’une donnée à caractère personnel, serait fondée sur le consentement de l’intéressé, ce dernier pourrait à tout moment changer
d’avis et imposer la cessation de cette utilisation, sans avoir à justifier d’aucun motif, ni qu’il puisse, semble-t-il, lui être opposé un quelconque contre-argument. L’application de l’article 7.3, tel qu’interprété par le G29 dans ses lignes directrices relatives au consentement, n’est en effet sujette à aucune mise en balance, de sorte que la décision de la personne concernée de faire cesser le traitement primera systématiquement.

Cette conséquence ne paraît évidemment pas acceptable pour des activités nécessitant une utilisation pérenne de l’image, telles que des activités audiovisuelles impliquant des coûts de production et de distribution plus ou moins élevés.

Il convient donc, pour éviter de tels écueils, d’explorer les bases légales alternatives au consentement, ainsi surtout que les droits des personnes concernées associés à chacune d’entre elles.  

L’un des autres apports majeurs du RGPD tient en effet dans une nouvelle ventilation de ces droits en fonction des différentes bases légales : ainsi, par exemple, l’article 21.1 clarifie que le droit d’opposition (lorsqu’il ne vise pas spécifiquement un traitement à des fins de prospection) ne peut être exercé qu’à l’égard de traitements fondés sur (i) l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ou (ii) sur la
poursuite d’un intérêt légitime du responsable du traitement ou d’un tiers.
En réalité, un nombre important de traitements portant sur l’image d’une personne physique pourront être justifiés par la nécessité de mettre en œuvre ces traitements pour l’exécution d’un contrat auquel cette personne est partie, conformément à l’article 6.1.b) du RGPD. Ce contrat pourrait même consister, en dernière analyse, dans la fameuse “autorisation droit à l’image” elle-même, puisque cette dernière (la CNIL ne dit pas autre chose) constitue bien un “accord écrit” portant engagement, a
minima, de la personne concernée d’autoriser et ne pas faire obstacle à l’utilisation de son image pour un objet déterminé ; le traitement de données à caractère personnel ne représente en effet, de ce point de vue, qu’une série d’opérations (capture, mise en ligne, diffusion) nécessaires pour la réalisation de cet objet.
Ainsi, il s’agit de remplacer le consentement au traitement, base légale de l’article 6.1.a) du RGPD, par le fondement contractuel. 
Cette adaptation et ce choix de base légale permet de se prémunir du risque lié au droit au retrait du consentement. En effet, pour les traitements fondés sur la nécessité de leur mise en œuvre pour l’exécution d’un contrat auquel la personne concernée est partie, le RGPD ne prévoit, de fait, ni droit au retrait du consentement, ni même un droit d’opposition (hormis, au titre de l’article 21.2, lorsque ce traitement a pour finalité une opération de prospection de la personne concernée). L’utilisation de l’image pourra ainsi être maintenue jusqu’au terme du contrat lui-même, ou jusqu’à sa résiliation selon les règles de droit civil applicables.
Lorsqu’un tel contrat ne peut être identifié, reste accessible, pour une autre base légale alternative au consentement, la poursuite d’un intérêt légitime du responsable du traitement, sous réserve évidemment de l’existence de cet intérêt et que les droits des personnes concernées ne le priment pas, selon le libellé de l’article 6.1.f) du RGPD. Dans cette hypothèse, ces personnes pourront certes s’opposer à la continuation de l’utilisation de leur image, mais uniquement sur démonstration de
“raisons tenant à [leur] situation particulière” respective, et non de façon inconditionnelle comme lorsque le traitement est fondé sur le consentement.
On notera enfin, bien sûr, que pour certaines hypothèses, il paraît raisonnablement impossible de se passer de ce consentement au traitement ; tel est le cas, notamment, pour la capture et l’utilisation de l’image d’enfants, pour lesquelles la CNIL rappelle que le consentement (celui des parents) est indispensable, compte tenu (on le comprend) de la nature spécifique de ces données et des risques associés.

Le droit à l’image et les données sensibles

 

En sus de la question de la base légale, il paraît loisible de s’interroger sur le régime des données dites sensibles, à savoir les données à caractère personnel qui révèlent “l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que les données génétiques, les données biométriques traitées aux fins d’identifier une personne physique de manière unique, et les données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique“.

En effet, dans certains cas, la simple image d’une personne physique peut révéler des informations significatives concernant, par exemple, son origine “raciale ou ethnique” ou son état de santé.
Il résulterait de cette qualification, pour les “images sensibles”, une étape de raisonnement supplémentaire à prendre en compte : celle, imposée par l’article 9 du RGPD, consistant à trouver un cas d’autorisation du traitement de ces données, lequel est soumis à un principe général d’interdiction.
Il est possible de se référer à l’article 9.2.e), prévoyant que les données ont été “manifestement rendues publiques par la personne concernée“, par exemple sur un réseau social ; en dernière instance, sinon, l’interdiction pourra toujours être levée par le consentement explicite de la personne concernée, conformément à l’article 9.2.a) – avec cette conséquence, dans cette hypothèse, que la base légale s’en trouvera à son tour déterminée, à savoir qu’il s’agira, de fait, du consentement.

L’identification de la base légale appropriée est donc un enjeu de toute première importance, et ce à plus forte raison qu’elle doit désormais être indiquée à la personne concernée dans le cadre de l’obligation d’information de cette dernière, conformément aux articles 13.1.c) et 14.1.c) du RGPD.

Cette obligation d’information constitue d’ailleurs un deuxième volet essentiel de l’impact du RGPD sur les problématiques liées au droit à l’image. En rappelant et en élargissant la liste des mentions obligatoires à communiquer aux personnes concernées par un traitement de données à caractère personnel, les articles 13 et 14 du RGPD invitent en effet à porter une attention scrupuleuse au contenu des “autorisations droit à l’image” : alors que ces dernières sont en règle générale assez
succinctes, et se bornent à évoquer le contexte de la capture de l’image (la sortie classe de neige, la fête d’entreprise, etc.) ainsi que la nature de ses utilisations envisagées (diffusion interne, mise en ligne sur un site Internet public, etc.), il convient, dans un souci de bon respect de la réglementation, de faire apparaître dans cette autorisation, entre autres, l’identité précise de l’auteur de l’exploitation
(responsable du traitement), de la durée de conservation des données, ainsi que la liste et les modalités des droits que tiennent les personnes concernées de cette réglementation – en fonction, ainsi qu’indiqué précédemment, de la base légale retenue pour le traitement.
Sous ce rapport, l’autorisation droit à l’image représente moins une manière d’obtenir le consentement de l’intéressé au traitement de ses données que le support de l’information obligatoire à lui communiquer en application du RGPD ; la signature de l’autorisation est de même, à cet égard, le moyen de garantir la preuve de la bonne fourniture de cette information, dans l’anticipation de toute éventuelle contestation ultérieure, preuve qu’il conviendra par conséquent de conserver pour la durée de l’exploitation effective de l’image.

Autres articles à consulter

Votre Conformité RGPD est notre Priorité !

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *