LE DROIT À L’IMAGE ET LE RGPD : LES ENJEUX D’UNE ADAPTATION NÉCESSAIRE DE “L’AUTORISATION DU DROIT À L’IMAGE”

Dans le cas particulier de l’usage artistique, la publication de photographies de personnes identifiables aux seules fins d’expression artistique n’est pas soumise aux principales dispositions de la Loi Informatique et Libertés.

En revanche, dans le cadre de l’exploitation d’image à des fins publicitaire ou marketing, la captation de l’image est soumise au RGPD.

Cependant, le droit à l’image est une matière historiquement gouvernée, en France, par les dispositions de l’article 9 du Code civil, tel que précisées au gré d’une jurisprudence nombreuse et ancienne, ainsi que par celles de plusieurs articles du Code pénal, en particulier ses articles 226-1 et suivants. Il résulte en substance de l’application de ces dispositions que quiconque capture pour la diffuser et l’exploiter l’image d’une personne physique sans le consentement de cette dernière s’expose, sauf circonstances particulières justifiant cette capture ou cette utilisation, par exemple liées au statut de personnalité publique de la personne concernée, au risque de sanctions civiles (obligation de réparation du préjudice d’atteinte à la vie privée, retrait ou destruction des copies diffusées de l’image) voire pénales si la capture a pris place dans un lieu privé.

La CNIL reconnaît d’ailleurs officiellement cette application duale du droit à l’image “historique” issu des dispositions du Code civil et du Code pénal et du droit de la protection des données à caractère personnel, dans une fiche pratique “Demander le retrait de votre image en ligne” du 4 novembre 2015.

Afin de parer à ce risque de sanctions, la pratique a développé l’usage de “l’autorisation de droit à l’image”, par laquelle la personne concernée consent explicitement à certaines utilisations déterminées de son image.

Cette solution, mise en œuvre dans le cadre de nombreux contextes (événements scolaires, universitaires ou d’entreprises, jeux concours, émissions de télévision) doit pourtant aujourd’hui être repensée et possiblement révisée de par l’entrée en vigueur du RGPD qui reconnait un droit inconditionnel au retrait du consentement. En effet, il semble aujourd’hui difficilement imaginable pour des activités audiovisuelles d’être sous la menace constante d’un retrait du consentement alors même que des coûts financiers de production conséquents auraient pu être engagés.

Ceci étant exposé, reste donc à analyser comment la réglementation des traitements de données à caractère personnel vient appuyer les principes historiques du droit à l’image. En d’autres termes, comment appliquer le RGPD de manière cohérente avec la particularité du secteur et du droit à l’image ?

  • L’enjeu stratégique du choix de la base légale

Le premier d’entre ces principes est en logique celui de la base légale, ou condition de licéité, dont l’article 6 du RGPD fournit une liste exhaustive : un traitement de données à caractère personnel, en l’occurrence celui de l’image d’une personne physique, n’est licite que si et dans la mesure où, l’une au moins des conditions listées à cet article est remplie, à savoir :

  1. a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
  2. b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;
  3. c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
  4. d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;
  5. e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
  6. f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. »

Ici comme ailleurs, le premier réflexe pourrait tendre à vouloir fonder toute collecte et utilisation de l’image sur le consentement de la personne physique concernée ; ce réflexe se justifierait d’ailleurs d’autant plus, en première analyse, que ce consentement est d’ores et déjà requis au titre des règles de droit commun précitées, issues du Code civil et du Code pénal.

Cette solution pose cependant des difficultés pratiques majeures, pour un grand nombre de situations, au regard de l’article 7.3 du RGPD, dans la mesure où celui-ci consacre un nouveau droit  au retrait du consentement : dès lors que l’utilisation de l’image, en tant que traitement d’une donnée à caractère personnel, serait fondée sur le consentement de l’intéressé, ce dernier pourrait à tout moment changer d’avis et imposer la cessation de cette utilisation, sans avoir à justifier d’aucun motif, ni qu’il puisse, semble-t-il, lui être opposé un quelconque contre-argument. L’application de l’article 7.3, tel qu’interprété par le G29 dans ses lignes directrices relatives au consentement, n’est en effet sujette à aucune mise en balance, de sorte que la décision de la personne concernée de faire cesser le traitement primera systématiquement.

Cette conséquence ne paraît évidemment pas acceptable pour des activités nécessitant une utilisation pérenne de l’image, telles que des activités audiovisuelles impliquant des coûts de production et de distribution plus ou moins élevés.

Il convient donc, pour éviter de tels écueils, d’explorer les bases légales alternatives au consentement, ainsi surtout que les droits des personnes concernées associés à chacune d’entre elles. L’un des autres apports majeurs du RGPD tient en effet dans une nouvelle ventilation de ces droits en fonction des différentes bases légales : ainsi, par exemple, l’article 21.1 clarifie que le droit d’opposition (lorsqu’il ne vise pas spécifiquement un traitement à des fins de prospection) ne peut être exercé qu’à l’égard de traitements fondés sur (i) l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ou (ii) sur la poursuite d’un intérêt légitime du responsable du traitement ou d’un tiers.

En réalité, un nombre important de traitements portant sur l’image d’une personne physique pourront être justifiés par la nécessité de mettre en œuvre ces traitements pour l’exécution d’un contrat auquel cette personne est partie, conformément à l’article 6.1.b) du RGPD. Ce contrat pourrait même consister, en dernière analyse, dans la fameuse “autorisation droit à l’image” elle-même, puisque cette dernière (la CNIL ne dit pas autre chose) constitue bien un “accord écrit” portant engagement, a minima, de la personne concernée d’autoriser et ne pas faire obstacle à l’utilisation de son image pour un objet déterminé ; le traitement de données à caractère personnel ne représente en effet, de ce point de vue, qu’une série d’opérations (capture, mise en ligne, diffusion) nécessaires pour la réalisation de cet objet.

Ainsi, il s’agit de remplacer le consentement au traitement, base légale de l’article 6.1.a) du RGPD, par le fondement contractuel. Cette adaptation et ce choix de base légale permet de se prémunir du risque lié au droit au retrait du consentement. En effet, pour les traitements fondés sur la nécessité de leur mise en œuvre pour l’exécution d’un contrat auquel la personne concernée est partie, le RGPD ne prévoit, de fait, ni droit au retrait du consentement, ni même un droit d’opposition (hormis, au titre de l’article 21.2, lorsque ce traitement a pour finalité une opération de prospection de la personne concernée). L’utilisation de l’image pourra ainsi être maintenue jusqu’au terme du contrat lui-même, ou jusqu’à sa résiliation selon les règles de droit civil applicables.

Lorsqu’un tel contrat ne peut être identifié, reste accessible, pour une autre base légale alternative au consentement, la poursuite d’un intérêt légitime du responsable du traitement, sous réserve évidemment de l’existence de cet intérêt et que les droits des personnes concernées ne le priment pas, selon le libellé de l’article 6.1.f) du RGPD. Dans cette hypothèse, ces personnes pourront certes s’opposer à la continuation de l’utilisation de leur image, mais uniquement sur démonstration de “raisons tenant à [leur] situation particulière” respective, et non de façon inconditionnelle comme lorsque le traitement est fondé sur le consentement.

On notera enfin, bien sûr, que pour certaines hypothèses, il paraît raisonnablement impossible de se passer de ce consentement au traitement ; tel est le cas, notamment, pour la capture et l’utilisation de l’image d’enfants, pour lesquelles la CNIL rappelle que le consentement (celui des parents) est indispensable, compte tenu (on le comprend) de la nature spécifique de ces données et des risques associés.

 

  • Le droit à l’image et les données sensibles

En sus de la question de la base légale, il paraît loisible de s’interroger sur le régime des données dites sensibles, à savoir les données à caractère personnel qui révèlent “l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que [les] données génétiques, [les] données biométriques [traitées] aux fins d’identifier une personne physique de manière unique, [et les] données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique“.

En effet, dans certains cas, la simple image d’une personne physique peut révéler des informations significatives concernant, par exemple, son origine “raciale ou ethnique” ou son état de santé.

Il résulterait de cette qualification, pour les “images sensibles”, une étape de raisonnement supplémentaire à prendre en compte : celle, imposée par l’article 9 du GDPR, consistant à trouver un cas d’autorisation du traitement de ces données, lequel est soumis à un principe général d’interdiction. Il est possible de se référer à l’article 9.2.e), prévoyant que les données ont été “manifestement rendues publiques par la personne concernée“, par exemple sur un réseau social ; en dernière instance, sinon, l’interdiction pourra toujours être levée par le consentement explicite de la personne concernée, conformément à l’article 9.2.a) – avec cette conséquence, dans cette hypothèse, que la base légale s’en trouvera à son tour déterminée, à savoir qu’il s’agira, de fait, du consentement.

L’identification de la base légale appropriée est donc un enjeu de toute première importance, et ce à plus forte raison qu’elle doit désormais être indiquée à la personne concernée dans le cadre de l’obligation d’information de cette dernière, conformément aux articles 13.1.c) et 14.1.c) du RGPD.

Cette obligation d’information constitue d’ailleurs un deuxième volet essentiel de l’impact du RGPD sur les problématiques liées au droit à l’image. En rappelant et en élargissant la liste des mentions obligatoires à communiquer aux personnes concernées par un traitement de données à caractère personnel, les articles 13 et 14 du RGPD invitent en effet à porter une attention scrupuleuse au contenu des “autorisations droit à l’image” : alors que ces dernières sont en règle générale assez succinctes, et se bornent à évoquer le contexte de la capture de l’image (la sortie classe de neige, la fête d’entreprise, etc.) ainsi que la nature de ses utilisations envisagées (diffusion interne, mise en ligne sur un site Internet public, etc.), il convient, dans un souci de bon respect de la réglementation, de faire apparaître dans cette autorisation, entre autres, l’identité précise de l’auteur de l’exploitation (responsable du traitement), de la durée de conservation des données, ainsi que la liste et les modalités des droits que tiennent les personnes concernées de cette réglementation – en fonction, ainsi qu’indiqué précédemment, de la base légale retenue pour le traitement.

Sous ce rapport, l’autorisation droit à l’image représente moins une manière d’obtenir le consentement de l’intéressé au traitement de ses données que le support de l’information obligatoire à lui communiquer en application du RGPD ; la signature de l’autorisation est de même, à cet égard, le moyen de garantir la preuve de la bonne fourniture de cette information, dans l’anticipation de toute éventuelle contestation ultérieure, preuve qu’il conviendra par conséquent de conserver pour la durée de l’exploitation effective de l’image.

 


accueil Blog Actu-CIL