En France, chaque visage sur une photo est une donnée personnelle. Ce n'est pas une figure de style : c'est la loi. Depuis l'entrée en vigueur du Règlement Général sur la Protection des Données en mai 2018, toute image permettant d'identifier une personne — directement ou indirectement — relève du champ d'application du RGPD. Et les conséquences d'un manquement ne sont plus théoriques.

Pourtant, des milliers de photos sont publiées chaque jour sur des sites web, des réseaux sociaux et des supports marketing sans qu'aucun consentement n'ait été recueilli. Agences immobilières qui diffusent des clichés de quartier avec des passants identifiables, entreprises qui partagent des photos d'événements internes, médias qui illustrent des articles avec des images de foule… Autant de situations à risque.

Alors, que dit exactement la loi ? Quelles sont vos obligations ? Et surtout, comment vous mettre en conformité sans renoncer à utiliser vos photos ?

Le cadre juridique : trois textes, une même exigence

Le RGPD : le visage comme donnée biométrique

Le RGPD (Règlement UE 2016/679) définit comme donnée personnelle « toute information se rapportant à une personne physique identifiée ou identifiable ». Un visage sur une photographie entre pleinement dans cette définition.

L'article 9 du RGPD va plus loin : les données biométriques — dont les traits du visage lorsqu'ils permettent une identification unique — constituent une catégorie de données sensibles. Leur traitement est interdit par principe, sauf exceptions limitées (consentement explicite, intérêt public, etc.).

En pratique, cela signifie que toute entreprise qui collecte, stocke ou publie des photos de personnes identifiables doit justifier d'une base légale valide. Le consentement est la plus courante, mais il doit être libre, spécifique, éclairé et univoque. Autant dire que le simple fait de prendre une photo lors d'un événement ne suffit pas.

Le Code civil, article 9 : le droit à l'image à la française

Avant même le RGPD, le droit français protégeait déjà l'image des individus. L'article 9 du Code civil dispose que « chacun a droit au respect de sa vie privée ». La jurisprudence en a tiré un droit à l'image autonome : nul ne peut publier la photographie d'une personne sans son consentement préalable.

Ce droit s'applique indépendamment du RGPD. Concrètement, même si vous estimez avoir un intérêt légitime au sens du RGPD pour publier une photo, la personne photographiée peut toujours invoquer son droit à l'image devant les tribunaux civils. Les deux protections se cumulent.

La CNIL : des recommandations qui font autorité

La Commission Nationale de l'Informatique et des Libertés a publié plusieurs guides sur la captation d'images dans l'espace public et privé. Sa position est constante : l'anonymisation est la mesure la plus efficace pour concilier utilisation des images et respect de la vie privée.

La CNIL distingue clairement l'anonymisation (irréversible) de la pseudonymisation (réversible). Seule l'anonymisation fait sortir les données du champ du RGPD. Autrement dit, si vous anonymisez correctement un visage, la photo n'est plus considérée comme une donnée personnelle.

Les risques concrets pour les entreprises

Des amendes qui comptent

Les sanctions prévues par le RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En France, la CNIL a prononcé des amendes significatives ces dernières années pour des manquements liés à la vidéosurveillance et au traitement d'images.

Mais au-delà des amendes, c'est le risque réputationnel qui inquiète le plus les organisations. Une plainte pour atteinte au droit à l'image, relayée sur les réseaux sociaux, peut causer des dommages bien supérieurs à toute sanction financière.

Des secteurs particulièrement exposés

• Immobilier : les photos de biens en extérieur capturent régulièrement des passants, des voisins ou des plaques d'immatriculation.
• Événementiel : photos de salons, conférences ou séminaires diffusées sans vérification des consentements.
• Médias et presse : le droit à l'information offre certaines exceptions, mais elles sont encadrées.
• Éducation : photos de classe, sorties scolaires et événements sportifs impliquant des mineurs, soumis à des règles encore plus strictes.
• Collectivités : communication municipale, rapports annuels, sites web officiels.

L'anonymisation : la réponse pragmatique

Pourquoi anonymiser plutôt que demander le consentement ?

Le consentement est la base légale la plus intuitive, mais aussi la plus fragile. Il doit être recueilli avant la prise de vue, documenté, et peut être retiré à tout moment. Sur une photo de groupe de 50 personnes lors d'un événement, obtenir le consentement écrit de chaque individu est irréaliste.

L'anonymisation des visages résout ce problème à la source. En rendant les personnes non identifiables, vous supprimez l'obligation de consentement et sortez du périmètre du RGPD pour ces données. Vous pouvez ensuite publier, archiver et réutiliser vos images librement.

Ce que doit garantir une bonne anonymisation

Pour être considérée comme valide par la CNIL, l'anonymisation doit être :

1. Irréversible : il ne doit pas être possible de retrouver le visage original à partir de l'image anonymisée.
2. Complète : tous les visages identifiables doivent être traités, pas seulement certains.
3. Résistante : la méthode doit résister aux tentatives de ré-identification, y compris par des algorithmes.

C'est précisément ce que propose l'outil FaceAway. Plutôt que de flouter ou de pixeliser les visages — des méthodes qui dégradent la qualité visuelle et peuvent parfois être inversées —, FaceAway utilise l'IA générative pour remplacer chaque visage par un visage synthétique unique et réaliste. Le résultat est une photo d'apparence naturelle, conforme aux exigences d'anonymisation les plus strictes.

Comment passer à l'action

La mise en conformité ne nécessite pas de bouleverser vos processus. Voici une approche progressive :

1. Auditez vos contenus existants : identifiez les photos publiées sur votre site, vos réseaux sociaux et vos supports marketing qui contiennent des visages identifiables sans consentement documenté.
2. Définissez une politique interne : établissez des règles claires sur la captation et la publication d'images. Qui valide ? Quand faut-il anonymiser ?
3. Intégrez l'anonymisation dans votre workflow : avec un outil comme FaceAway, l'anonymisation prend quelques secondes par image. Elle peut s'intégrer naturellement avant chaque publication.
4. Documentez vos démarches : le RGPD impose un principe de responsabilité (accountability). Conservez la trace de vos décisions et de vos procédures d'anonymisation.

La conformité RGPD n'est pas un frein à la communication visuelle. C'est un cadre qui, bien maîtrisé, renforce la confiance de votre audience et protège votre organisation.

Ce qu'il faut retenir

Le droit à l'image et la protection des données personnelles ne sont plus des sujets de niche réservés aux juristes. Toute organisation qui publie des photos doit intégrer ces enjeux dans sa stratégie de communication. L'anonymisation des visages, et en particulier l'anonymisation par IA générative, offre une solution à la fois robuste, rapide et respectueuse de la qualité visuelle.

Vous souhaitez tester l'anonymisation sur vos propres images ? Essayez FaceAway gratuitement et constatez la différence avec les méthodes de floutage traditionnelles. Pour les besoins récurrents, découvrez nos formules adaptées aux professionnels.