Une photo d'équipe sur le site, un trombinoscope diffusé sur LinkedIn, une plaquette commerciale qui met en avant les visages des collaborateurs : ces usages sont devenus la norme dans les entreprises de services, de conseil ou d'hôtellerie. Pourtant, la formule que la plupart des employeurs font signer, une ligne dans le contrat de travail ou un formulaire « tous supports, monde entier, sans limitation de durée », ne protège pas. La Cour de cassation vient de juger qu'une autorisation d'exploitation de l'image d'un salarié consentie sans limitation de durée cesse à la rupture du contrat de travail (Cass. soc., 13 mai 2026, n° 24-19.117). Cet article explique l'articulation entre le droit à l'image et le RGPD, ce que jugent réellement les tribunaux, et détaille les neuf clauses qu'une autorisation de droit à l'image doit contenir pour rester opposable.
Le double verrou : droit à l'image et RGPD
Toute diffusion de l'image d'un salarié se heurte à deux régimes juridiques distincts, qui se cumulent. Une entreprise qui ne sécurise que l'un des deux reste exposée sur l'autre. Comprendre cette articulation est la condition d'une autorisation réellement protectrice.
Le droit à l'image : un droit exclusif qui couvre plus que la diffusion
Le droit à l'image est un attribut du droit au respect de la vie privée garanti par l'article 9 du Code civil et, sur le plan conventionnel, par l'article 8 de la Convention européenne des droits de l'homme. Chacun dispose sur son image d'un droit exclusif, qui lui permet de s'opposer à son utilisation sans son accord. La Cour de cassation en a précisé l'étendue dans des termes qu'aucune entreprise ne devrait perdre de vue : le droit de la personne sur son image porte sur sa captation, sa conservation, sa reproduction et son utilisation (Cass. soc., 14 févr. 2024, n° 22-18.014).
La faute ne commence donc pas à la publication. Photographier un salarié sans accord, conserver les clichés, les réutiliser sur un nouveau support : chaque étape requiert une autorisation. Et cet accord obéit à un principe de spécialité. L'autorisation s'interprète strictement et ne vaut que pour les usages qu'elle vise. Une autorisation donnée pour le journal interne ne couvre pas la plaquette commerciale ; une autorisation donnée pour le site ne couvre pas la page LinkedIn de l'entreprise. Le lien de subordination n'y change rien : le salarié ne laisse pas son droit à l'image au vestiaire, et l'employeur ne peut pas déduire une autorisation du seul fait que le salarié a posé sans protester.
L'image est une donnée personnelle : le second verrou
Une photographie ou une vidéo sur laquelle une personne est identifiable est une donnée à caractère personnel au sens de l'article 4, point 1, du RGPD (v. CJUE, 14 févr. 2019, Buivids, C-345/17, pour un enregistrement vidéo). Sa collecte, sa conservation et sa diffusion constituent des traitements, qui exigent une base légale (art. 6), une information complète des personnes (art. 13), une durée de conservation définie et le respect des droits d'accès, d'opposition (art. 21) et d'effacement (art. 17). La CNIL (Commission nationale de l'informatique et des libertés) le rappelle dans sa doctrine : la personne qui découvre son image en ligne dispose de deux leviers cumulatifs, le droit à l'image de l'article 9 du Code civil et les droits RGPD, dont le droit d'obtenir l'effacement.
Pour la communication d'entreprise, site, réseaux sociaux, supports commerciaux, la base légale adaptée est le consentement (art. 6, § 1, a). L'intérêt légitime est parfois défendable pour des usages internes limités, par exemple un trombinoscope réservé aux équipes, mais il ne résiste pas pour une diffusion publique à visée promotionnelle. La mise en balance penche du côté du salarié, qui ne s'attend pas raisonnablement à devenir un support publicitaire de son employeur.
Pourquoi une « cession de droit à l'image » ne règle pas tout
Les deux régimes n'obéissent pas à la même logique, et c'est précisément là que la plupart des autorisations en circulation échouent. L'autorisation de droit à l'image est un acte civil, qui peut être consenti pour une durée, avec ou sans contrepartie. Le consentement RGPD, lui, est révocable à tout moment, aussi simplement qu'il a été donné (art. 7, § 3), et aucune clause ne peut y déroger.
La Cour de cassation admet certes que la cession du droit à l'image relève de la liberté contractuelle, mais à une condition qu'elle vient de formuler avec une netteté inédite : que les parties aient stipulé de façon suffisamment claire les limites de l'autorisation donnée quant à sa durée, son domaine géographique, la nature des supports et l'exclusion de certains contextes (Cass. soc., 13 mai 2026, n° 24-19.117). Et même la cession la mieux rédigée reste inopérante sur le terrain du RGPD : le salarié qui retire son consentement peut exiger la fin de la diffusion pour l'avenir, l'employeur ne conservant que la légalité des utilisations passées, le retrait n'étant pas rétroactif. Une autorisation bien rédigée n'est donc pas celle qui prétend tout verrouiller ; c'est celle qui organise honnêtement la réversibilité.
Le consentement du salarié : possible, mais exigeant
Recueillir un consentement valable auprès d'un subordonné n'est pas impossible, mais suppose de respecter trois exigences que la pratique néglige presque toujours.
Le contrat de travail ne suffit jamais
Ni le contrat de travail, ni le règlement intérieur, ni une clause générale insérée à l'embauche ne valent autorisation. D'abord parce que l'autorisation doit être spéciale : elle vise des images, des supports, des finalités et une durée, ce qu'une clause type signée avant même toute prise de vue ne peut pas faire. Ensuite parce que le consentement RGPD doit être distinct des autres stipulations contractuelles. Une demande de consentement noyée dans un contrat qui porte sur autre chose ne satisfait pas aux conditions de l'article 7, § 2. En pratique, il faut un document dédié, par campagne de prises de vues ou par ensemble cohérent d'usages, signé en connaissance de cause.
Un consentement libre malgré la subordination
Le consentement n'est valable que s'il est libre (art. 4, point 11, RGPD), et le considérant 43 présume qu'il ne l'est pas en cas de déséquilibre manifeste entre la personne et le responsable de traitement. La relation de travail est l'exemple canonique de ce déséquilibre. Le CEPD (Comité européen de la protection des données) considère que le consentement du salarié ne peut être une base valable que dans les situations où le refus n'emporte aucune conséquence défavorable, et cite précisément le cas des tournages et prises de vues en entreprise, admis lorsque le salarié qui refuse d'apparaître n'en subit aucun désavantage (lignes directrices 5/2020 du 4 mai 2020, pts 21 s. ; déjà en ce sens G29, avis 2/2017 du 8 juin 2017 sur le traitement des données au travail).
La conséquence pratique est double. L'autorisation doit mentionner expressément que le refus et le retrait sont sans incidence sur la relation de travail, et l'entreprise doit s'y tenir. Un refus de figurer sur la plaquette qui ressurgit ensuite en entretien annuel ruine rétroactivement la liberté du consentement de toute l'équipe.
Le retrait : anticiper plutôt que subir
Le salarié, ou l'ancien salarié, peut retirer son consentement à tout moment, sans motif. Le retrait n'a pas d'effet rétroactif, mais il oblige pour l'avenir : dépublication du site et des réseaux, retrait des supports numériques, gestion raisonnée des supports déjà imprimés. Le contentieux naît presque toujours de l'exécution. Une demande de retrait traitée avec un retard conséquent suffit à caractériser l'atteinte, ce qui était précisément le cas dans l'arrêt du 19 janvier 2022. L'entreprise doit donc savoir, avant même la première prise de vue, où chaque image sera publiée et comment elle en sera retirée, ce qui suppose un inventaire des supports tenu à jour au registre des traitements (art. 30).
Ce que juge la Cour de cassation : trois arrêts qui fixent la pratique
Trois décisions récentes dessinent une politique jurisprudentielle cohérente, dont chaque entreprise diffusant l'image de ses salariés doit tirer les conséquences.
L'arrêt du 19 janvier 2022 pose une règle décisive : l'atteinte se répare sans preuve d'un préjudice. Des salariés demandent le retrait d'une photo d'équipe publiée sur le site de l'entreprise ; l'employeur s'exécute tardivement. La cour d'appel les déboute faute de preuve d'un préjudice ; la Cour de cassation casse : la seule constatation de l'atteinte au droit à l'image ouvre droit à réparation (Cass. soc., 19 janv. 2022, n° 20-12.420). C'est une exception remarquable à la jurisprudence générale qui exige la démonstration du préjudice. En matière de droit à l'image, l'atteinte est le préjudice.
L'arrêt du 14 février 2024 précise le périmètre du droit et vise la diffusion aux clients. L'employeur avait diffusé à ses clients une plaquette comportant les photos individuelles et collectives de ses salariés, sans accord. La Cour réaffirme que le droit à l'image couvre captation, conservation, reproduction et utilisation, et que la seule constatation de l'atteinte ouvre droit à réparation (Cass. soc., 14 févr. 2024, n° 22-18.014). La diffusion commerciale de l'image des équipes, pratique banale dans les services, le conseil et l'hôtellerie, exige un consentement individuel et préalable.
L'arrêt du 13 mai 2026 tranche la question de la durée : l'autorisation « sans limitation de durée » meurt avec le contrat. Un salarié avait signé à l'embauche une autorisation d'exploitation de son image sans limitation de durée ; après une rupture conventionnelle, sa photo demeure sur le site. La Cour rejette le pourvoi de l'employeur, qui invoquait la prohibition des engagements perpétuels pour soutenir que l'autorisation illimitée survivait au contrat, et approuve la cour d'appel d'en avoir déduit la cessation de l'autorisation à la rupture (Cass. soc., 13 mai 2026, n° 24-19.117).
Le maintien de l'image après le départ caractérise l'atteinte, réparée sans exigence d'un préjudice prouvé, sur le fondement des articles 9 du Code civil et 8 de la Convention européenne des droits de l'homme.
La leçon est contre-intuitive et mérite d'être soulignée : l'absence de limite de durée ne joue pas en faveur de l'employeur, elle se retourne contre lui. Faute de terme stipulé clairement, l'autorisation meurt avec le contrat.
À ce triptyque civil s'ajoute un risque pénal dans certaines configurations. La captation de l'image d'une personne dans un lieu privé sans son consentement est réprimée par l'article 226-1 du Code pénal (un an d'emprisonnement, 45 000 euros d'amende). La publication d'un montage réalisé avec l'image d'une personne sans son consentement, y compris depuis la loi SREN n° 2024-449 du 21 mai 2024 un contenu généré par un traitement algorithmique, relève de l'article 226-8. L'article 226-2 sanctionne pour sa part la conservation et la diffusion des enregistrements ainsi obtenus.
Les neuf clauses d'une autorisation opposable
Plutôt qu'un modèle à recopier, qui serait par construction inadapté à des supports, des usages et une organisation donnés, voici les neuf clauses qu'une autorisation de droit à l'image de salarié doit contenir, et ce que chacune doit dire.
- L'identification des images visées. L'autorisation porte sur des prises de vues déterminées ou déterminables : la séance photo de tel jour, les captations réalisées lors de tel événement, les vidéos tournées pour telle campagne. Une autorisation « pour toute image réalisée pendant la durée du contrat » n'est pas spéciale, elle est fragile.
- Les finalités et les supports, énumérés limitativement. Site internet en précisant les rubriques (page équipe, site carrière), réseaux sociaux de l'entreprise nommément désignés, plaquettes et supports commerciaux, presse, intranet, signatures de courriels : chaque support doit être listé. La formule « tous supports connus ou inconnus à ce jour » ne couvre, en interprétation stricte, pas grand-chose. L'arrêt du 13 mai 2026 invite en outre à stipuler l'exclusion de certains contextes, par exemple que l'image ne sera pas associée à des contenus polémiques, politiques ou publicitaires pour des tiers. Tout nouvel usage appelle un avenant.
- La durée et le sort de l'image à la rupture du contrat. Depuis l'arrêt du 13 mai 2026, c'est la clause centrale. Stipuler une durée déterminée, deux ans renouvelables par exemple, et régler expressément le départ : retrait des supports numériques dans un délai défini (trente jours est un standard raisonnable), sort des supports imprimés déjà diffusés, sort des photos d'équipe où l'intéressé figure parmi d'autres. Une survie limitée après la rupture peut être prévue, à condition d'être clairement stipulée pour des supports identifiés, et elle restera à la merci d'un retrait de consentement pour l'avenir.
- Le territoire. Une publication sur internet est une diffusion mondiale ; l'autorisation doit l'assumer expressément plutôt que de stipuler un territoire « France » que le premier partage venu démentira.
- La contrepartie ou la gratuité. L'autorisation consentie dans le cadre des fonctions est en principe gratuite ; le dire évite la discussion. À l'inverse, si l'image du salarié devient un actif de communication, égérie d'une campagne ou visage récurrent de la marque, la contrepartie se négocie et se stipule.
- Les modalités de retrait. Le point de contact, idéalement le DPO (délégué à la protection des données) ou la direction juridique, la forme de la demande, le délai de dépublication effective, et le sort des supports non rappelables comme les tirages papier ou les publications de tiers. C'est la clause qui évite le contentieux : l'arrêt de 2022 sanctionne un retrait tardif, pas un refus.
- Le volet RGPD. L'autorisation ne dispense pas de l'information de l'article 13 : identité du responsable de traitement, base légale (le consentement, avec mention de son caractère librement révocable), destinataires, durées de conservation des fichiers sources et des publications, droits des personnes et voies de recours dont la réclamation auprès de la CNIL, coordonnées du DPO le cas échéant. Mieux vaut l'intégrer à l'autorisation, ou y renvoyer précisément, plutôt que de la supposer couverte par la politique générale de confidentialité.
- La liberté du consentement. La mention expresse que le refus de signer, comme le retrait ultérieur, est sans conséquence sur la relation de travail, l'évaluation et la carrière. Cette clause n'est pas cosmétique : c'est elle qui, au sens des lignes directrices 5/2020 du CEPD, rend le consentement d'un subordonné concevable.
- Les exclusions expresses, dont l'IA. Ce que l'autorisation ne permet pas mérite d'être écrit : pas de sous-licence à des tiers, pas de modification de l'image au-delà des retouches techniques, et, exclusion devenue indispensable, pas d'utilisation de l'image pour entraîner un système d'IA, générer des avatars ou des contenus de synthèse reproduisant les traits ou la voix du salarié. La publication d'un deepfake non consenti expose au pénal (art. 226-8 C. pén.) et, pour le déployeur du système, aux obligations de transparence de l'article 50 du règlement (UE) 2024/1689 sur l'IA. Si l'entreprise veut précisément produire un avatar IA d'un collaborateur pour ses vidéos de formation, il lui faut une autorisation spécifique, distincte, qui le dit en toutes lettres.
Trois situations qui piègent les entreprises
Au-delà de la rédaction de l'autorisation, le contentieux se noue le plus souvent dans l'exécution. Trois configurations concentrent l'essentiel du risque.
Le départ du salarié
C'est de loin le premier gisement de contentieux, et le plus évitable. L'offboarding doit comporter une étape « image » : recensement des supports où l'intéressé figure (site, réseaux, plaquettes, vidéos, signatures), dépublication ou anonymisation dans le délai stipulé, traçabilité de l'exécution. Des années de maintien d'une photo après un départ, comme dans l'affaire jugée en mai 2026, ne relèvent pas de la malchance mais de l'absence de processus.
Les photos d'événements internes et les réseaux sociaux
Le séminaire, le pot de départ, la photo de groupe postée le soir même sur LinkedIn : l'informalité du support ne change rien au régime. Une information préalable des participants, la possibilité effective de ne pas figurer sur les clichés destinés à publication, et un circuit de validation avant publication (qui poste, qui vérifie les autorisations) sont le minimum. Le community manager est, statistiquement, la personne qui engage le plus souvent la responsabilité de l'entreprise sur ce terrain.
Le photographe et les prestataires
Le prestataire qui capte et retouche les images pour le compte de l'entreprise est un sous-traitant au sens de l'article 28 du RGPD : le contrat doit encadrer le sort des fichiers, leur conservation, leur réutilisation pour le portfolio du photographe (qui exige l'accord des personnes, pas seulement celui de l'entreprise) et leur destruction en fin de mission. Et l'entreprise qui diffuse les clichés doit détenir, outre les autorisations des personnes, les droits d'auteur du photographe sur ses œuvres. Ce sont deux chaînes de droits distinctes, qui se règlent dans deux documents distincts.
Conclusion : cesser de verrouiller, commencer à organiser
La logique de l'autorisation « tous supports, sans limite de durée » est morte. Elle reposait sur l'illusion qu'un employeur pouvait acheter une fois pour toutes le droit d'exploiter l'image de ses salariés. La jurisprudence de 2022, 2024 et 2026 dit l'inverse : plus l'autorisation prétend être large et perpétuelle, moins elle protège, parce qu'elle contredit à la fois le principe de spécialité du droit à l'image et le caractère révocable du consentement RGPD. Le parti pris qui s'impose est celui de la précision et de la réversibilité assumée : des autorisations spéciales, datées, limitées dans leurs supports et leur durée, doublées d'un processus de retrait réellement opérationnel.
Avant toute campagne de prises de vues, recensez vos supports existants, purgez les images d'anciens collaborateurs encore en ligne, et faites réviser votre modèle d'autorisation par un référent qui maîtrise les deux régimes. C'est le décalage entre le document signé et la réalité des publications, jamais le document seul, qui fonde les condamnations.
Questions fréquentes (FAQ)
Peut-on publier la photo d'un salarié sans son autorisation ?
Non. Le droit à l'image (art. 9 C. civ.) exige une autorisation spéciale, couvrant l'usage considéré, et la diffusion constitue par ailleurs un traitement de données personnelles soumis au RGPD. La seule constatation d'une publication non autorisée ouvre droit à réparation, sans que le salarié ait à prouver un préjudice (Cass. soc., 19 janv. 2022, n° 20-12.420).
Une clause du contrat de travail suffit-elle comme autorisation ?
Non. L'autorisation doit être spéciale, c'est-à-dire viser des images, des supports, des finalités et une durée, et le consentement RGPD doit être distinct des autres stipulations contractuelles (art. 7, § 2). Un document dédié, signé en connaissance de cause par campagne ou par ensemble cohérent d'usages, est nécessaire.
Que devient l'autorisation quand le salarié quitte l'entreprise ?
Une autorisation consentie sans limitation de durée cesse à la rupture du contrat de travail (Cass. soc., 13 mai 2026, n° 24-19.117). Maintenir la photo d'un ancien salarié sur le site après son départ constitue une atteinte réparable. Une survie limitée peut être stipulée pour des supports identifiés, sous réserve du droit du salarié de retirer son consentement pour l'avenir.
Le salarié peut-il changer d'avis après avoir signé ?
Oui. Le consentement se retire à tout moment, aussi simplement qu'il a été donné (art. 7, § 3, RGPD). Le retrait n'est pas rétroactif, les utilisations passées restent licites, mais il oblige à cesser la diffusion pour l'avenir dans un délai raisonnable.
Le consentement d'un salarié est-il valable malgré le lien de subordination ?
Oui, à la condition que le refus n'emporte aucune conséquence défavorable, condition que le CEPD illustre précisément par l'exemple des prises de vues en entreprise (lignes directrices 5/2020, pts 21 s.). L'autorisation doit le stipuler expressément, et la pratique de l'entreprise doit s'y conformer.
Quels risques en cas de manquement ?
Sur le plan civil, des dommages et intérêts devant le conseil de prud'hommes ou le juge civil, sans preuve d'un préjudice à rapporter. Sur le plan RGPD, une plainte auprès de la CNIL et des sanctions administratives, les manquements aux conditions du consentement relevant du plafond de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (art. 83, § 5, a). Sur le plan pénal enfin, la captation dans un lieu privé sans consentement (art. 226-1 C. pén.) et la publication de montages ou de contenus générés par IA non consentis (art. 226-8).
Peut-on utiliser l'image d'un salarié pour créer un avatar ou un contenu généré par IA ?
Pas sans une autorisation spécifique qui le prévoit expressément. La publication d'un contenu de synthèse reproduisant l'image ou la voix d'une personne sans son consentement est pénalement réprimée (art. 226-8 C. pén., modifié par la loi SREN du 21 mai 2024), et le contenu doit en toute hypothèse être signalé comme généré par IA (art. 50, § 4, du règlement (UE) 2024/1689).
