Photos du personnel sur le site web : ce qui s’applique

Une fiduciaire à Delémont refait son site web. Six personnes y travaillent, et la nouvelle page « Équipe » doit les présenter : photo, nom, fonction, une phrase sur leurs domaines. La clientèle doit voir à qui elle a affaire. Les photos sont vite faites, un après-midi, devant le mur du bureau.

Avant leur mise en ligne se pose une question facile à oublier : qui décide, au fond, si la photo d’une personne figure sur internet ? La réponse courte : d’abord la personne elle-même.

Le droit à l’image

Le Code civil protège la personnalité. Celui qui subit une atteinte illicite à sa personnalité peut agir en justice ; une atteinte est illicite si elle n’est pas justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi (art. 28 CC).

Le PFPDT le résume ainsi pour les photos : toute personne a un droit à sa propre image. Elle décide en principe elle-même si et sous quelle forme une image d’elle est prise et publiée. Dès qu’une personne représentée est reconnaissable, la photo est en outre une donnée personnelle, et la loi sur la protection des données s’applique.

La LPD suit la même logique : une atteinte à la personnalité est illicite si elle n’est pas justifiée par le consentement, un intérêt prépondérant ou la loi (art. 31, al. 1, LPD).

Pourquoi l’entreprise a besoin d’un consentement

Pour l’employeur s’ajoute une règle particulière. Il ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur ses aptitudes à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail (art. 328b CO). Une photo sur le site web n’en fait en général pas partie — le travail peut se faire sans.

Sur sa page consacrée au traitement de données par l’employeur, le PFPDT indique que la publication de photos d’employés sur l’intranet ou sur internet requiert le consentement des personnes concernées. Il le justifie notamment par le fait qu’une photo peut, dans certains cas, permettre des déductions sur des caractéristiques comme la religion ou un handicap physique. Cela vaut aussi pour les photos d’événements comme les apéros ou les sorties d’entreprise. Et il recommande de se demander au préalable si la publication est indispensable à l’accomplissement des tâches.

Ce qui rend un consentement valable

Le consentement n’est valable que s’il est donné librement, pour un ou plusieurs traitements déterminés et après une information adéquate (art. 6, al. 6, LPD). Pour les photos, le PFPDT distingue :

Situation	Ce qu’en dit le PFPDT
Photo de groupe	Les personnes sont informées de la prise de vue et du mode de publication
Photo individuelle	La personne doit pouvoir voir l’image destinée à la publication
En cas de doute	Obtenir le consentement des personnes concernées
Photos anciennes	Le consentement reste nécessaire ; le droit de la personnalité dure toute la vie

Pour la fiduciaire, cela veut dire concrètement : chaque personne voit sa photo avant la mise en ligne et sait où elle paraîtra — sur la page de l’équipe, et pas en plus dans une campagne publicitaire, par exemple.

Dans une relation de travail, le mot « librement » mérite une attention particulière. Quand la patronne demande, on dit plus facilement oui qu’on ne le voudrait. Une page d’équipe où un nom seul peut figurer à côté des photos permet de dire non sans histoires.

Photos de groupe et événements

Le PFPDT évalue les photos de groupe un peu différemment : l’atteinte à la personnalité est moins grave si personne n’est mis en avant. Des images où les personnes ne sont pas reconnaissables, par exemple en raison d’un petit format ou d’une faible résolution, peuvent éviter toute atteinte.

Lors de la sortie d’entreprise au bord du Doubs, la photo de groupe sur la rive est donc un autre cas que le gros plan d’une collègue, un verre à la main. Qui souhaite mettre des photos d’événements en ligne peut annoncer à l’avance que des photos seront prises et dans quel but, et demander séparément pour les gros plans.

Révocation et départ

Selon le PFPDT, un consentement donné peut en principe être révoqué en tout temps ; à partir de là, la publication n’est plus permise. Le PFPDT signale qu’une révocation peut dans certains cas entraîner des frais dont la personne qui révoque doit répondre, par exemple pour des brochures déjà imprimées.

Sur un site web, retirer une photo est en général une petite opération. Le départ est une autre question : qui quitte le bureau ne fait plus partie de l’équipe, et la photo sur la page de l’équipe a rempli son but. Les données personnelles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement (art. 6, al. 4, LPD). Un point fixe dans la liste de contrôle des départs — retirer photo et nom du site web — évite de l’oublier.

Ce que l’image contient encore

Une photo prise avec un téléphone ou un appareil photo contient souvent plus qu’un visage. Le fichier peut indiquer la date de prise de vue, le modèle d’appareil et, si la localisation était activée, le lieu exact. Pour un portrait devant le mur du bureau, c’est l’adresse du bureau ; pour une photo qu’une employée a prise chez elle et envoyée, c’est son adresse privée.

Trois étapes valent donc la peine avant la mise en ligne :

1. Recadrer. Ne montrer que ce qui doit l’être — le visage, pas l’écran avec des données de clients à l’arrière-plan.
2. Alléger. Une page d’équipe n’a pas besoin d’un fichier de dix mégaoctets. Un fichier plus léger se charge plus vite et sert moins à qui voudrait le réutiliser.
3. Retirer les métadonnées. Le lieu et les données de l’appareil n’ont rien à faire sur le site web.

Ce qui figure à côté de la photo

Le texte à côté de l’image est lui aussi fait de données personnelles : nom, fonction, peut-être une adresse e-mail directe et un numéro de téléphone. Les données personnelles ne sont traitées que dans la mesure où c’est proportionné au but (art. 6, al. 2, LPD). Pour une page d’équipe censée montrer à la clientèle qui travaille au bureau, le nom et la fonction suffisent souvent ; les demandes peuvent passer par une adresse commune.

Des informations personnelles comme les loisirs, l’état civil ou le domicile n’ont leur place sur la page que si la personne le souhaite elle-même. Ce qui est en ligne est aussi indexé par les moteurs de recherche et ne peut pas toujours être entièrement retiré.

Des alternatives à la photo

Toutes les pages d’équipe n’ont pas besoin de photos. Certaines entreprises s’en tiennent aux noms et fonctions, à une photo de groupe prise d’un peu loin ou à des portraits dessinés. D’autres ne montrent des photos que des personnes qui le souhaitent, et une surface neutre avec des initiales pour les autres. Aucune de ces variantes n’est plus juste qu’une autre ; elles donnent au personnel un vrai choix.

Pour la fiduciaire de Delémont

Le bureau s’organise ainsi : chaque personne voit sa photo à l’avance et confirme brièvement par e-mail qu’elle peut paraître sur la page de l’équipe. Un collègue ne souhaite pas de photo ; sa carte montre son nom, sa fonction et ses initiales. Les images sont recadrées, allégées et mises en ligne sans métadonnées, et leur retrait du site figure dans la liste de contrôle des départs.

Les outils image que nous développons recadreront, allégeront, convertiront des images et en retireront les métadonnées — traitées en Suisse, en mémoire, sans qu’aucune image ne soit conservée, et en mode confidentiel entièrement sur votre propre appareil. Quelles photos ont leur place sur un site web, ce sont les personnes qui y figurent qui en décident.