Le RGPD – Est-ce que vous risquez quelque chose ? – Avec Joëlle Verbrugge

Qu’est-ce que le RGPD ?

Loin d’être une contrainte réservée aux géants du web comme les GAFAM, le Règlement Général sur la Protection des Données (RGPD) s’applique à toutes les entreprises, y compris les photographes indépendants. Joëlle Verbrugge, avocate et photographe, explique que ce texte vise à protéger les données personnelles des particuliers contre les traitements abusifs. Une donnée personnelle est toute information permettant d’identifier une personne : nom, adresse, email, mais aussi une adresse IP ou une simple photo. Pour un photographe, la quasi-totalité de son activité, de la prise de contact à l’archivage des images, constitue un traitement de données personnelles.

L’erreur commune est de réduire le RGPD à une simple case à cocher sur une newsletter. En réalité, il impose une réflexion de fond sur la manière dont chaque entrepreneur collecte, utilise, stocke et sécurise les informations de ses clients et des personnes photographiées.

Données sensibles et contrats

Le métier de photographe de mariage expose à un niveau de risque supérieur en raison du traitement de « données sensibles ». Celles-ci bénéficient d’une protection renforcée et leur traitement est en principe interdit. Joëlle Verbrugge cite plusieurs exemples : les photos d’une cérémonie religieuse révèlent l’appartenance religieuse, celles d’un mariage homosexuel l’orientation sexuelle, et une image d’une personne en fauteuil roulant une information sur sa santé. Le RGPD oblige donc à une prudence accrue et à l’obtention d’un consentement explicite pour la conservation et l’utilisation de ces images.

Cette nouvelle réglementation modifie en profondeur la manière de rédiger les contrats. Alors qu’il était conseillé de limiter la durée de conservation des fichiers pour responsabiliser les mariés, il est désormais préférable d’obtenir leur accord pour un archivage long, en le présentant comme un service de restitution en cas de perte. Cela permet au photographe de conserver une preuve de ses droits d’auteur tout en respectant le règlement.

Mettre son activité en conformité

La mise en conformité est un processus qui demande du temps et de la méthode. La première étape, selon Joëlle Verbrugge, est de créer un « registre des activités de traitement ». Ce document, qui peut être réalisé à l’aide des modèles de la CNIL, sert à inventorier précisément toutes les opérations impliquant des données personnelles : gestion des contacts, sauvegarde des photos en local ou sur le cloud, publication sur des galeries privées, utilisation de logiciels de comptabilité, etc. Pour chaque activité, une fiche détaillée doit préciser la nature des données, la finalité du traitement et les mesures de sécurité mises en place.

Une attention particulière doit être portée aux sous-traitants, qui sont tous les services externes traitant des données pour le compte du photographe : hébergeur web, service de cloud, logiciel de newsletter, comptable, et même les réseaux sociaux comme Facebook, avec qui le photographe est considéré comme « co-responsable du traitement ». Il est crucial de vérifier que ces partenaires respectent eux-mêmes le RGPD et de privilégier des prestataires basés en Europe.

Sécurité et gestion des risques

Le RGPD impose une obligation de sécurisation des données. Cela passe par des mesures techniques concrètes : mots de passe robustes et uniques pour chaque service, utilisation d’un VPN pour la navigation, sécurisation du réseau Wi-Fi, mises à jour régulières des logiciels et antivirus. Joëlle Verbrugge insiste sur la nécessité de protéger les sauvegardes, en étant conscient que stocker un disque dur chez un tiers augmente les risques d’intrusion ou de vol. La vigilance s’étend aux collaborateurs et stagiaires, qui doivent être formés aux bonnes pratiques.

En cas de violation de données (piratage, vol de matériel), le photographe a l’obligation d’avertir la CNIL dans un délai de 72 heures. Si la fuite présente un risque pour les personnes, il doit également informer tous ses clients concernés. Loin d’être un aveu de faiblesse, cette démarche est une preuve de sérieux et de transparence qui sera appréciée par l’autorité de contrôle en cas de litige.

Les références de l’épisode

• Livre : « Le RGPD pour les photographes et vidéastes » de Joëlle Verbrugge et Martin Lacour
• Personnes : Martin Lacour, Sébastien Roignant
• Organismes : CNIL (Commission Nationale de l’Informatique et des Libertés)
• Entreprises et plateformes : GAFAM (Google, Amazon, Facebook, Microsoft, Apple), ProtonMail, Lumis, Djingu, Prodibi, Photo Studio, OVH, Overblog, Dashlane, Splash ID
• Publication : Jury Image

Au fil de l’épisode

• Introduction au RGPD (Règlement Général sur la Protection des Données) et sa pertinence pour les photographes.
• Définition d’une donnée personnelle : nom, email, adresse IP, photo.
• Les sanctions possibles en cas de non-respect : amendes administratives de la CNIL et peines pénales.
• Comment le respect du RGPD peut devenir un avantage concurrentiel et un argument commercial.
• Le cas spécifique des photographes de mariage et le traitement des données sensibles (religion, orientation sexuelle, santé).
• L’impact du RGPD sur la conservation à long terme des photographies et la rédaction des contrats.
• Le droit à l’effacement : que faire si un invité demande la suppression de ses photos ?
• La sécurisation des échanges par email et l’importance de ne pas conserver les messages indéfiniment sur les serveurs.
• Les six grands principes du RGPD : limitation, minimisation, exactitude, etc.
• L’obligation de tenir un registre des activités de traitement pour inventorier tous les usages de données.
• L’identification des sous-traitants : services de cloud, hébergeurs, logiciels de comptabilité, réseaux sociaux.
• La co-responsabilité du traitement des données avec des plateformes comme Facebook.
• L’importance de choisir des prestataires situés dans des zones géographiques protégeant les données (Europe).
• Garantir le droit des personnes : droit d’accès, de rectification, de suppression et de portabilité des données.
• Les mentions à faire figurer sur son site internet : politique de confidentialité et gestion des cookies.
• Les mesures de sécurité informatique à mettre en place : mots de passe forts, VPN, Wi-Fi sécurisé.
• La gestion des données en cas de collaboration avec des stagiaires ou des prestataires.
• La procédure à suivre en cas de violation de données : notifier la CNIL sous 72 heures et informer les clients si nécessaire.
• L’importance de se former et de ne pas se fier aux croyances et rumeurs juridiques circulant sur internet.

FAQ

Qui est Joëlle Verbrugge ?

Joëlle Verbrugge est une professionnelle avec une double casquette : elle est à la fois photographe et avocate. Cette expertise unique lui permet de comprendre en profondeur les problématiques juridiques spécifiques aux métiers de l’image. Elle est l’autrice de plusieurs ouvrages de référence, dont « Le RGPD pour les photographes et vidéastes », co-écrit avec Martin Lacour, et anime le blog Droit et Photographie pour aider les photographes à naviguer dans un environnement légal complexe.

Qu’est-ce que le RGPD et pourquoi concerne-t-il les photographes ?

Le RGPD est le Règlement Général sur la Protection des Données, une loi européenne visant à protéger les données personnelles des citoyens. Il concerne les photographes car toute leur activité, de la prise de contact par email à la livraison des photos, en passant par leur archivage, implique le traitement de données personnelles (noms, adresses, et les images elles-mêmes). Même une entreprise individuelle doit s’y conformer pour éviter des sanctions et garantir la confiance de ses clients.

Quelles sont les données considérées comme sensibles en photographie de mariage ?

En photographie de mariage, plusieurs types de données sensibles peuvent être capturées. Il s’agit d’informations qui bénéficient d’une protection légale accrue. Joëlle Verbrugge cite par exemple les images révélant une appartenance religieuse (cérémonie dans une église, une synagogue…), une orientation sexuelle (mariage entre personnes de même sexe) ou des informations sur la santé (personne en fauteuil roulant, maladie visible). Leur traitement est en principe interdit sauf consentement explicite.

Que risque un photographe qui ne respecte pas le RGPD ?

Un photographe ne respectant pas le RGPD s’expose à des sanctions graduées. Celles-ci peuvent être des amendes administratives infligées par la CNIL, pouvant atteindre des montants très élevés pour les grandes entreprises. Au niveau pénal, des dispositions ont été ajoutées au Code pénal, incluant des amendes et des peines d’emprisonnement. Au-delà des sanctions financières, le risque le plus courant est l’utilisation du non-respect du RGPD comme moyen de pression lors d’un litige commercial avec un client.

Quelles sont les premières étapes pour se mettre en conformité avec le RGPD ?

La première étape consiste à prendre conscience de tous les moments où l’on traite des données personnelles. Ensuite, il faut créer un « registre des activités de traitement », un document qui inventorie chaque type de traitement (gestion des clients, newsletter, sauvegarde cloud, etc.). Il est également essentiel de revoir ses contrats, de mettre à jour son site web avec une politique de confidentialité claire, et de renforcer la sécurité de son matériel informatique et de ses comptes en ligne.