Guide sectoriel

RGPD pour photographes professionnels : guide complet et audit gratuit 2026

Les photographes professionnels manipulent quotidiennement des données personnelles particulières : l'image elle-même est une donnée personnelle lorsqu'elle identifie une personne (Art. 9-1 Code civil + RGPD). Les obligations cumulent droit à l'image (Code civil), droit d'auteur, droit moral, et RGPD. La CNIL a précisé en 2022 (FAQ photographes) les obligations spécifiques : consentement écrit pour publication, droit à l'effacement des images en ligne, registre des traitements pour photographes professionnels, conservation des fichiers RAW limitée, sécurisation des galeries clients. Les photographes scolaires, mariage, événementiel et institutionnels sont les plus exposés. Les plateformes de partage (PixieSet, Pic-Time, ShootProof, SmugMug) sont des sous-traitants imposant une convention Art. 28. Les services IA (Topaz Photo AI, Adobe Firefly) posent question sur l'usage des photos clients pour entraînement.

5 obligations RGPD spécifiques aux photographes professionnels

Ces points sont systématiquement vérifiés lors d'un contrôle CNIL dans votre secteur.

1

Consentement écrit pour publication des images identifiantes

Cession de droit à l'image obligatoire (Art. 9 Code civil) + base légale RGPD (consentement Art. 6). Formulaire signé précisant : usages autorisés (web, print, presse), durée, territoire, droit de retrait. Pour mineurs : signature parentale obligatoire.

2

Tenir un registre des traitements (clients, modèles, RH)

Registre Art. 30 obligatoire : prospects, clients, modèles, sous-traitants (labo, plateforme galerie), salariés/assistants. Modèle CNIL disponible. Mise à jour à chaque nouveau prestataire ou type de prestation.

3

Limiter conservation RAW et galeries en ligne

Galeries clients en ligne : 3-6 mois par défaut, prolongeable avec consentement. Fichiers RAW : 1-5 ans selon contrat. Archivage hors ligne au-delà. Suppression sur demande client sous 1 mois.

4

Convention de sous-traitance avec plateformes galeries

PixieSet, Pic-Time, ShootProof, SmugMug, Adobe Lightroom Cloud : sous-traitants Art. 28. Convention obligatoire, vérifier hébergement (US majoritairement → DPF + SCC), chiffrement, durées de stockage.

5

Encadrer usage IA générative et traitement IA des photos

Adobe Firefly, Topaz, ChatGPT : si entraînement sur photos clients, consentement préalable explicite obligatoire. Préférer outils sans réutilisation (Capture One AI, DxO PureRAW). Mention dans contrat.

Amendes CNIL réelles dans le secteur

Cas documentés. Sources officielles disponibles sur cnil.fr.

2022
Mise en demeure
École photo (mise en demeure publique)

Publication photos d'élèves mineurs sans consentement parental documenté.

CNIL MED-2022-014
2021
15 000 €
Studio photographique commercial

Conservation excessive de portraits clients après fin de prestation, défaut d'information.

CNIL délibération sectorielle
2023
Rappel à l'ordre
Photographe événementiel (rappel)

Publication galerie en ligne accessible publiquement sans mot de passe, photos clients identifiables.

CNIL contrôle 2023

Comment vérifier votre conformité RGPD en tant que photographes

RGPDScan audite automatiquement votre site contre les 30+ points de contrôle CNIL. Rapport détaillé en 60 secondes, avec recommandations spécifiques à votre secteur.

  • Détection cookies et trackers
  • Analyse dark patterns IA
  • Transferts hors UE détectés
  • Risques d'amende chiffrés

Questions fréquentes

Une photo de mariage publiée sur mon portfolio nécessite-t-elle un consentement ?
Oui, consentement écrit des mariés et invités identifiables. Le contrat de prestation doit prévoir une clause spécifique distinguant usage privé (livré clients) et usage portfolio public.
Combien de temps conserver les fichiers RAW d'un client ?
1-5 ans selon contrat. Par défaut CNIL : durée de la relation commerciale + 5 ans (RC pro). Au-delà : archivage hors ligne, suppression ou consentement explicite pour conservation.
PixieSet est-il conforme RGPD ?
PixieSet (Canada) propose un DPA téléchargeable. Hébergement principalement en Amérique. Pour souveraineté UE : alternatives Picflow (UE), client-portal auto-hébergé, ou Zenfolio (USA + DPF).
Puis-je utiliser Adobe Firefly sur les photos de mes clients ?
Avec prudence. Adobe Firefly n'utilise pas les photos pour entraînement (engagement public), mais consentement client recommandé. Pour usages sensibles (mariage, portrait) : préférer outils non-IA.
Photos de groupe au mariage : tous les invités doivent-ils consentir ?
Pour publication portfolio public oui (consentement individuel ou présomption tacite si information donnée). Pour livraison aux mariés : la finalité privée n'exige pas consentement individuel.
Dois-je nommer un DPO en tant que photographe indépendant ?
Non obligatoire pour activité standard. Recommandé si photographie scolaire, médicale, événementielle institutionnelle à grande échelle. DPO mutualisé via UPC (Union des Photographes) ou externalisé.
Un client demande la suppression de ses photos en ligne : combien de temps ?
Suppression sous 1 mois (Art. 17 RGPD). Inclut galerie en ligne, sauvegardes accessibles, réseaux sociaux. Conservation des RAW archivés possible si base légale (intérêt légitime documentation).
Photos d'enfants à l'école : qui doit consentir ?
Les deux titulaires de l'autorité parentale (sauf situation particulière). Formulaire spécifique distinguant : trombinoscope interne (consentement simple), publication site école (consentement renforcé), presse (consentement renforcé + droit à l'image).

Auditez votre site en 60 secondes

Scan RGPD gratuit. Aucune carte bancaire.