Sector guide

GDPR for Photographes: complete guide and free audit 2026

Les photographes professionnels manipulent quotidiennement des données personnelles particulières : l'image elle-même est une donnée personnelle lorsqu'elle identifie une personne (Art. 9-1 Code civil + RGPD). Les obligations cumulent droit à l'image (Code civil), droit d'auteur, droit moral, et RGPD. La CNIL a précisé en 2022 (FAQ photographes) les obligations spécifiques : consentement écrit pour publication, droit à l'effacement des images en ligne, registre des traitements pour photographes professionnels, conservation des fichiers RAW limitée, sécurisation des galeries clients. Les photographes scolaires, mariage, événementiel et institutionnels sont les plus exposés. Les plateformes de partage (PixieSet, Pic-Time, ShootProof, SmugMug) sont des sous-traitants imposant une convention Art. 28. Les services IA (Topaz Photo AI, Adobe Firefly) posent question sur l'usage des photos clients pour entraînement.

5 GDPR obligations specific to Photographes

These points are systematically checked during a DPA audit in your sector.

1

Consentement écrit pour publication des images identifiantes

Cession de droit à l'image obligatoire (Art. 9 Code civil) + base légale RGPD (consentement Art. 6). Formulaire signé précisant : usages autorisés (web, print, presse), durée, territoire, droit de retrait. Pour mineurs : signature parentale obligatoire.

2

Tenir un registre des traitements (clients, modèles, RH)

Registre Art. 30 obligatoire : prospects, clients, modèles, sous-traitants (labo, plateforme galerie), salariés/assistants. Modèle CNIL disponible. Mise à jour à chaque nouveau prestataire ou type de prestation.

3

Limiter conservation RAW et galeries en ligne

Galeries clients en ligne : 3-6 mois par défaut, prolongeable avec consentement. Fichiers RAW : 1-5 ans selon contrat. Archivage hors ligne au-delà. Suppression sur demande client sous 1 mois.

4

Convention de sous-traitance avec plateformes galeries

PixieSet, Pic-Time, ShootProof, SmugMug, Adobe Lightroom Cloud : sous-traitants Art. 28. Convention obligatoire, vérifier hébergement (US majoritairement → DPF + SCC), chiffrement, durées de stockage.

5

Encadrer usage IA générative et traitement IA des photos

Adobe Firefly, Topaz, ChatGPT : si entraînement sur photos clients, consentement préalable explicite obligatoire. Préférer outils sans réutilisation (Capture One AI, DxO PureRAW). Mention dans contrat.

Real DPA fines in this sector

Documented cases. Official sources available on cnil.fr.

2022
Mise en demeure
École photo (mise en demeure publique)

Publication photos d'élèves mineurs sans consentement parental documenté.

CNIL MED-2022-014
2021
15 000 €
Studio photographique commercial

Conservation excessive de portraits clients après fin de prestation, défaut d'information.

CNIL délibération sectorielle
2023
Rappel à l'ordre
Photographe événementiel (rappel)

Publication galerie en ligne accessible publiquement sans mot de passe, photos clients identifiables.

CNIL contrôle 2023

How to check your GDPR compliance as Photographes

RGPDScan automatically audits your website against 30+ DPA checkpoints. Detailed report in 60 seconds, with sector-specific recommendations.

  • Cookies and trackers detection
  • AI dark pattern analysis
  • Non-EU data transfers detected
  • Quantified fine risk

Frequently asked questions

Une photo de mariage publiée sur mon portfolio nécessite-t-elle un consentement ?
Oui, consentement écrit des mariés et invités identifiables. Le contrat de prestation doit prévoir une clause spécifique distinguant usage privé (livré clients) et usage portfolio public.
Combien de temps conserver les fichiers RAW d'un client ?
1-5 ans selon contrat. Par défaut CNIL : durée de la relation commerciale + 5 ans (RC pro). Au-delà : archivage hors ligne, suppression ou consentement explicite pour conservation.
PixieSet est-il conforme RGPD ?
PixieSet (Canada) propose un DPA téléchargeable. Hébergement principalement en Amérique. Pour souveraineté UE : alternatives Picflow (UE), client-portal auto-hébergé, ou Zenfolio (USA + DPF).
Puis-je utiliser Adobe Firefly sur les photos de mes clients ?
Avec prudence. Adobe Firefly n'utilise pas les photos pour entraînement (engagement public), mais consentement client recommandé. Pour usages sensibles (mariage, portrait) : préférer outils non-IA.
Photos de groupe au mariage : tous les invités doivent-ils consentir ?
Pour publication portfolio public oui (consentement individuel ou présomption tacite si information donnée). Pour livraison aux mariés : la finalité privée n'exige pas consentement individuel.
Dois-je nommer un DPO en tant que photographe indépendant ?
Non obligatoire pour activité standard. Recommandé si photographie scolaire, médicale, événementielle institutionnelle à grande échelle. DPO mutualisé via UPC (Union des Photographes) ou externalisé.
Un client demande la suppression de ses photos en ligne : combien de temps ?
Suppression sous 1 mois (Art. 17 RGPD). Inclut galerie en ligne, sauvegardes accessibles, réseaux sociaux. Conservation des RAW archivés possible si base légale (intérêt légitime documentation).
Photos d'enfants à l'école : qui doit consentir ?
Les deux titulaires de l'autorité parentale (sauf situation particulière). Formulaire spécifique distinguant : trombinoscope interne (consentement simple), publication site école (consentement renforcé), presse (consentement renforcé + droit à l'image).

Audit your site in 60 seconds

Free GDPR scan. No credit card.