Dans l’ordre juridique luxembourgeois, le « droit à l’image » découle principalement de la jurisprudence relative au « droit à la vie privée » tel que défini à l’article 8 de la Convention européenne des droits de l’Homme (CEDH) et dans la loi du 11 août 1982 concernant la protection de la vie privée. En tant que création jurisprudentielle, le droit à l’image s’inspire également de dispositions de la loi modifiée du 8 juin 2004 sur la liberté d’expression dans les médias et de la loi modifiée du 18 avril 2001 sur les droits d’auteur ainsi que de la législation en matière de protection de données à caractère personnel. La jurisprudence luxembourgeoise précise que « le droit à l’image ne peut être mis en œuvre que si la personne est reconnaissable »1.
Le droit à l’image doit être respecté par les particuliers, les professionnels et les acteurs institutionnels. L’entrée en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, RGPD) ne modifie pas la législation et la jurisprudence en matière de droit à l’image.
L’image d’une personne est néanmoins une « donnée à caractère personnel » au sens du RGPD dès lors que la personne est « identifiée ou identifiable » par des « éléments spécifiques propres à son identité physique [ou] physiologique ». La prise de vue et la publication de photos de personnes physiques identifiables peuvent constituer des traitements de données à caractère personnel tombant sous le champ d’application du RGPD.
1.1. La non-application du RGPD aux activités strictement personnelles ou domestiques
Le RGPD ne s’applique pas au « traitement de données à caractère personnel effectué […] par une personne physique dans le cadre d’une activité strictement personnelle ou domestique »2. Le considérant 18 du RGPD précise que « les activités personnelles ou domestiques pourraient inclure […] l’utilisation de réseaux sociaux et les activités en ligne qui ont lieu dans le cadre de ces activités »3.
A titre d’illustration, des photos prises lors d’une soirée privée entre amis ou en famille et publiées dans un album privé relèvent d’une activité strictement personnelle. Une publication de photos en ligne par une personne privée, par exemple sur un réseau social ou une plateforme d’hébergement de contenu, ne tombe pas de manière générale dans le champ d’application du RGPD4.
Néanmoins, toute personne doit respecter le droit au respect de la vie privée d’autrui, dont le droit à l’image. En particulier, la personne publiant la photo doit en principe obtenir le consentement des personnes identifiables avant toute publication.
1.2. L’application du RGPD aux activités associatives et professionnelles
Le RGPD s’applique non seulement aux traitements de données à caractère personnel effectués par des personnes morales mais également aux traitements de données effectués par des personnes physiques dans le cadre de leurs activités professionnelles. Le RGPD s’applique également « aux responsables du traitement ou aux sous-traitants qui fournissent les moyens de traiter des données à caractère personnel pour [des] activités personnelles ou domestiques », par exemple les fournisseurs d’un réseau social ou un photographe.
A titre d’exemple, un photographe professionnel qui est engagé par des particuliers pour prendre des photos lors d’un évènement privé, comme un mariage, doit se conformer au RGPD.
Dès lors qu’une publication en ligne est effectuée dans le contexte d’une activité bénévole, par exemple pour le compte d’une association, le RGPD est à prendre en compte par l’association et par la personne privée agissant pour le compte de l’association5.
- Voir notamment Tribunal d’arrondissement de Luxembourg, 9 janvier 2013, 8/2013, n° 144831 du rôle (affaire « Baby Info ») ; Cour d’appel, référé, 10 juillet 2013, n° 39634 du rôle.
- La CJUE avait déterminé que la mise en place d’une vidéosurveillance couvrant partiellement la voie publique ne relevait pas d’une activité strictement domestique au sens de la Directive 95/46/CE : CJUE, František Ryneš c. Úřad pro ochranu osobních údajů (Office pour la protection des données à caractère personnel), renvoi préjudiciel, arrêt du 11 décembre 2014, C-212/13. Cécile de Terwangne, note de jurisprudence, R.D.T.I. n° 58, mars 2015, pp. 39-51.
- Cependant, l’utilisation d’un réseau social pour des raisons professionnelles rend le RGPD applicable : CJUE, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein c. Wirtschaftsakademie Schleswig-Holstein GmbH, renvoi préjudiciel, arrêt du 5 juin 2018, C-210/16. De même, le réseau social lui-même est sousmis au RGPD.
- Groupe de travail « article 29 », Avis 5/2009 sur les réseaux sociaux en ligne, 12 juin 2009, WP 163, p. 6 ; Groupe de travail « article 29 », Statement of the Working Party on current discussions regarding the data protection reform package, Annexe 2 Proposals for Amendments regarding exemption for personal or household activities, 27 février 2013, p. 4. Dans certains cas de figure, l’activité d’une personne privée peut dépasser le caractère strictement personnel ou domestique et ne tombe alors plus dans l’exception prévue à cet effet. Des éléments à prendre en considération sont le nombre important de contacts inconnus, le lien qu’entretient la personne publiant la photo (ou plus généralement la donnée à caractère personnel) avec la personne concernée, la fréquence et l’échelle de publication, la collaboration avec d’autres personnes en lien avec la publication et l’impact potentiel sur la vie privée d’autrui. Cette question dépasse néanmoins la question du droit à l’image traitée dans le présent document.
- Voir notamment CJUE, Bodil Lindqvist c. Åklagarkammaren i Jönköping (arrêt Lindqvist), arrêt (renvoi préjudiciel), 6 novembre 2003, C-101/01, CJUE, Tietosuojavaltuutettu c. Satakunnan Markkinapörssi Oy et Satamedia Oy (arrêt Satamedia), Arrêt (renvoi préjudiciel) [GC], 16 décembre 2008, C-73/07. Groupe de travail « article 29 », Avis 5/2009 sur les réseaux sociaux en ligne, 12 juin 2009, WP 163, p. 6.