Les autorités communales peuvent-elles prendre des photographies de personnes et les publier ?

Les photographies, données sensibles ou non ?

La loi du 11 septembre 2007 sur la protection des données personnelles (LPrD ; BLV 172.65) distingue les données personnelles et les données sensibles. Cette distinction est particulièrement importante, le traitement de données sensibles étant possible moyennant le respect d’exigences plus strictes que le traitement de données personnelles.

Une donnée personnelle est une information se rapportant à une personne identifiée ou identifiable.

Ainsi, une photographie, dès lors qu’elle permet d’identifier une personne, est une donnée personnelle. En revanche, une photographie laissant apparaitre des personnes non reconnaissables ne sera pas considérée comme une donnée personnelle.

Une donnée sensible est une donnée personnelle qui se rapporte spécifiquement :

1. aux opinions ou activités religieuses, philosophiques, politiques ou syndicales ;
2. à l’origine ethnique ;
3. à la sphère intime de la personne (en particulier son état psychique, mental ou physique) ;
4. aux mesures et aides individuelles découlant des législations sociales ou aux poursuites ;
5. aux sanctions pénales et administratives.

Les photographies, bien qu’elles puissent notamment révéler des informations sur l’origine ethnique ou la santé, ne sont pas systématiquement considérées comme des données sensibles. Une analyse doit être réalisée dans chaque cas pour tenir compte du contexte dans lequel elles sont utilisées pour déterminer si elles doivent ou non être qualifiées de données sensibles. Elles seront considérées comme sensibles uniquement lorsqu’elles sont traitées dans le but de mettre en exergue des données sensibles. Le critère principal est donc celui de la finalité, c’est-à-dire le but dans lequel les photographies ont été prises, respectivement publiées.

Par exemple, si un hôpital installe une caméra afin de surveiller l’état de santé d’un patient, cela sera considéré comme un traitement portant sur des données sensibles.

En revanche, si une photographie est collectée à des fins n'ayant pas trait à la santé, l'appartenance ethnique ou d’autres données sensibles, elle ne sera pas considérée comme une donnée sensible, même si incidemment, elle est susceptible par exemple de révéler une information relative à la santé de la personne concernée.

A quelles conditions peut-on prendre des photographies ?

Comme tout traitement de données personnelles, la prise de photographies doit respecter les principes de la LPrD (art. 5 ss. LPrD) à savoir les principes de légalité, de finalité, de proportionnalité, de transparence, d’exactitude et de sécurité.

Il faut donc en premier lieu vérifier si :

1. une base légale prévoit la prise de photographies (si les photographies constituent des données sensibles, il faudra que la base légale soit formelle [c’est-à-dire adoptée par un organe législatif] et prévoie expressément la collecte) ; ou
2. les photographies servent à l’accomplissement d’une tâche prévue par la loi (si les photographies constituent des données sensibles, il faudra que leur traitement soit absolument nécessaire à l’accomplissement d’une tâche clairement définie dans une loi au sens formel) ; ou
3. la personne concernée a consenti à la prise de photographies.

A noter que l’usage qui peut être fait des photographies dépend des finalités pour lesquelles elles ont été prises. Ces finalités peuvent être prévues par la loi, découler de la tâche publique réalisée ou faire partie du consentement. Une tâche qui implique de prendre une photographie n’implique pas de pouvoir la communiquer ou la publier.

A quelles conditions peut-on publier des photographies ?

La publication d’une photographie constitue une communication de données personnelles à un tiers au sens de l’art. 15 LPrD. La communication de données personnelles constitue un traitement spécifique de données, auquel s’appliquent des règles dédiées. Elle est notamment possible lorsque :

1. une base légale le prévoit ; ou
2. le requérant en a besoin pour accomplir ses tâches légales ; ou
3. la personne concernée y a expressément consenti ou les circonstances permettent de présumer ledit consentement.

Il est également possible pour les autorités communales de communiquer spontanément des données personnelles dans le cadre de l’information au public, à condition que la communication réponde à un intérêt public ou privé prévalant sur celui de la personne concernée.

A noter qu’une publication, en particulier sur internet, constitue une atteinte relativement grave à la personnalité des personnes concernées, notamment en raison de la perte de maîtrise de leur image.  En pratique, l’obtention préalable du consentement sera nécessaire dans la majorité des cas.

Pour rappel, lors de publications sur les réseaux sociaux, à l’instar par exemple de Facebook, l’entité qui procède à la publication peut être considérée comme coresponsable du traitement des données fait par le réseau social.

Lorsque cela est possible, une solution pragmatique peut consister en la publication de photographies où les personnes concernées ne sont pas reconnaissables. Cette solution doit toujours être privilégiée.

A quelles conditions le consentement doit-il répondre pour être valable ?

Le consentement doit être libre et éclairé. Il doit de plus être explicite en cas de traitement de données sensibles ou de profil de la personnalité (art. 12 LPrD).

En cas de communication de données, le consentement doit être exprès (art. 15 al. 1 let. d LPrD).

Une certaine vigilance est donc de mise en fonction du contexte.

Le consentement est libre lorsque la personne concernée n’a pas subi de menace, de pression déraisonnable ou de tromperie. Le fait de subir des conséquences désagréables ou de véritables désavantages en cas de refus de consentement ne signifie pas nécessairement que l’on a affaire à une pression déraisonnable, sauf si le désavantage est sans aucun rapport avec le but du traitement ou manifestement disproportionné.

Le consentement est éclairé si la personne concernée a été dûment informée, notamment sur l’auteur du traitement, les finalités, les données traitées, les opérations de traitement, l’hébergement des données, la durée de conservation des données, leur destruction, ainsi que sur les destinataires éventuels des informations. L’étendue de l’information à dispenser s’analyse à la lumière du cas d’espèce. L’information doit être claire, non trompeuse et compréhensible pour la personne concernée. Si l’information n’est pas soumise à une exigence de forme, elle doit en principe être donnée avant le consentement.  Le consentement devant être donné pour un ou des usages spécifiques, il est nécessaire d’anticiper les différentes utilisations afin que l’information porte de manière complète sur les usages prévus. Sinon, le consentement devra à nouveau être demandé.

Le consentement est explicite ou exprès lorsque l’objet du consentement ne fait aucun doute. La personne concernée doit dans de tels cas avoir donné son accord d'une manière apparente (par exemple, en apposant sa signature ou en faisant une déclaration verbale non équivoque).

Ainsi, consentir à la publication dans un journal local ne signifie pas consentir à une publication sur un réseau social ou sur internet de manière générale. Si la personne concernée n’a pas consenti à toutes les utilisations projetées, celles-ci doivent être limitées ou le consentement doit être à nouveau demandé.

Le consentement n’est soumis à aucune exigence de forme (il est donc possible de consentir, par exemple, oralement). Pour des raisons de preuve, il peut être préférable de le documenter (via un écrit, un courriel ou un formulaire électronique par exemple). Une analyse au cas par cas doit toutefois être réalisée.

Le consentement peut être révoqué en tout temps.

Qui peut consentir ?

Une personne doit être capable de discernement pour pouvoir consentir valablement. La capacité de discernement s’apprécie à la lumière de la situation concrète. Elle peut être présumée selon le cour ordinaire des choses et l’expérience de la vie, à tout le moins pour les personnes adultes.

Il faut en conséquence être particulièrement attentif dans les cas où le discernement pourrait être altéré (personnes très âgées par exemple).

Dans le cas où une personne serait privée de son discernement, le consentement peut toutefois être donné par le représentant légal de la personne concernée.

Pour les personnes mineures en particulier, elles peuvent consentir de leur propre chef si elles sont capables de discernement, sauf dans certains cas, par exemple, lorsqu’il existe des enjeux économiques. Dans un tel cas, le représentant légal doit avoir consenti à l’acte juridique qui requiert le traitement de données personnelles. Pour les mineurs incapables de discernement, le consentement de leur représentant légal est nécessaire pour les photographier ou pour publier leurs photographies.

Documents utiles

Pour faciliter le travail des autorités, l’Autorité de protection des données et de droit à l'information a décidé de mettre à leur disposition un formulaire type de consentement en lien avec le droit à l’image, réalisé par une étude d’avocats.

Attention, ce modèle doit systématiquement être adapté en fonction du cas d’espèce.

_{Autorité de protection des données et de droit à l’information (APDI)}