Photos de votre spa sur Instagram : le piège du droit à l'image en 2026

Communiquer sur les réseaux sociaux est devenu vital pour un spa : Instagram, TikTok, Pinterest sont les premiers générateurs de réservation pour les centres de bien-être indépendants. Mais aucun autre métier d'accueil ne cumule autant de facteurs aggravants en matière de droit à l'image :

• Les clients sont dans une posture d'intimité (peignoir, soins, parfois nudité partielle).
• L'image révèle un état de santé ou un objectif esthétique (cellulite, vergetures, acné) — donnée sensible RGPD.
• La photo est captée dans un moment de détente où la vigilance est faible.
• Le cadre commercial (avant/après, témoignages) crée une exploitation marchande qui aggrave juridiquement la situation.

La conjonction de ces facteurs explique pourquoi la jurisprudence est particulièrement sévère envers les établissements de bien-être qui publient sans précaution.

1. Le droit à l'image (article 9 du Code civil)

Chacun dispose d'un droit exclusif sur son image. La captation, la conservation et la diffusion nécessitent un consentement préalable, écrit, spécifique et éclairé. La signature d'un consentement général lors de l'inscription au spa ne suffit pas : il faut un consentement par projet de publication.

2. Le RGPD (règlement européen 2016/679)

Une photo permettant l'identification d'une personne est une donnée à caractère personnel. Dans le contexte d'un spa, elle devient une donnée sensible au sens de l'article 9 du RGPD car elle révèle un état de santé, un soin esthétique ou des caractéristiques corporelles. Le régime juridique applicable est donc celui le plus exigeant : consentement explicite, finalité strictement définie, durée de conservation limitée, droit à l'effacement.

Ce que doit contenir le consentement

• Identité du responsable de traitement (le spa).
• Photo(s) précisément identifiée(s) (date, contexte).
• Supports de diffusion listés (Instagram, site, brochure).
• Durée de diffusion (par exemple 24 mois).
• Possibilité de retrait à tout moment et procédure.
• Signature manuscrite ou électronique horodatée.

Scénario 1 : la story spontanée

Une cliente régulière prend un verre au bar relaxation, vous la photographiez de loin pour illustrer l'ambiance. Diffusion : story Instagram du soir.

Risque : identification possible même partielle (silhouette, tatouage, peignoir). Sans consentement préalable, vous êtes en infraction. Sanction observée : 3 000 à 8 000 € de dommages-intérêts.

Scénario 2 : le témoignage avant/après

Une cure minceur de 8 séances. La cliente accepte de témoigner. Vous publiez des photos comparatives sur votre site avec son prénom.

Risque : révélation d'une donnée sensible (poids, silhouette). Le consentement doit être renforcé, spécifique au support et révocable à tout moment. La jurisprudence indemnise ces affaires entre 8 000 et 25 000 € en cas de litige post-rupture commerciale.

Scénario 3 : la photo d'équipe diffusée après départ d'une salariée

Vous gardez en ligne pendant 18 mois une photo de votre ancienne esthéticienne qui a quitté l'établissement et ouvert son propre cabinet.

Risque : concurrence déloyale et atteinte au droit à l'image. La salariée peut exiger le retrait, des dommages-intérêts et faire constater par huissier la durée d'exposition. Indemnité moyenne : 4 000 à 12 000 €.

Beaucoup d'exploitants pensent que la CNIL ne s'intéresse qu'aux grandes entreprises. C'est une erreur : depuis 2022, les contrôles sectoriels visent activement les ERP fréquentés par des clients particuliers, dont les spas.

Le règlement prévoit deux niveaux de sanction :

• Jusqu'à 10 millions d'euros ou 2 % du CA mondial pour les manquements aux obligations générales (registre, information).
• Jusqu'à 20 millions d'euros ou 4 % du CA mondial pour les manquements aux principes fondamentaux (consentement, données sensibles).

Dans la pratique, les sanctions prononcées contre des TPE/PME de service à la personne se situent entre 5 000 et 50 000 €, augmentées de la publication du jugement — un effet réputationnel souvent plus lourd que l'amende elle-même.

C'est le point que les exploitants découvrent trop tard. La RC Pro standard d'un spa couvre les dommages corporels et matériels causés à des tiers. Mais :

• Le préjudice moral pur (atteinte au droit à l'image) n'est pas systématiquement inclus.
• Les sanctions administratives (CNIL) sont rarement assurables car considérées comme des peines.
• Les frais de défense pénale dépendent d'une option de protection juridique souvent absente.

Pour être réellement protégé, il faut une RC Pro intégrant explicitement la clause atteinte aux droits de la personne ou e-réputation et droit à l'image, généralement plafonnée entre 50 000 et 150 000 €. Un volet cyber-RGPD couvre les frais de notification et la procédure CNIL.

Consultez notre page métier spa pour identifier les garanties adaptées et notre offre RC Pro pour comparer les niveaux de couverture.

Voici ce que doit comporter votre dispositif pour être en règle et assurable :

1. Un registre des traitements de données tenu à jour (clients, salariés, fournisseurs).
2. Une politique de confidentialité publiée sur le site et affichée à l'accueil.
3. Un formulaire de consentement à l'image distinct du contrat client, à signer par projet de publication.
4. Un processus de retrait documenté : un client demande le retrait, vous le réalisez sous 48 h et conservez la trace.
5. Une durée de conservation définie : 24 ou 36 mois maximum pour les photos commerciales.
6. Une formation annuelle de l'équipe sur les bonnes pratiques (qui peut photographier, comment, où publier).
7. Une charte signée par les salariés les engageant sur les publications personnelles (ne pas photographier les clients pour leurs comptes privés).

L'investissement initial pour mettre en conformité un spa indépendant représente 1 à 3 jours de travail. À comparer aux 12 000 à 50 000 € de risque maximum.