Photos d'élèves sur Instagram : ce que le RGPD et le droit à l'image imposent vraiment

Vous le faites toutes et tous : l'élève reçoit son résultat positif, vous sortez l'ardoise, vous prenez la photo devant la moto-école, vous postez sur Instagram et TikTok dans la foulée. Engagement maximal, content organique parfait, taux de conversion sur les inscriptions multiplié par deux. C'est un excellent levier marketing. C'est aussi, dans 80 % des moto-écoles que nous auditons, une infraction de droit pénal et de RGPD non assurée.

Le problème n'est pas la photo. C'est l'absence d'un cadre formalisé. La distinction entre une publication régulière et une publication illicite tient en deux mots : consentement préalable. Décryptage.

Le droit à l'image en France repose sur deux briques cumulatives, et il faut les valider toutes les deux pour publier en toute sécurité.

Brique 1 — Le droit à l'image (article 9 du Code civil et art. 226-1 du Code pénal). Toute personne dispose d'un droit exclusif sur son image. Publier un visage identifiable sans accord constitue une atteinte à la vie privée. La sanction maximale est de 1 an d'emprisonnement et 45 000 € d'amende, portée à 3 ans et 75 000 € en cas de circonstance aggravante (mineur, diffusion massive).

Brique 2 — Le RGPD (règlement UE 2016/679) et la loi Informatique et Libertés. Une photographie d'une personne physique identifiable est une donnée à caractère personnel. Sa publication sur un réseau social est un traitement de données au sens du règlement. Il faut donc une base légale (en pratique : le consentement, art. 6.1.a) et une information préalable (art. 13). Sanction CNIL : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, ce qui pour une moto-école individuelle signifie en pratique une amende plafonnée à quelques milliers d'euros mais surtout une mise en demeure publique.

Un consentement valable au sens du RGPD doit cumuler quatre caractéristiques (art. 4.11). Un consentement implicite, oral ou pré-coché ne tient devant aucune autorité.

• Libre : pas de pression. La photo ne doit pas être présentée comme une condition pour récupérer le résultat ou le diplôme.
• Spécifique : un consentement pour le compte Instagram de la moto-école ne couvre pas une rediffusion sur Facebook Ads ou sur un panneau publicitaire en vitrine. Cochez canal par canal.
• Éclairé : l'élève doit savoir quelle photo, sur quels supports, pendant combien de temps, avec quelles modalités de retrait.
• Univoque : un formulaire signé, jamais un emoji « OK » par SMS.

Mettez à disposition un formulaire papier ou électronique avec ces mentions explicites, à remettre lors de l'inscription. Conservez-le 5 ans après le dernier contact commercial.

Une part importante de votre activité concerne les permis AM (à partir de 14 ans) et A2 en conduite accompagnée (dès 16 ans). Pour ces publics, le formalisme se durcit.

1. Le mineur doit donner son accord. Au-dessus de 15 ans, son consentement est juridiquement recueilli (art. 7-1 loi Informatique et Libertés).
2. Les deux parents doivent également signer, et pas seulement celui qui paie la formation. La jurisprudence est très ferme : le silence d'un parent ne vaut pas accord. En cas de divorce ou de séparation, l'accord des deux titulaires de l'autorité parentale est obligatoire.
3. L'élève mineur peut retirer son consentement à tout moment et exiger la suppression sans délai, sans avoir à justifier.

Une plainte parentale type « ma fille de 16 ans a été affichée sans mon accord sur le compte Instagram de la moto-école » se traite en référé en 48 h. Vous récoltez une obligation de retrait sous astreinte de 500 €/jour, des dommages-intérêts entre 500 et 3 000 €, et une publication CNIL si la presse locale s'en empare.

Une assurance cyber bien calibrée pour une moto-école inclut un volet « atteinte aux données personnelles » qui prend en charge :

• Les frais de défense en cas de mise en demeure CNIL (avocat spécialisé, environ 4 000 à 8 000 € HT pour un dossier complet).
• Les frais de notification aux personnes concernées si vous devez signaler un incident (publication non consentie à grande échelle).
• Les dommages-intérêts versés à l'élève ou à ses parents si la justice civile vous condamne.
• Les frais de retrait technique (suppression sur sauvegardes, suppression des copies sur Google, retrait via Right to be Forgotten).

En revanche, la cyber-assurance ne couvre jamais une amende pénale (la sanction de l'art. 226-1) ni une amende CNIL : ce sont des sanctions personnelles non assurables au sens de l'article L113-1 du Code des assurances. Elle ne couvrira pas non plus la publication si vous n'avez aucun registre RGPD : l'assureur opposera le défaut de diligence, qui est une exclusion classique.

Une moto-école qui poste 200 photos par an doit absolument avoir un registre des consentements tenu à jour. C'est le document qui débloque la prise en charge en cas de mise en cause.

1. Mettez en pause la publication de nouvelles photos d'élèves identifiables le temps de mettre en place le formulaire.
2. Rédigez un formulaire de consentement à l'image en deux exemplaires : un pour l'élève majeur, un pour le mineur avec signature des deux parents.
3. Intégrez-le à votre dossier d'inscription, faites-le signer dès le premier rendez-vous.
4. Tenez un registre des consentements (un tableau Excel suffit) : nom, date, canal autorisé, date de retrait éventuel.
5. Pour les photos déjà publiées sans consentement explicite, sollicitez un consentement a posteriori par message privé. Si pas de réponse sous 30 jours, supprimez la photo par précaution.
6. Désignez en interne une personne référente RGPD (le gérant suffit pour une moto-école de moins de 10 personnes).

Ce sont 4 h de travail. Elles vous protègent contre une plainte qui en coûterait 30 fois plus en frais juridiques et en réputation.