Photos avant/après et mensurations : le RGPD vous concerne vraiment
Vous photographiez vos clientes, vous stockez leurs mensurations et leurs goûts. Ces données sont juridiquement sensibles : voici vos obligations et le risque d'une fuite.
- Photographier une cliente, stocker sa morphologie, ses mensurations et ses préférences fait de vous un responsable de traitement au sens du RGPD : vous avez des obligations précises, même en tant qu'indépendant.
- Publier une photo "avant/après" sur vos réseaux sans consentement écrit spécifique viole à la fois le droit à l'image et le RGPD : le consentement de prestation ne vaut pas autorisation de publication.
- Une fuite ou un piratage de votre fichier clients (photos, mensurations, coordonnées) vous expose à une notification CNIL, à des réclamations clients et à des frais de gestion de crise.
- Une assurance cyber prend en charge la gestion d'une violation de données, les frais de notification et la défense, là où la RC Pro classique s'arrête.
Vous traitez des données personnelles, que vous le sachiez ou non
Le personal shopper moderne ne vend pas que du conseil : il vend de la personnalisation. Et pour personnaliser, il collecte. Photos de silhouette, mensurations détaillées, morphologie, carnation, préférences de style, budget, parfois éléments de vie privée (un mariage, une perte de poids, une reconversion). Ces informations sont stockées dans un téléphone, un carnet numérique, un tableur, un CRM.
Du point de vue de la loi, cela porte un nom : un traitement de données à caractère personnel, qui fait de vous un responsable de traitement au sens du Règlement Général sur la Protection des Données (RGPD). Le statut d'indépendant ou de micro-entrepreneur ne vous exonère en rien : le RGPD s'applique dès qu'il y a traitement de données de personnes physiques, sans seuil de taille.
Ce point est essentiel car il est massivement ignoré dans la profession. Beaucoup de personal shoppers considèrent leurs photos et leurs notes comme un simple outil de travail privé, sans réaliser qu'ils manipulent des données dont la loi encadre strictement la collecte, la conservation et l'usage. L'image d'une personne, ses mensurations, ses goûts : tout cela est protégé.
Le piège n°1 : publier une photo "avant/après" sans le bon consentement
C'est l'erreur la plus répandue et la plus visible. Pour démontrer votre savoir-faire, vous publiez sur Instagram ou votre site une photo « avant/après » d'une cliente relookée. Le résultat est spectaculaire, la cliente était ravie en séance — vous pensez être couvert. Vous ne l'êtes probablement pas.
Deux régimes se cumulent ici, et il faut respecter les deux :
- Le droit à l'image. Toute personne dispose d'un droit exclusif sur son image. Sa diffusion exige une autorisation spécifique, écrite et éclairée : la personne doit savoir sur quel support, dans quel contexte et pour combien de temps son image sera diffusée. Un accord verbal en séance ne suffit pas.
- Le RGPD. Une photo identifiante est une donnée personnelle. La publier suppose une base légale, généralement le consentement, qui doit être libre, spécifique et révocable. La cliente peut retirer son consentement à tout moment et exiger le retrait de la photo.
Le consentement à être conseillée n'est pas un consentement à être publiée. Ce sont deux autorisations distinctes : confondre les deux est la faute la plus courante du métier, et celle qui se retourne le plus vite en litige.
Concrètement : faites signer une autorisation de droit à l'image distincte, précisant les supports et la durée, et conservez-la. Et sachez qu'une cliente peut, des mois plus tard, exiger le retrait d'une photo — vous devez pouvoir y donner suite immédiatement.
Le piège n°2 : un fichier clients que vous ne protégez pas
Au-delà de la publication, c'est la conservation de vos données qui crée un risque majeur et silencieux. Votre fichier clients concentre des informations sensibles : photos, mensurations, coordonnées, parfois informations bancaires si vous gérez des achats. Ce fichier est une cible.
Imaginez le scénario : votre ordinateur portable est volé, votre boîte mail est piratée, ou un fichier mal protégé est exposé. Vos clientes voient leurs photos de silhouette, leurs mensurations et leurs coordonnées dans la nature. Vous faites alors face à une cascade d'obligations et de risques :
| Étape après une fuite | Ce que la loi/situation impose |
|---|---|
| Notification à la CNIL | Dans les 72 h si risque pour les personnes (art. 33 RGPD) |
| Information des clients concernés | Si risque élevé pour leurs droits (art. 34 RGPD) |
| Gestion de crise | Sécurisation, analyse de la faille, communication |
| Réclamations clients | Demandes d'indemnisation, atteinte à la réputation |
| Risque de sanction | En cas de manquement caractérisé aux obligations RGPD |
Pour un indépendant, gérer seul une telle situation est à la fois techniquement complexe et financièrement lourd. Les frais d'expertise informatique, de notification, d'accompagnement juridique et de communication peuvent rapidement dépasser ce qu'une trésorerie d'indépendant peut absorber.
Vos obligations RGPD concrètes, sans jargon
La bonne nouvelle : se mettre en conformité comme personal shopper n'a rien d'insurmontable. Il s'agit d'appliquer quelques principes proportionnés à votre activité.
- Ne collectez que l'utile (minimisation). Vous avez besoin des mensurations et des préférences ; vous n'avez pas besoin de données qui ne servent pas la prestation. Moins vous stockez, moins vous êtes exposé.
- Informez vos clients. Indiquez clairement quelles données vous collectez, pourquoi, combien de temps vous les conservez et quels sont leurs droits (accès, rectification, effacement). Une mention simple sur votre devis ou contrat suffit souvent.
- Recueillez un consentement distinct pour les photos. Séparez nettement le consentement à la prestation, le consentement à la conservation, et l'autorisation de publication.
- Sécurisez vos supports. Mot de passe sur l'ordinateur et le téléphone, chiffrement, sauvegardes, accès limité. La sécurité technique est une obligation légale, pas une option.
- Fixez une durée de conservation. Ne gardez pas indéfiniment les photos et données d'anciennes clientes : définissez une durée et purgez.
- Sachez réagir. Identifiez à l'avance qui contacter et quoi faire en cas de fuite : les 72 heures de la CNIL passent vite.
Ces réflexes réduisent à la fois le risque de violation et votre exposition en cas de contrôle. Ils sont la première ligne ; l'assurance est la seconde.
Pourquoi la RC Pro ne suffit pas, et où la cyber prend le relais
Votre RC Professionnelle couvre les conséquences d'une faute dans votre prestation de conseil. Mais elle n'est pas conçue pour gérer une violation de données. Or une fuite de votre fichier clients n'est pas une erreur de conseil : c'est un incident de sécurité, avec ses obligations propres et ses frais spécifiques.
C'est exactement le terrain de l'assurance cyber. Adaptée à un indépendant qui manipule des données clients, elle prend en charge :
- La gestion de crise après une violation : expertise informatique pour identifier et colmater la faille, sécurisation des systèmes.
- Les frais de notification à la CNIL et l'information des clients concernés, avec l'accompagnement juridique pour les formuler correctement.
- Les frais de défense et de réponse aux réclamations des clients dont les données ont été exposées.
- L'accompagnement réputationnel, déterminant pour un métier qui vit du bouche-à-oreille et de l'image.
Pour un personal shopper, le couple pertinent n'est donc pas « RC Pro ou cyber », mais « RC Pro et cyber » : l'une couvre la faute de conseil, l'autre couvre l'incident de données. Manipuler des photos et des mensurations sans couverture cyber, c'est laisser à découvert un risque devenu central dans la pratique moderne du métier.
Transformer la conformité en argument de confiance
Il y a un retournement à opérer. Le RGPD et le droit à l'image ne sont pas seulement des contraintes : maîtrisés, ils deviennent un signe de professionnalisme. Une cliente qui vous confie ses photos, sa morphologie et ses goûts apprécie de savoir que ces informations sont protégées, que ses images ne seront pas publiées sans son accord, et qu'elle peut en demander l'effacement.
La démarche complète tient en deux volets indissociables. En amont, vous vous mettez en conformité : minimisation des données, information claire, consentements distincts pour les photos, sécurisation de vos supports, durée de conservation définie. En aval, vous adossez votre activité à une couverture cyber qui prend en charge la gestion d'une violation de données et ses frais, là où votre RC Pro s'arrête.
Pour visualiser comment ces protections s'articulent avec l'ensemble des risques de votre activité — conseil, biens confiés, données — consultez notre page assurance personal shopper. Vous y verrez comment construire une couverture qui suit la réalité d'un métier devenu, presque sans qu'on s'en aperçoive, un métier de données autant qu'un métier de style.
Questions fréquentes
Oui, sans exception liée à la taille. Le RGPD s'applique dès qu'il y a traitement de données personnelles de personnes physiques. Or photographier une cliente, stocker ses mensurations, sa morphologie et ses préférences constitue un traitement qui fait de vous un responsable de traitement. Le statut de micro-entrepreneur ou d'indépendant ne vous exonère d'aucune obligation.
Seulement avec une autorisation écrite spécifique. La diffusion de l'image d'une personne exige son consentement libre, spécifique et éclairé, précisant les supports et la durée. Le droit à l'image et le RGPD se cumulent ici. Le fait que la cliente ait accepté la prestation ne vaut pas autorisation de publication : ce sont deux consentements distincts, et la cliente peut retirer le sien à tout moment.
Si la fuite présente un risque pour les personnes, vous devez notifier la violation à la CNIL dans les 72 heures (article 33 du RGPD) et, en cas de risque élevé, informer les clients concernés (article 34). Il faut aussi sécuriser le système, analyser la faille et gérer la communication. Une assurance cyber prend en charge ces démarches et leurs frais, souvent hors de portée d'un indépendant seul.
Non, pas dans son périmètre classique. La RC Pro couvre les conséquences d'une faute dans votre prestation de conseil, pas un incident de sécurité informatique. Une violation de données relève de l'assurance cyber, qui prend en charge la gestion de crise, les frais de notification CNIL, la défense et l'accompagnement réputationnel. Pour un métier qui manipule photos et mensurations, les deux couvertures sont complémentaires.
Appliquez quelques principes proportionnés : ne collectez que les données utiles, informez vos clients de ce que vous collectez et de leurs droits, recueillez un consentement distinct pour les photos et leur publication, sécurisez vos supports par mot de passe et chiffrement, et fixez une durée de conservation. Ces gestes simples réduisent fortement votre exposition en cas de fuite ou de contrôle.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Personal shopper — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Personal shopper →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.