Photobooth et droit à l'image : ce que la loi impose vraiment au prestataire

Un photobooth, ce n'est pas qu'un appareil photo posé sur un trépied. C'est une chaîne de traitement complète : captation, stockage local, impression, envoi par mail ou SMS, galerie en ligne, et parfois reconnaissance faciale pour les bornes selfie haut de gamme. Chacun de ces maillons est encadré par un texte différent.

Le piège, c'est que la plupart des prestataires raisonnent comme un photographe de mariage : « les mariés m'ont commandé, donc tout est couvert ». C'est faux. Les invités, eux, ne vous ont rien commandé. Ils découvrent votre borne au cocktail, posent, repartent avec une photo, et leur visage finit potentiellement sur votre Instagram ou votre site vitrine. C'est exactement le scénario que la CNIL surveille et que les avocats spécialisés en e-réputation attaquent en référé.

Concrètement, vous cumulez deux régimes : le droit à l'image (article 9 du Code civil) qui protège la personne en tant qu'individu identifiable, et le RGPD qui protège la donnée biométrique ou photographique en tant que donnée personnelle. Les deux peuvent être invoqués séparément par le même invité mécontent.

L'article 9 du Code civil pose le principe : « Chacun a droit au respect de sa vie privée. » La Cour de cassation en a tiré, depuis l'arrêt du 16 juillet 1998, que toute personne dispose sur son image d'un droit exclusif. Sans autorisation, la diffusion est fautive, peu importe que la photo soit flatteuse ou prise en public.

Trois nuances comptent pour un prestataire photobooth :

• Pose volontaire ≠ autorisation de diffusion. L'invité qui sourit face à la borne accepte d'être photographié pour son propre tirage. Il n'accepte pas de finir sur votre portfolio Pinterest.
• L'image d'un groupe protège chaque personne identifiable. Quatre amis qui rigolent : quatre droits à l'image, donc potentiellement quatre demandes de retrait.
• Le délai de prescription est de 5 ans à compter de la diffusion. Une photo postée en 2026 peut vous être reprochée jusqu'en 2031.

La sanction la plus fréquente n'est pas pénale, c'est un référé image devant le juge civil : retrait sous astreinte (souvent 500 à 1 500 € par jour de retard) plus dommages-intérêts. Ajoutez les frais d'avocat et vous comprenez pourquoi la protection juridique professionnelle est devenue un standard du métier.

Beaucoup de prestataires pensent être sous-traitants des mariés ou de l'entreprise cliente. Faux. Dès que vous décidez combien de temps vous gardez les photos, sur quel cloud vous les hébergez, qui y a accès et à quoi elles peuvent servir (portfolio, démo commerciale), vous êtes responsable de traitement au sens de l'article 4 du RGPD.

Ce statut déclenche six obligations concrètes :

1. Base légale : le consentement explicite est la seule base sérieuse pour des photos d'invités. Pas d'intérêt légitime qui tienne devant un référé.
2. Information préalable : affichette visible à côté de la borne, mentionnant identité du responsable, finalités, durée, droits.
3. Durée de conservation : 30 jours pour la galerie privée des mariés est défendable, 5 ans sur votre serveur ne l'est pas.
4. Registre des traitements obligatoire dès le premier salarié, fortement recommandé en solo.
5. Sécurité : mot de passe sur la borne, chiffrement du cloud, MFA sur l'admin de la galerie.
6. Notification de violation à la CNIL sous 72h si la base de photos fuit.

Les bornes selfie avec reconnaissance faciale (tri automatique des photos par visage) sortent du droit commun : elles traitent une donnée biométrique au sens de l'article 9 du RGPD, ce qui impose une AIPD (analyse d'impact) obligatoire et un consentement renforcé. Si vous proposez cette option, faites-vous accompagner.

C'est le service qui fait vendre, et c'est aussi celui qui concentre 80 % des contentieux. Le client veut une URL à partager avec ses invités, idéalement publique pour faciliter le téléchargement. C'est précisément ce qu'il ne faut pas faire.

Une galerie publique indexée par Google = une donnée personnelle accessible au monde entier. Le RGPD considère que vous avez manqué à votre obligation de sécurité, même sans piratage.

Trois règles non négociables :

• Mot de passe systématique, communiqué par le client à ses invités.
• Balise noindex et robots.txt bloquant pour éviter l'indexation par les moteurs.
• Suppression automatique au bout de 30 à 90 jours, avec confirmation au client.

Si malgré tout la galerie fuit (compte admin piraté, faille du prestataire SaaS qui héberge), vous êtes en première ligne. Une garantie cyber couvre la notification CNIL, les frais d'expertise forensique et l'éventuelle indemnisation des invités. Sans elle, comptez 8 000 à 25 000 € de poche pour une violation de taille moyenne.

Utiliser les meilleures photos de vos prestations pour votre site et votre Instagram, c'est vital commercialement. C'est aussi le sujet le plus mal géré du métier.

La règle juridique est simple : une autorisation écrite, signée, par personne identifiable, pour une finalité précise (votre communication), une durée précise et un support précis. Pas un check Doodle, pas un « si vous n'êtes pas d'accord dites-le moi ». Une vraie cession de droit à l'image.

En pratique, trois approches tiennent la route :

• Floutage systématique des visages non couverts par une autorisation écrite (option la plus sûre, mais peu glamour).
• Sélection des photos avec consentement explicite : vous demandez au moment du tirage à chaque groupe s'il accepte d'apparaître sur votre portfolio, vous tracez la réponse.
• Photos de la borne et de l'ambiance sans visage identifiable (de dos, en silhouette, sur les détails de décoration).

L'erreur classique : poster « pour annoncer » que vous étiez à tel mariage, en taguant les mariés. Vous diffusez une donnée personnelle (leur présence à un événement privé) sans base légale. Un mariage qui tourne au divorce, et c'est vous qui prenez la mise en demeure.

Votre devis ou contrat de prestation doit absolument contenir une clause dédiée aux images et données. Trois mentions à ne jamais oublier :

1. Répartition des responsabilités : le client s'engage à informer ses invités de la présence d'un photobooth et de la captation, vous fournissez l'affichette type.
2. Cession ou non-cession de droit à l'usage commercial : par défaut, vous n'utilisez les photos qu'à des fins de prestation. Toute utilisation portfolio nécessite un accord additionnel.
3. Durée et modalités de suppression : vous vous engagez à supprimer les fichiers sous X jours, le client peut demander une suppression immédiate.

Cette clause vous protège doublement : elle reporte une partie du risque sur le client (qui devient co-responsable de l'information des invités) et elle prouve votre bonne foi en cas de contentieux. C'est exactement le type de document qu'un assureur RC Pro demandera en cas de sinistre.

Aucune assurance ne vous rendra conforme au RGPD à votre place. En revanche, elle paie les pots cassés quand la conformité a une faille. Trois garanties travaillent ensemble :

• RC Pro : vos fautes professionnelles (oubli de l'affichette, mauvaise configuration de la galerie) qui causent un préjudice à un tiers.
• Cyber : violation de données, frais de notification CNIL, gestion de crise, frais d'expertise, rançongiciel sur la borne.
• Protection juridique : prise en charge des honoraires d'avocat en cas de référé image ou de mise en demeure CNIL.

Comptez à partir de 9,90 €/mois pour la RC Pro seule chez Insurio, avec option cyber et protection juridique à activer selon votre exposition. Si vous proposez galerie en ligne et portfolio actif sur les réseaux, le triptyque complet est le minimum syndical.