RGPD et droit à l’image en photographie scolaire

Photographier des enfants à l’école, puis vendre ces photos à leurs parents, c’est manipuler des données parmi les plus sensibles qui soient. Deux régimes s’appliquent, et il faut les distinguer :

• le droit à l’image, qui décide si l’on peut photographier un enfant et ce qu’on peut faire de son image ;
• le RGPD, qui encadre tout traitement de données personnelles : la photo elle-même, le nom, la classe, le code d’accès, la commande.

Ce guide présente les règles qui s’appliquent à la photographie scolaire, sources à l’appui. Il ne constitue pas un conseil juridique : pour une situation particulière, rapprochez-vous d’un juriste ou de la CNIL.

Le droit à l’image : une autorisation écrite des parents

Toute personne dispose d’un droit exclusif sur son image, qui découle du droit au respect de la vie privée garanti par l’article 9 du Code civil. Pour un mineur, ce droit est exercé par ses parents ou ses représentants légaux.

Pour la photographie scolaire, le cadre national de 2025 en tire deux règles :

• seuls les élèves ayant une autorisation parentale peuvent être photographiés ;
• la collecte des autorisations est sous la responsabilité du directeur d’école.

La CNIL rappelle de son côté que l’accord des parents doit être écrit lorsqu’un établissement veut utiliser les photos de ses élèves.

En pratique, demandez à la direction la liste des enfants non autorisés avant la séance, et organisez la journée pour que ces enfants ne soient pas photographiés, discrètement. La question de la photo de classe se règle avec la direction, au cas par cas.

Qui est responsable des données ?

Le RGPD distingue le responsable du traitement, qui décide pourquoi et comment les données sont traitées, et le sous-traitant, qui les traite pour son compte.

Pour la photographie scolaire, le cadre national de 2025 tranche :

• la coopérative scolaire est responsable du traitement ;
• le photographe est son sous-traitant ;
• un contrat de sous-traitance doit être établi entre le photographe et la coopérative.

Ce contrat, prévu par l’article 28 du RGPD, fixe notamment l’objet et la durée du traitement, les catégories de données concernées, les mesures de sécurité, et le sort des données à la fin de la prestation.

Les outils que vous utilisez vous-même pour traiter ces données, une plateforme de vente, un service de stockage, un laboratoire, sont des sous-traitants ultérieurs. Le RGPD exige que le responsable du traitement les ait autorisés et qu’ils soient tenus aux mêmes obligations que vous.

Minimiser : ne collecter que le nécessaire

Le principe de minimisation, posé à l’article 5 du RGPD, s’applique à chaque étape.

Dans les listes d’élèves. Un nom, un prénom et une classe suffisent à la plupart des séances. La date de naissance n’a d’intérêt que si elle sert à sécuriser l’accès aux photos. L’adresse, le téléphone ou toute autre information n’ont rien à y faire.

Sur les supports physiques. Aucun nom d’enfant sur un support visible par d’autres. Un QR code peut identifier un élève sans contenir la moindre donnée personnelle : il suffit qu’il porte un code opaque, que seul votre logiciel relie à un élève.

Dans l’accès aux photos. Chaque famille ne doit voir que les photos de son enfant, grâce à un code confidentiel individuel. C’est l’une des exigences du cadre national pour la vente en ligne.

Sécuriser les photos

Quelques mesures simples réduisent fortement les risques :

• pas de haute définition avant paiement : les galeries n’affichent que des vignettes en basse définition, filigranées ;
• un cloisonnement strict entre établissements : une école ne doit jamais pouvoir consulter, même par une erreur d’adresse, les données d’une autre ;
• aucune extraction possible des bases élèves, exigence explicite du cadre national pour les plateformes ;
• un hébergement dans l’Union européenne, qui évite les transferts hors UE et les garanties supplémentaires qu’ils exigeraient ;
• des accès nominatifs pour chaque personne de votre équipe, et des mots de passe qui ne circulent pas.

Pensez aussi à vos propres habitudes : un stockage en ligne personnel, une messagerie ou un logiciel de retouche en ligne sont autant d’endroits où des photos d’enfants peuvent se retrouver sans que personne l’ait décidé.

Combien de temps conserver ?

Le RGPD impose de ne pas conserver les données au-delà de ce qui est nécessaire. Il n’existe pas de durée unique pour la photographie scolaire : c’est au responsable du traitement de la fixer, avec son sous-traitant, et de l’écrire dans le contrat.

Quelques repères :

• les photos des élèves : le temps de la vente, de la production et du service après-vente, puis suppression, en particulier pour les enfants dont les familles n’ont rien commandé ;
• les listes d’élèves : jusqu’à la fin de la prestation, pas au-delà ;
• les pièces comptables, factures et journaux : dix ans, durée fixée par le Code de commerce.

Si vous livrez des fichiers numériques, annoncez à l’avance pendant combien de temps les liens de téléchargement restent actifs.

Les droits des familles

Les parents disposent, pour leur enfant, des droits prévus par le RGPD : accès, rectification, effacement, limitation et opposition. La demande la plus fréquente est l’effacement des photos d’un enfant.

Prévoyez la procédure avant qu’on vous la demande :

• qui reçoit la demande : la coopérative, responsable du traitement, que vous devez aider en tant que sous-traitant ;
• comment les photos sont supprimées, y compris dans vos sauvegardes et chez vos propres sous-traitants ;
• dans quel délai : le RGPD prévoit une réponse dans un délai d’un mois (article 12).

Ne pas s’en servir pour sa propre promotion

Une photo d’élève prise dans le cadre scolaire ne doit pas illustrer votre site, vos réseaux sociaux ou votre portfolio sans une autorisation écrite, distincte et explicite des parents. Le cadre national exclut par ailleurs toute publicité sur les photos et sur le site de vente. Pour votre communication, préférez des photos de mise en scène avec des modèles qui l’ont accepté, ou des images sans enfant identifiable.

La liste de contrôle

• Le contrat de sous-traitance est signé avec la coopérative.
• La liste des enfants non autorisés est obtenue avant la séance.
• Les listes d’élèves ne contiennent que le nécessaire.
• Les QR codes et les supports ne portent aucun nom d’enfant.
• Chaque famille accède aux photos avec un code personnel.
• La haute définition ne sort qu’après paiement.
• Les données sont hébergées dans l’Union européenne.
• Les durées de conservation sont fixées et écrites.
• La procédure d’effacement est prête.
• Aucune photo d’élève ne sert à votre promotion sans autorisation spécifique.

Ce que fait Fotho

Fotho a été conçu autour de ces règles : un code d’accès opaque par élève, des QR codes sans donnée personnelle, des vignettes filigranées et la haute définition réservée aux commandes payées, un cloisonnement strict entre établissements, et des données hébergées en France. Lire notre politique de confidentialité.

Sources

• Cadre national relatif à la pratique de la photographie scolaire, OCCE, FFPMI et FNP, 2025.
• Utilisation des photos des élèves : faut-il l’accord des parents ?, CNIL.
• Code civil, article 9, Légifrance.
• Règlement général sur la protection des données, articles 5, 12, 17 et 28.
• Code de commerce, article L123-22 (conservation des documents comptables).