Pierre Chatain, fondateur de rgpd-collectivités.

3mn pour comprendre le RGPD.

LE 1ER SITE SPÉCIALISÉ POUR LES COLLECTIVITÉS PUBLIQUES

Vous savez envoyer un mail ? Vous savez protéger vos données.

Comment publier des photos de manifestations communales sur les supports de diffusion de la mairie et respecter le droit à l'image des adultes et des enfants mineurs ?MairieQui peut avoir accès aux listes
des enfants inscrits à un atelier d'éveil
du RPE intercommunal ?Com’Com

Secteur d'activitéMairie

📋 CONTEXTUALISATION RÉGLEMENTAIRE

Votre commune souhaite valoriser ses manifestations communales (fêtes, cérémonies, animations sportives, kermesses, vœux du maire) en diffusant des photographies sur ses supports de communication : bulletin municipal, site internet, réseaux sociaux ou panneaux d'affichage. Cette démarche implique de concilier le droit à l'information de la collectivité avec le respect du droit à l'image des administrés majeurs et des enfants mineurs présents lors de ces événements. L'objectif est de sécuriser juridiquement ces publications tout en préservant la vie privée de chacun.

💡 RÉPONSE

1. Distinguer le type de prise de vue :
Avant toute publication, il convient de qualifier la photographie. Une vue d'ensemble représentant une foule, dans laquelle aucune personne n'est isolée ni individualisée, peut être publiée sans recueillir le consentement de chacun, car personne n'est spécifiquement reconnaissable. À l'inverse, une photographie où une personne (adulte ou enfant) est isolée, reconnaissable ou mise en avant nécessite impérativement une autorisation préalable.

2. Recueillir l'autorisation écrite pour les personnes identifiables :
Pour toute photographie où un administré majeur est isolé et reconnaissable, vous devez obtenir son autorisation écrite, datée et signée. Cette autorisation doit préciser les supports de diffusion concernés (bulletin, site, réseaux sociaux), la finalité de la diffusion et la durée de l'autorisation. Une nouvelle utilisation non prévue à l'origine impose de recueillir une nouvelle autorisation.

3. Exiger systématiquement l'accord des parents pour les enfants mineurs :
Le mineur n'a pas la capacité juridique de consentir seul à la diffusion de son image. L'autorisation doit donc être donnée par les titulaires de l'autorité parentale (les deux parents), par écrit. Cette règle s'applique même lorsque l'enfant participe volontairement à une manifestation (par exemple, une équipe junior de football lors d'une remise de trophées ou des enfants accueillis dans une garderie communale). La jurisprudence se montre particulièrement rigoureuse pour les images de mineurs.

4. Préciser le contenu de l'autorisation de diffusion :
Chaque autorisation doit indiquer clairement les supports sur lesquels les photographies seront diffusées, les objectifs poursuivis par la commune, ainsi que la durée de validité de l'accord. Pour les mineurs, l'autorisation parentale doit en outre informer les parents des conséquences de la diffusion en ligne (perte de contrôle sur l'image, empreinte numérique durable, risque de détournement).

5. Soigner le cadrage et les commentaires associés :
La légitimité d'une publication s'apprécie aussi au regard du cadrage et des légendes. Une personne ne doit pas être isolée artificiellement de la manifestation collective à laquelle elle prend part. Les commentaires accompagnant la photo ne doivent en aucun cas porter atteinte à la dignité ou à la vie privée des personnes représentées.

6. Délivrer une information claire et permettre l'exercice des droits :
Sur vos supports numériques, prévoyez une information sur le traitement des images (finalité, base légale, durée de conservation) et un moyen de contact permettant aux administrés d'exercer leurs droits, notamment le droit d'opposition et le droit à l'effacement. Toute demande de retrait d'image doit être traitée dans un délai d'un mois.

⚖️ DÉVELOPPEMENT

Le droit à l'image découle du droit au respect de la vie privée consacré par l'article 9 du Code civil et par l'article 8 de la Convention européenne de sauvegarde des droits de l'homme. Il permet en principe à toute personne d'interdire et de faire sanctionner la diffusion de son image sans autorisation préalable. Pour les administrés majeurs, la participation volontaire à un événement public peut, dans certaines circonstances, s'analyser comme un consentement à la prise d'image ; mais cette tolérance ne vaut pas pour une diffusion isolée et individualisée, qui requiert toujours un accord exprès.

Pour les enfants mineurs, le raisonnement est plus strict : ils n'ont pas la capacité juridique de consentir à l'exploitation de leur image. Ce droit est exercé par les titulaires de l'autorité parentale. La loi n° 2024-120 du 19 février 2024 visant à garantir le respect du droit à l'image des enfants a d'ailleurs renforcé cette vigilance en intégrant la notion de vie privée dans la définition de l'autorité parentale. Une commune qui publie l'image d'un enfant sans l'accord écrit de ses parents s'expose donc à un risque juridique sérieux, la jurisprudence appréciant avec rigueur l'intérêt légitime à la diffusion et le degré réel d'implication du mineur dans l'événement.

La conciliation s'effectue avec la liberté d'information proclamée par l'article 11 de la Déclaration des droits de l'homme et du citoyen. C'est pourquoi une photographie illustrant un événement public d'actualité, sur laquelle une personne se fond dans un groupe ou une foule, peut être publiée sans autorisation. Cette logique justifie la distinction opérée dans la partie réponse entre la vue de foule et la photographie individualisée. Enfin, l'image d'une personne identifiable constituant une donnée personnelle, le RGPD s'applique pleinement : la commune doit informer les personnes, garantir l'exercice de leurs droits et traiter les demandes de retrait, qui peuvent s'appuyer tant sur le droit à l'effacement que sur le droit à l'image.

✅ CONSEILS DE CONFORMITÉ

Mettre en place un dispositif d'autorisation gradué et anticipé :
Procédez par étapes, du plus simple au plus complexe. Commencez par afficher, à l'entrée des manifestations communales, un panneau informant les administrés que des photographies seront prises et susceptibles d'être diffusées. Préparez ensuite un formulaire d'autorisation pour les personnes isolées et reconnaissables. Enfin, mettez en place un formulaire d'autorisation parentale spécifique pour les enfants, à recueillir en amont des événements impliquant des mineurs (école, garderie, associations sportives juniors).

Inscrire ces traitements dans votre registre et organiser le retrait :
Pensez à inscrire le traitement « communication institutionnelle et diffusion d'images » dans votre registre des activités de traitement, en précisant la durée de conservation des photographies. Organisez par ailleurs une procédure interne simple pour répondre aux demandes de retrait d'image dans le délai d'un mois, afin de respecter le droit d'opposition et le droit à l'effacement des administrés.

Pour vous accompagner
Vous trouverez dans votre espace client la délivrance des mentions RGPD obligatoires rédigées sur mesure, utiles pour informer vos administrés lors de la collecte et de la diffusion de leurs images.

⚠️ ANALYSE DES RISQUES

◆Sanctions administratives pour non-conformité (Cnil)

La diffusion d'images d'administrés ou d'enfants sans information adéquate ni base légale valable constitue un manquement au RGPD. Un administré qui n'obtient pas satisfaction de la mairie peut adresser une plainte à la CNIL, laquelle peut diligenter un contrôle et prononcer des mesures correctrices, allant de la mise en demeure à la sanction, en cas de manquement aux obligations d'information et de respect des droits des personnes.

◆Risques financiers

Outre les sanctions pécuniaires susceptibles d'être prononcées par la CNIL, la commune s'expose à des actions indemnitaires engagées par les personnes dont l'image a été diffusée sans autorisation. La réparation du préjudice d'atteinte à la vie privée peut représenter un coût non négligeable pour le budget communal, sans compter les frais de gestion liés au traitement des contentieux.

◆Risques légaux

La diffusion non autorisée de l'image d'une personne reconnaissable, et a fortiori d'un mineur, caractérise une atteinte au droit à la vie privée sanctionnée sur le fondement de l'article 9 du Code civil. La jurisprudence est particulièrement rigoureuse pour les images d'enfants. La commune, en qualité de responsable de traitement, engage sa responsabilité dès lors qu'une personne est isolée de la manifestation collective ou que les commentaires accompagnant la photo portent atteinte à sa dignité.

◆Risques réputationnels

Une publication contestée peut rapidement nuire à l'image de la commune, particulièrement sur les réseaux sociaux dont le caractère viral amplifie la diffusion. La perte de confiance des administrés, notamment des familles dont les enfants seraient concernés, peut durablement affecter la relation entre la collectivité et sa population et ternir l'image institutionnelle de la mairie.

📚 SOURCES DOCUMENTAIRES

- Article 9 du Code civil relatif au respect de la vie privée
- Article 8 de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales
- Article 11 de la Déclaration des droits de l'homme et du citoyen
- Loi n° 2024-120 du 19 février 2024 visant à garantir le respect du droit à l'image des enfants
- Règlement général sur la protection des données (RGPD)
- Recommandations de la CNIL relatives au droit à l'image et à la communication en ligne des collectivités
- Réponse ministérielle, JO Sénat du 31 août 2006, question écrite n° 23573

Pour vous accompagner : les livrets et modèles de Conciergerie RGPD

Souhaitez-vous recevoir le document intitulé Droit à l'image - événement ponctuel - Mineur dans le cadre de votre démarche de conformité ?

Secteur d'activitéCommunauté de Communes

📋 CONTEXTUALISATION RÉGLEMENTAIRE

Votre communauté de communes gère un Relais Petite Enfance (RPE) intercommunal qui organise des ateliers d'éveil accueillant de jeunes enfants du territoire. La question de savoir qui peut légitimement accéder aux listes des enfants inscrits touche directement au principe de limitation des accès, pierre angulaire de la protection des données des administrés, et plus encore lorsqu'il s'agit de données concernant des mineurs.

💡 RÉPONSE

Les agents intercommunaux habilités du RPE
Seuls les agents intercommunaux directement affectés à l'animation et à la gestion du RPE peuvent accéder aux listes des enfants inscrits aux ateliers d'éveil. Il s'agit typiquement des animateurs et responsables du relais, qui ont besoin de ces informations pour organiser concrètement les séances, assurer l'encadrement et gérer les présences. Cet accès doit rester strictement limité à ce que chacun a besoin de connaître pour l'accomplissement de ses missions.

Les personnels administratifs de la communauté de communes en charge du service
Peuvent également être destinataires, dans la stricte limite de leurs attributions, les agents intercommunaux du service Petite Enfance ou du service administratif qui traitent les inscriptions, la facturation éventuelle ou le suivi des activités. Leur accès doit être proportionné à la finalité poursuivie et ne pas porter sur des informations excessives au regard de la simple gestion des ateliers.

Les parents ou responsables légaux des enfants concernés
Les parents ou représentants légaux ont accès aux données concernant leur propre enfant, notamment dans le cadre de l'exercice de leurs droits (accès, rectification). En revanche, ils n'ont aucun droit d'accès à la liste nominative des autres enfants inscrits : cette liste ne saurait leur être communiquée dans son intégralité.

Les tiers non autorisés doivent être écartés
Aucun autre agent, élu communautaire, commune membre ou tiers extérieur ne doit pouvoir consulter ces listes sans habilitation liée à une mission précise. La transmission éventuelle à un partenaire (assistantes maternelles participant à un atelier, par exemple) doit être limitée aux seules informations strictement nécessaires à l'accompagnement des enfants, et non à l'ensemble des données collectées.

La vérification préalable avant toute communication
Avant toute transmission de ces listes, il convient de vous interroger sur la finalité de la communication pour vous assurer de sa pertinence et de sa légitimité, puis de vérifier que les données transmises sont adéquates, pertinentes et non excessives au regard de l'objectif recherché.

⚖️ DÉVELOPPEMENT

La logique qui gouverne l'accès à ces listes repose sur le principe fondamental selon lequel seules les personnes habilitées au titre de leurs missions ou de leurs fonctions peuvent accéder aux données à caractère personnel, et ce dans la stricte limite de leurs attributions respectives. Ce principe, appelé « besoin d'en connaître », signifie qu'un agent ne doit accéder qu'aux données réellement nécessaires à l'exercice concret de sa fonction. Dans le cas d'un RPE intercommunal, l'animateur qui encadre l'atelier d'éveil a manifestement besoin de la liste des enfants présents, alors qu'un agent d'un autre service de la communauté de communes n'a, en principe, aucune raison légitime d'y accéder.

Il faut également garder à l'esprit que les données relatives aux enfants inscrits concernent des mineurs, population vis-à-vis de laquelle une vigilance renforcée s'impose. Le responsable de traitement, c'est-à-dire votre communauté de communes, doit prendre toutes précautions utiles pour préserver la sécurité de ces données et empêcher que des tiers non autorisés y aient accès. Cette exigence n'est pas seulement une bonne pratique : elle découle d'une obligation légale, dont le manquement expose à des sanctions administratives et pénales. C'est pourquoi la maîtrise des habilitations et la traçabilité des accès constituent le socle de la protection de ces informations sensibles au sein du service Petite Enfance.

✅ CONSEILS DE CONFORMITÉ

Formaliser les habilitations d'accès du service Petite Enfance
Établissez une cartographie précise des agents intercommunaux autorisés à consulter les listes des enfants du RPE, en associant à chacun un profil d'accès correspondant strictement à ses missions. Cette gestion des privilèges permet de démontrer, à tout moment, que seules les personnes ayant un réel besoin d'en connaître peuvent accéder à ces données de mineurs.

Sécuriser la conservation et la transmission des listes
Veillez à ce que ces listes ne circulent pas librement (courriels non protégés, documents papier laissés sans surveillance, tableurs partagés sans restriction). Privilégiez un stockage protégé et un accès réservé aux seuls agents habilités, et faites signer un engagement de confidentialité aux agents amenés à manipuler ces données relatives aux jeunes enfants du territoire.

Pour vous accompagner
Vous trouverez dans votre espace client un outil de gestion des privilèges qui vous aide à définir précisément qui accède à quelles données au sein de votre service Petite Enfance.

⚠️ ANALYSE DES RISQUES

◆Sanctions administratives pour non-conformité (Cnil)

Un accès non maîtrisé aux listes d'enfants inscrits au RPE, permettant à des agents ou des tiers non habilités de consulter ces données, constitue un manquement au principe de limitation des accès. La CNIL peut prononcer des mesures correctrices allant de la mise en demeure jusqu'à des sanctions financières, particulièrement lorsque des données de mineurs sont concernées et que la vigilance attendue n'a pas été respectée.

◆Risques financiers

Au-delà des sanctions prononcées par la CNIL, un défaut de sécurisation exposant les données des enfants et de leurs familles peut engendrer des coûts directs : remédiation technique, gestion d'une éventuelle violation de données, information des familles concernées et mobilisation des ressources internes de la communauté de communes pour traiter l'incident.

◆Risques légaux

La loi Informatique et Libertés impose au responsable de traitement de prendre toutes précautions utiles pour empêcher que des tiers non autorisés accèdent aux données. Un manquement à cette obligation expose à des peines pénales pouvant atteindre cinq ans d'emprisonnement et 300 000 euros d'amende, en application de l'article 226-17 du Code pénal.

◆Risques réputationnels

La divulgation d'une liste d'enfants inscrits à un atelier d'éveil, même par simple négligence, porterait gravement atteinte à la confiance des familles du territoire envers le RPE et l'ensemble des services de la communauté de communes. La sensibilité liée à la protection des jeunes enfants rend ce type d'incident particulièrement dommageable pour l'image de l'intercommunalité.

📚 SOURCES DOCUMENTAIRES

- Règlement général sur la protection des données (RGPD), notamment le principe de minimisation et de limitation des accès
- Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 34
- Code pénal, article 226-17

Pour vous accompagner : les livrets et modèles de Conciergerie RGPD

Souhaitez-vous recevoir le document intitulé Gestion des privilèges dans le cadre de votre démarche de conformité ?

Votre sécurité R.G.P.D. sur mesure

Mettre sa collectivité en conformité avec le Règlement Général sur la Protection des Données est une obligation depuis le 25 mai 2018.

Vos obligations

Identifier les non-conformités ;
Cartographier l’ensemble des traitements de votre collectivité ;
Prioriser les actions à mener ;
Gérer les risques selon la sensibilité des informations personnelles traitées ;
Organiser les processus internes de conformité ;
Documenter l’ensemble du process de sécurisation des données à chaque niveau et s’assurer de sa pérennité dans le temps ;
Réagir lors d’une violation des données personnelles, d’une diffusion d’informations personnelles inadéquate ou involontaire.

Mairies, communautés de communes.

Les Maires et Présidents d’E.P.C.I. sont à ce titre responsables de la protection des données non seulement de leurs administrés, mais également des agents, des élus, des partenaires et des fournisseurs de leur collectivité.
Une obligation de conformité contrôlée et sanctionnée par la Cnil en cas de manquament.
Quelle que soit la taille de votre collectivité ou de son degré d’avancement dans sa conformité au RGPD, nous vous proposons des solutions complètes, uniques et sur mesure de D.P.O. externe ou d’assistance au D.P.O.

RGPD-COLLECTIVITÉS : QUI SOMMES-NOUS ?

rgpd-collectivites.fr est le 1er site dédié exclusivement aux collectivités territoriales dans le cadre de l’application de la nouvelle réglementation européenne sur la protection des données effective en France depuis le 25 mai 2018.

rgpd-collectivites.fr a développé une méthodologie issue de la synthèse :
D’outils spécifiques adaptés aux collectivités territoriales développés en interne et challengés en continu ;
De l’utilisation du 1er référentiel mondial de la gestion des données à caractère personnel.

rgpd-collectivites.fr propose des solutions adaptées aux structures des collectivités locales :

En phase de diagnostic ;
En matière de livrables afin d’apporter les réponses précises et détaillées pour chaque non-conformité ;
Dans le cadre de leur maintien de conformité.

Notre mission

METTRE EN CONFORMITÉ VOTRE COLLECTIVITÉ LOCALE AU RGPD

Vous recherchez un prestataire capable de vous assister dans la mise en conformité de votre collectivité locale, et d’en assurer la pérennité dans le temps ?

Disposer du bon diagnostic est la condition impérative pour réussir sa mise en conformité.

Notre 1ère mission consiste donc à vous soutenir dans votre objectif de mise en conformité de votre collectivité territoriale au R.G.P.D. en répondant à votre spécificité par des prestations adaptées. Nous proposons, quel que soit la taille de votre collectivité, la réalisation d’un diagnostic avec des procédures éprouvées. Nous intervenons afin de pouvoir définir et mettre en oeuvre avec vous les outils et procédures nécessaires au traitement des Données à Caractère Personnel (DCP) conformément aux différents textes européens et français liés au R.G.P.D.

Et pouvons assurer la pérennité de leur mise en place en tant que Délégué à la Protection des Données externes.

Vous souhaitez mettre notre savoir-faire au service de votre D.P.O. ou externaliser cette responsabilité : contact@rgpd-collectivites.fr

Nos objectifs : NOTRE SAVOIR-FAIRE POUR VOTRE SECURITÉ

Apporter l'ensemble des outils permettant de mettre en conformité les collectivités territoriales au RGPD

… et assurer la tranquillité d’esprit de son responsable légal.

Comment ? Par une un parcours de conformité spécifique, délivrable, adapté, et un accompagnement individuel sur-mesure.

Nous adaptons pour chaque collectivité publique un outil complet selon son organisation, son fonctionnement, son mode de gestion. En tant que Délégué à la Protection des Données externe ou en accompagnement au D.P.O. interne ou mutualisé, nous finalisons ainsi chaque prestation par la remise de livrables permettant, une fois appliqués, la conformité de votre collectivité au R.G.P.D.

Nos livrables comprennent l’ensemble des informations, supports et documents nécessaires à la mise en place effective d’une politique de gestion des Données à Caractère Personnel conforme aux nouvelles exigences du R.G.P.D. à partir :

Du contrôle du niveau de protection des Données à Caractère Personnel, y compris les données dites sensibles ;
De la vérification de la conformité des collectes, des enregistrements et des traitements ;
De la vérification du respect des dispositions légales en cours.

Ces livrables permettent d’assurer la tenue des documentations sur les procédures internes de gestion des données (notion d’“Accountability”) à travers un référentiel répondant aux impératifs de la CNIL.

Assurer et pérenniser la mise en conformité initiale

Des procédures éprouvées du diagnostic jusqu’au suivi annuel.

La mise en conformité R.G.P.D. est un exercice nouveau exigeant de nombreuses connaissances spécifiques nécessitant impérativement un diagnostic basé sur des procédures éprouvées.

Être conforme au R.G.P.D., ce sont aussi des obligations dans le temps nécessitant des outils de suivi, de gestion et de mise à jour. C’est pourquoi nous mettons à disposition des collectivités locales une base de procédures répondants aux différents points soulevés par la CNIL. Ceci permet de maintenir dans le temps le niveau de conformité de la collectivité au R.G.P.D. ainsi que la tranquillité d’esprit du maire responsable de la bonne mise en œuvre de la politique R.G.P.D. dans sa commune.

C’est ce même support que nous mettons en œuvre pour mettre en conformité au R.G.P.D. des collectivités publiques qui ont décidé d’externaliser cette charge, et pour lesquelles nous assurons la mission de Délégué à la Protection des Données externe.

Pierre Chatain, fondateur de rgpd-collectivités.3mn pour comprendre le RGPD.