Les témoignages clients sont l'un des outils de conversion les plus puissants qui existent. Une vidéo d'un·e client·e satisfait·e, un avis avec prénom et photo, un cas client bien documenté sur votre site : tout ça crée de la confiance là où un argumentaire commercial ne peut pas aller. La preuve sociale, c'est le moteur numéro un de la décision d'achat.
Sauf qu'utiliser un témoignage client sans les bons cadres juridiques, c'est s'exposer à des risques. Un restaurateur des Alpes-Maritimes a été condamné en 2023 à verser 3 500 € à un ancien employé dont la photo figurait encore sur son site deux ans après son départ. Les litiges liés aux images sur le web ont augmenté de 23 % en France entre 2021 et 2024 selon les données du Ministère de la Justice.
Ce guide n'est pas là pour vous faire peur. Il est là pour vous donner les bases juridiques, les démarches, et les outils pour utiliser vos témoignages clients avec toute la sérénité possible.
Note importante : cet article a une visée informative et pédagogique. Il ne se substitue pas à un conseil juridique personnalisé. Pour toute situation spécifique, consultez un·e avocat·e spécialisé·e en droit du numérique ou contactez la CNIL.
Le droit à l'image : ce que dit vraiment la loi
Le fondement juridique
En France, l'article 9 du Code civil est clair : "Chacun a droit au respect de sa vie privée." Ce principe fonde le droit à l'image. Il ne repose pas sur un texte de loi unique mais sur la jurisprudence bâtie autour de ce principe, et sur l'articulation avec plusieurs autres textes.
En pratique, ce droit à l'image signifie qu'une personne physique a le contrôle exclusif sur son image et sur l'utilisation qui en est faite. Dès lors qu'une personne est reconnaissable et qu'elle est le sujet principal ou facilement identifiable sur une image, son consentement est nécessaire pour toute diffusion publique.
Ce principe s'applique à toutes les personnes identifiables dans vos communications : clients apparaissant dans des témoignages vidéo ou des photos promotionnelles, visiteurs photographiés lors d'une journée portes ouvertes, participants à un séminaire, une conférence, un salon professionnel.
Source : Paul Parmentier
Le RGPD vient renforcer le droit à l'image
Depuis le 25 mai 2018, le RGPD ajoute une autre dimension : une photo d'une personne constitue une donnée personnelle. À ce titre, son traitement (stockage, affichage, partage) doit respecter les principes du règlement européen : base légale identifiée (consentement, intérêt légitime).
Ce que ça change : il ne suffit plus d'obtenir une autorisation d'utilisation de l'image. Des clauses spécifiques doivent être intégrées dans les actes de cession de droit à l'image concernant le consentement au traitement des données. Et la personne doit pouvoir retirer son consentement et exercer ses droits en vertu du RGPD, notamment le droit à l'effacement, le droit d'accès et le droit d'opposition au traitement des données personnelles.
Source : EQS GroupEQS Group
Ce qui est spécifique aux témoignages clients
Pour publier des témoignages sur un site ou un réseau social, un contrat d'autorisation de droit à l'image encadre la diffusion de la photo ou de la vidéo du client.
Mais qu'en est-il d'un simple avis texte avec prénom ? La question mérite d'être posée. Un prénom seul n'est pas nécessairement une donnée personnelle identifiante. En revanche, dès que le prénom est associé à un nom de famille, une photo, une entreprise ou tout autre élément qui permet d'identifier la personne, on entre dans le champ du RGPD. La règle de prudence : si quelqu'un peut être identifié grâce aux informations publiées, les règles s'appliquent.
Les trois situations que vous pouvez rencontrer
Situation 1 : l'avis écrit avec prénom (et éventuellement photo de profil)
C'est le cas le plus courant. Un·e client·e vous envoie un message de remerciement ou remplit un formulaire d'évaluation, et vous souhaitez publier cet avis sur votre site avec son prénom et éventuellement sa photo.
Ce que vous devez faire :
Obtenir son accord explicite pour la publication, en précisant clairement où vous allez publier cet avis (votre site, vos réseaux, votre page de vente) et sous quelle forme (prénom seul, prénom + entreprise, photo ou pas). Le consentement est défini comme "toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement". Source : CNIL
Un simple email de confirmation de la part du·de la client·e suffit-il ? Oui, à condition qu'il soit explicite et que vous le conserviez comme preuve. "Oui tu peux publier mon avis" sans autre précision est insuffisant. "Oui tu peux publier cet avis avec mon prénom et ma photo sur ton site et tes réseaux Instagram et LinkedIn" est valable.
Gardez une trace écrite de tous les consentements. C'est votre protection en cas de litige.
Situation 2 : le témoignage vidéo
La vidéo combine le droit à l'image et le RGPD de façon encore plus directe. Une personne reconnaissable à l'image, avec sa voix, parfois son lieu de travail visible en arrière-plan : c'est un ensemble de données personnelles qui nécessite un cadre formel.
Ce que vous devez faire :
Faire signer une autorisation d'utilisation de l'image avant ou après le tournage, mais impérativement avant la diffusion. Il faut une précision claire sur l'étendue de l'utilisation, car un consentement donné pour être photographié ne permet pas la diffusion de cette photo, et un consentement explicite spécifique à cette diffusion est nécessaire.
Ce principe vaut encore plus pour la vidéo : le fait d'avoir filmé quelqu'un avec son accord ne vous autorise pas automatiquement à publier la vidéo. Ce sont deux actes distincts qui nécessitent deux consentements distincts ou un consentement global très précis dès le départ.
Situation 3 : le cas client détaillé
Une étude de cas peut ne pas inclure de photo ni de vidéo, mais elle contient souvent des informations très identifiantes : le prénom, le métier, le secteur d'activité, la situation de départ, les résultats obtenus. Combinés, ces éléments peuvent permettre d'identifier une personne même sans photo.
La règle s'applique de la même façon. Vous devez obtenir l'accord de la personne pour publier ces informations, en précisant exactement ce qui sera publié. Si la personne souhaite rester anonyme, vous pouvez publier l'étude de cas avec des éléments anonymisés ou modifiés (prénom fictif, secteur général plutôt que poste précis) à condition de ne pas laisser entendre que les informations sont réelles sans modification.
Les obligations : ce que doit contenir une autorisation
Les mentions obligatoires d'une autorisation de droit à l'image
L'autorisation de droit à l'image doit contenir :
- l'identité complète de la personne photographiée ou filmée
- la description des images concernées (date, lieu, contexte de la prise de vue)
- les finalités de l'exploitation (communication institutionnelle, publicité, site internet, réseaux sociaux)
- les supports autorisés à lister de façon exhaustive
- le territoire d'exploitation
- la durée de l'autorisation
- la contrepartie (mention expresse de la gratuité ou du montant prévu)
- les modalités de révocation
- les informations RGPD (responsable du traitement, finalité, droits de la personne)
- la signature de la personne (possible via Edusign)
Deux points méritent une attention particulière :
La liste des supports : Si vous comptez utiliser le témoignage sur votre site, sur Instagram, dans une newsletter et dans votre page de vente, listez-les tous explicitement. Utiliser un témoignage sur un support non mentionné dans l'autorisation vous expose à un risque juridique, même si vous avez par ailleurs une autorisation générale.
La durée : Une autorisation sans limite de durée est techniquement possible mais peut poser problème. Une durée déterminée est toujours préférable. En pratique, beaucoup d'entreprises utilisent des formulations du type "pour une durée de 5 ans renouvelable" ou "pour la durée de l'activité commerciale de [l'entreprise]". L'important est que la durée soit mentionnée explicitement.
Le cas particulier du consentement par email
Dans un contexte professionnel informel (un·e client·e qui vous envoie spontanément un retour enthousiaste), un échange email peut constituer une preuve de consentement valable à condition d'être explicite et conservé. La bonne pratique est de répondre à cet email en précisant clairement ce que vous allez faire : "Merci beaucoup pour ce retour ! Je souhaite le publier sur mon site et mes réseaux avec ton prénom et ta photo de profil. Est-ce que tu m'y autorises ?" Sa réponse affirmative constitue alors un consentement documenté.
Ce qu'il ne faut pas faire : publier sans rien demander en partant du principe que "si elle me l'a envoyé, c'est qu'elle est d'accord pour que je le publie." Ce n'est pas un consentement, c'est une interprétation.
Ce que vous risquez si vous ne respectez pas ces règles
Les risques juridiques
Une personne peut porter plainte pour non-respect de son droit à l'image. Elle dispose d'un délai de trois ans à partir de la diffusion du document. Les sanctions peuvent inclure :
- Des dommages et intérêts versés à la victime (plusieurs milliers d'euros selon les cas)
- L'obligation de retirer immédiatement les contenus, sous astreinte
- Un an d'emprisonnement et 45 000 € d'amende pour avoir photographié ou filmé une personne sans son consentement et transmis l'image (même sans diffusion large).
Les risques liés au RGPD
La CNIL peut être saisie par toute personne qui estime que ses données personnelles ont été traitées sans base légale valide. La CNIL veille au respect de ces obligations et n'hésite plus à sanctionner. En décembre 2024, une entreprise du secteur immobilier a écopé d'une amende de 40 000 € pour surveillance disproportionnée de ses salariés.
Pour les entreprises de taille plus modeste, les sanctions sont généralement proportionnées, mais le retrait forcé d'un témoignage vidéo soigneusement produit, la mise en demeure publique ou la tension relationnelle avec un·e ancien·ne client·e restent des conséquences importantes.
Le droit au retrait : une réalité à anticiper
C'est l'aspect que beaucoup oublient. Même avec une autorisation en bonne et due forme, si vous constatez la diffusion d'une photo ou vidéo de vous sur internet sans votre consentement, vous avez la possibilité d'envoyer une demande de suppression de votre image, au même titre que n'importe quelle autre donnée personnelle.
Plus précisément : une personne peut retirer son consentement à tout moment, même si elle avait initialement accepté. Ça ne signifie pas que votre autorisation initiale était nulle, ça signifie que pour l'avenir, vous ne pouvez plus utiliser les contenus la concernant.
Les cas particuliers à connaître
Les avis Google et les plateformes tierces
Quand un·e client·e laisse un avis sur votre fiche Google Business, sur Trustpilot ou sur une autre plateforme, il·elle donne son consentement à cette plateforme pour publier l'avis, pas à vous pour le réutiliser ailleurs.
Reproduire un avis Google sur votre site avec le prénom et la photo de profil de la personne sans autorisation spécifique n'est pas couvert par le consentement donné à Google. Vous devez obtenir une autorisation séparée pour le réutiliser dans vos propres communications.
Ce qui est en revanche généralement admis : mentionner que vous avez reçu X avis positifs sur Google, avec un lien vers votre fiche, sans reproduire les avis in extenso.
Les témoignages d'anciens·nes client·es
Le départ d'un·e client·e ne met pas fin à la valeur de son témoignage, mais il change le contexte. Une personne qui avait autorisé la publication de son témoignage peut, après la fin de votre relation commerciale, demander le retrait de ses données au titre du droit à l'effacement prévu par le RGPD.
C'est légal et vous devez obtempérer dans un délai raisonnable. La CNIL recommande de ne pas garder indéfiniment les données, prévoyez la suppression des informations en cas d'inactivité prolongée de vos clients (3 ans à compter de la fin de la relation commerciale).
Dans la pratique : si l'autorisation que vous avez obtenue précise une durée, respectez-la. Si elle ne précise pas de durée, il est raisonnable de considérer que l'autorisation couvre la durée de la relation commerciale et quelques années après, mais pas indéfiniment.
La publication de témoignages sur les réseaux sociaux
Publier un témoignage client sur Instagram ou LinkedIn en taguant la personne ou en affichant son nom est une diffusion publique. Toutes les règles s'appliquent. Mais il y a une subtilité supplémentaire : en taguant quelqu'un, vous lui donnez en quelque sorte un droit de regard sur ce qui est publié, si elle retire le tag ou vous demande de supprimer le post, c'est un signal à ne pas ignorer.
La bonne pratique sur les réseaux : envoyez le post à la personne avant de le publier. Obtenez une validation explicite (même un simple "ok pour moi" en DM). C'est rapide, ça crée de la confiance, et ça évite toute mauvaise surprise.
FAQ : droit à l'image
C'est quoi le droit à l'image exactement ?
Le droit à l'image est le droit de toute personne à contrôler l'utilisation de son image. Il repose sur l'article 9 du Code civil qui protège la vie privée. Concrètement, cela signifie que vous ne pouvez pas publier la photo, la vidéo ou tout autre représentation d'une personne identifiable sans son consentement préalable explicite. Ce droit s'applique aux client·es, aux collaborateurs·rices, aux participant·es à vos événements, à toute personne reconnaissable dans vos contenus.
Un témoignage écrit est-il soumis au droit à l'image ?
Pas directement, si aucune image n'est associée. En revanche, un témoignage écrit publié avec le prénom, le nom, l'entreprise ou tout autre élément identifiant de la personne entre dans le champ du RGPD en tant que donnée personnelle. Vous avez besoin d'un consentement explicite pour publier ces informations, même en l'absence de photo ou de vidéo.
Peut-on utiliser un avis Google sur son site web sans autorisation ?
Non. Le consentement donné à Google pour publier un avis sur une fiche Google Business ne couvre pas votre propre utilisation de cet avis sur votre site ou vos réseaux. Pour réutiliser un avis Google dans vos communications, vous devez obtenir une autorisation séparée de la personne concernée. Ce qui reste autorisé : mentionner le nombre d'avis reçus et renvoyer vers votre fiche Google via un lien.
Que faire si un·e ancien·ne client·e demande le retrait de son témoignage ?
Vous devez retirer les contenus dans un délai raisonnable. Le RGPD reconnaît un droit à l'effacement que toute personne peut invoquer. Même si vous aviez obtenu une autorisation valide, la personne peut retirer son consentement à tout moment pour les usages futurs. La bonne pratique est de retirer les contenus concernés dans les deux à quatre semaines suivant la demande, et de confirmer par écrit que la suppression a bien été effectuée.
Quelles sont les sanctions en cas de non-respect du droit à l'image ?
Les risques sont à la fois civils et pénaux. Sur le plan civil : des dommages et intérêts pouvant atteindre plusieurs milliers d'euros et l'obligation de retirer les contenus. Sur le plan pénal : jusqu'à un an d'emprisonnement et 45 000 € d'amende pour diffusion d'image sans consentement. La CNIL peut par ailleurs prononcer des amendes administratives pour les manquements au RGPD, proportionnées à la taille de la structure et à la gravité du manquement.
Un simple email de confirmation suffit-il comme preuve de consentement ?
Oui, à condition qu'il soit explicite et conservé. Un email dans lequel la personne confirme clairement qu'elle autorise la publication de son témoignage avec les précisions sur les supports et les éléments publiés constitue une preuve de consentement valable. L'important est de conserver cet email et de s'assurer que la formulation est suffisamment précise pour couvrir l'usage que vous en faites.
