Droit des réseaux sociaux DACH : RGPD des pages fan, BFSG et droits musicaux

Droit des réseaux sociaux : pourquoi la présence d'une entreprise touche plusieurs domaines juridiques à la fois

Un compte d'entreprise sur LinkedIn, Instagram ou TikTok touche juridiquement plusieurs domaines à la fois : traitement des données, publicité, utilisation d'œuvres protégées par le droit d'auteur, droits de la personnalité et, depuis 2026, transparence de l'IA. Chacun de ces domaines a ses propres bases juridiques, ses propres autorités de contrôle et ses propres sanctions. L'erreur typique des équipes marketing, ce sont les trous dans la répartition des responsabilités : la protection des données revient au DPO, l'identification publicitaire à l'agence, les licences musicales à personne.

Cet article apporte deux choses. D'abord, une cartographie qui indique où chaque thème juridique est traité et qui en est responsable dans l'entreprise. Ensuite, l'approfondissement des thèmes que l'article porte lui-même : la protection des données des pages fan, les plugins sociaux depuis Fashion ID, les photos de collaborateurs et le droit à l'image, le transfert de données vers les États-Unis via le Data Privacy Framework et l'accessibilité selon le BFSG. Toutes les informations sont à jour en août 2026 et ne remplacent pas un conseil juridique. La mise en œuvre concrète doit être validée avec un avocat spécialisé ou le délégué à la protection des données.

La cartographie juridique : thèmes, sources de droit, responsabilités

Le tableau associe chaque thème juridique à une source de droit, au risque principal et au service qui devrait en être responsable dans l'entreprise. La vue d'ensemble sur les bases et la stratégie des réseaux sociaux montre comment ces obligations s'intègrent dans la planification globale.

Point important pour l'attribution : l'ordre de grandeur des sanctions varie considérablement. Les violations des obligations de transparence du règlement sur l'IA coûtent jusqu'à 15 millions d'EUR ou 3 % du chiffre d'affaires annuel mondial, tandis que pour le BFSG, le plafond est de 100 000 EUR. Pour l'identification publicitaire et la musique, le risque au quotidien est plus faible, mais la probabilité de survenance plus élevée : les mises en demeure et les retraits de contenus tombent régulièrement, les amendes rarement. Un modèle de gouvernance avec des niveaux de validation clairs, tel que le décrit l'article sur les rôles, validations et workflows, porte ces thèmes dans la durée. Sans responsable attitré pour chaque ligne, chacune finit par passer à la trappe.

RGPD et page fan Facebook : la responsabilité conjointe

Dans l'affaire Wirtschaftsakademie Schleswig-Holstein (C-210/16), la CJUE a jugé que l'administrateur d'une page fan Facebook est responsable conjointement avec Facebook du traitement des données des visiteurs. L'arrêt du 5 juin 2018 a encore été rendu sous l'ancienne directive sur la protection des données ; aujourd'hui, c'est l'article 26 du RGPD qui y correspond. Le vrai enjeu réside dans la motivation : celui qui paramètre les statistiques Insights, c'est-à-dire qui définit des filtres d'audience et demande des analyses, participe à la détermination des finalités et des moyens du traitement. Le fait que Meta exploite la technique ne décharge pas l'administrateur de la page.

En Allemagne, la Cour administrative fédérale (BVerwG) a confirmé ce résultat le 11 septembre 2019 (6 C 15.18). Le 25 novembre 2021 (4 LB 20/13), le tribunal administratif supérieur (OVG) de Schleswig a confirmé la légalité de l'injonction de désactivation émise en 2011 par l'autorité de protection des données du Land et a précisé la portée de la responsabilité : la responsabilité conjointe couvre le traitement lié aux cookies et à Insights, pas le profilage ni le stockage publicitaire effectués par Meta.

Le 17 juillet 2025 (13 K 1419/23), le tribunal administratif de Cologne a annulé l'interdiction de la page Facebook de l'Office de presse du gouvernement fédéral (Bundespresseamt). Selon le tribunal, seule Meta doit recueillir le consentement pour les cookies, et le Bundespresseamt peut continuer à exploiter sa page. La BfDI a fait appel devant l'OVG de Münster. La situation juridique reste donc controversée. Pour jouer la sécurité, continue de remplir les obligations de l'article 26 du RGPD.

Qu'est-ce que cela signifie sur le plan opérationnel ? Trois éléments dont un compte d'entreprise sur les plateformes Meta a besoin :

• Accord de responsabilité conjointe : l'exploitation d'une page fan suppose un accord au sens de l'article 26 du RGPD. Il doit être conclu et archivé dans la documentation des traitements.
• Transparence : la politique de confidentialité de l'entreprise doit couvrir l'exploitation de la page fan, l'utilisation d'Insights et le rôle de Meta. Un lien de la page fan vers la politique de confidentialité constitue le standard minimal.
• Base juridique : l'entreprise doit pouvoir indiquer une base juridique pour le traitement lié à Insights. C'est au délégué à la protection des données de documenter la mise en balance des intérêts, pas au marketing.

Les entreprises autrichiennes sont tout autant concernées par l'arrêt de la CJUE ; les entreprises suisses le sont dans la mesure où elles s'adressent à des utilisateurs de l'UE, avec le régime suisse de protection des données comme niveau supplémentaire. La jurisprudence porte formellement sur Facebook, mais le principe vaut pour toute plateforme dotée de fonctions statistiques comparables, donc aussi pour Instagram Insights ou LinkedIn Page Analytics. Reste à savoir si les autorités de contrôle y appliquent la même rigueur ; la structure du risque est en tout cas identique.

Fashion ID : les plugins sociaux sur ton propre site web

Le deuxième volet ne concerne pas le compte, mais le site web de l'entreprise. Dans l'affaire Fashion ID (C-40/17), la CJUE a jugé le 29 juillet 2019 que l'exploitant d'un site web qui intègre le bouton « J'aime » de Facebook peut être responsable conjointement avec Facebook de la collecte et de la transmission des données des visiteurs. Point décisif : le bouton « J'aime » transmet des données à Facebook dès le chargement de la page, que le visiteur clique ou non, et même s'il n'a pas de compte Facebook.

La responsabilité conjointe s'arrête à la transmission. Ce que Facebook fait ensuite des données n'engage pas l'exploitant du site. En pratique, il en découle un standard clair, qui fait aujourd'hui largement consensus :

• Pas de plugin intégré directement : les boutons « J'aime », de partage et d'abonnement qui envoient des données à la plateforme dès le chargement de la page n'ont pas leur place sur le site sans consentement.
• Solution en deux clics ou liens statiques : un lien statique vers le profil de l'entreprise ne transmet rien. Si tu veux des fonctions de partage, n'active le plugin qu'après consentement.
• Intégrer la gestion du consentement : les plugins sociaux et les publications intégrées (embed Instagram, embed LinkedIn, lecteur YouTube) doivent figurer comme catégorie distincte dans la demande de consentement, et non cachés sous « Fonctionnel ».

L'arrêt Fashion ID explique pourquoi les agences sérieuses ne diffusent plus les flux sociaux intégrés sur les sites d'entreprise que derrière un consentement ou sous forme de copie rendue côté serveur. Y renoncer coûte peu : un lien statique vers le profil remplit la même fonction sans transfert de données.

Droit à l'image : les photos de collaborateurs sur les comptes d'entreprise

C'est ici que se trouve le thème qui présente la plus forte probabilité de survenance et la documentation la plus mince dans la plupart des entreprises. Photos d'équipe, images d'événements, reels en coulisses, portraits de collaborateurs dans les posts de recrutement : ce sont autant de données personnelles et, en même temps, d'atteintes aux droits de la personnalité de la personne représentée. Le droit à l'image signifie que chacun décide en principe lui-même si son image est publiée, et dans quel contexte.

La relation de travail ajoute une particularité : un consentement doit être libre, et cette liberté est structurellement discutable entre employeur et salarié. Un consentement caché dans le contrat de travail ou recueilli de manière globale lors de l'onboarding a donc peu de valeur. Ce qui tient en pratique :

• Consentement distinct et écrit : un document à part, détaché du contrat de travail, qui précise la finalité, les plateformes, le type d'utilisation (organique, payant, recrutement, site web) et la durée.
• Vraie liberté de choix : un refus ne doit entraîner aucun désavantage, et le document doit le préciser. Celui qui ne veut pas apparaître sur les photos n'est pas sollicité pour la photo d'équipe.
• Prévoir le retrait : le consentement est révocable à tout moment. L'entreprise a besoin d'un processus qui retrouve et supprime les publications concernées en cas de retrait ou de départ. Sans registre des visuels avec identification des personnes, c'est impossible.
• Lien avec le contexte : une photo de la fête d'été ne couvre pas son utilisation comme témoignage dans une campagne payante. Toute finalité qui dépasse le consentement initial en exige un nouveau.
• Tiers sur l'image : clients, invités, enfants de collaborateurs lors d'événements. Des panneaux d'information et des zones photo aident, mais ne remplacent pas un consentement pour des portraits ciblés.

Avec les programmes de corporate influencers, la question se déplace : celui qui publie depuis son propre profil décide lui-même de son image. L'entreprise doit cependant clarifier quels éléments (logos, photos de produits, images de clients) les collaborateurs peuvent utiliser et comment se fait l'identification publicitaire. L'article sur la mise en place d'un programme d'employee advocacy traite des lignes directrices nécessaires.

Une remarque sur l'IA générative : utiliser des photos de collaborateurs comme base pour des variantes générées par IA, ou créer des personnes synthétiques qui ressemblent à de vrais collaborateurs, c'est évoluer dans un domaine où la jurisprudence établie reste rare. L'obligation d'étiquetage de l'article 50 du règlement sur l'IA s'y ajoute, voir l'article sur les obligations de transparence de l'article 50.

Data Privacy Framework : transfert de données vers Meta, Google et consorts

Chaque compte d'entreprise sur une plateforme américaine implique un transfert de données vers les États-Unis. Depuis la décision d'adéquation du 10 juillet 2023, les données personnelles peuvent être transférées aux entreprises américaines qui participent à l'EU-US Data Privacy Framework. Les entités américaines des grandes plateformes en font partie, dans la mesure où elles sont certifiées. Pour le travail opérationnel sur les réseaux sociaux, cela signifie que la base juridique du transfert existe actuellement.

L'incertitude porte sur la solidité du cadre. Le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 le recours en annulation contre le Framework (Latombe, T-553/23), et le pourvoi devant la CJUE (C-703/25 P) est pendant. Rien ne dit que le cadre y résistera. Dans les débats spécialisés, ce risque est désigné sous le nom de « Schrems III ». Il vaut donc la peine de s'y préparer :

• Privilégier les données first-party : newsletter, CRM et données du site web restent sous ton contrôle, indépendamment du cadre de transfert.
• Hébergement dans l'UE pour tes propres outils : choisis si possible des outils de gestion des réseaux sociaux, d'analytics et d'automatisation hébergés sur des serveurs situés dans l'UE.
• Documentation des transferts : consigne dans le registre des activités de traitement quelles plateformes reçoivent des données et sur quelle base. Si le Framework tombe, cette liste sert de point de départ pour passer aux clauses contractuelles types.

Le détail sur la vérification de la certification, les clauses contractuelles types et le Transfer Impact Assessment se trouve dans l'article sur le transfert de données vers les États-Unis.

Accessibilité : ce que le BFSG implique pour les réseaux sociaux

En Allemagne, la loi sur le renforcement de l'accessibilité (Barrierefreiheitsstärkungsgesetz, BFSG) s'applique depuis le 28 juin 2025 et transpose la directive (UE) 2019/882. Elle concerne l'e-commerce B2C, les boutiques en ligne, les applications et les sites web qui proposent des services aux consommateurs. Les exigences s'appuient sur les WCAG et la norme EN 301 549, et une déclaration d'accessibilité est obligatoire. Pour les produits utilisés légalement avant la date butoir, le § 38 BFSG prévoit une période transitoire jusqu'au 27 juin 2030. Le BFSG relève du droit allemand. En Autriche, la loi sur l'accessibilité (Barrierefreiheitsgesetz, BaFG) transpose la même directive. Elle s'applique aux entreprises qui, depuis le 28 juin 2025, mettent sur le marché ou fournissent les produits ou services énumérés de manière exhaustive dans la loi, surtout dans le B2C, comme les boutiques en ligne ou les portails de réservation. Les infractions sont des contraventions administratives passibles d'amendes jusqu'à 80 000 euros. La Suisse, qui n'est pas membre de l'UE, n'est pas liée par la directive. Les prestataires suisses qui servent des consommateurs dans l'UE devraient vérifier le droit de l'État membre concerné.

Les publications sur les réseaux sociaux ne relèvent pas elles-mêmes du BFSG. L'obligation vise ce vers quoi elles mènent : landing pages, parcours d'achat, formulaires de leads, outils de réservation. Une campagne paid social qui renvoie vers une page de vente non accessible ne crée pas le risque dans la publication, mais à destination. L'accessibilité vaut quand même la peine dans les contenus : sous-titres, textes alternatifs et contraste suffisant servent sur toutes les plateformes de levier de portée. Obligation de conformité et logique de portée vont ici dans le même sens.

Les autres thèmes juridiques en bref

Quatre thèmes de la cartographie n'ont besoin ici que d'être situés, car ils sont approfondis ailleurs.

Identification publicitaire : le 9 septembre 2021, le BGH a jugé dans trois procédures concernant des influenceurs que la finalité commerciale doit être signalée en cas de contrepartie, mais que les tap tags seuls ne créent pas d'obligation de signalement ; un lien vers le site du fabricant constitue en règle générale un surplus publicitaire. L'Autriche et la Suisse ont leurs propres régimes de loyauté commerciale, et le principe de séparation entre publicité et contenu éditorial s'applique partout. Notre position : dans le doute, signaler, y compris pour tes propres collaborateurs.

Musique : la bibliothèque musicale standard de TikTok et d'Instagram est restreinte pour les comptes professionnels. TikTok précise que les entreprises doivent utiliser la Commercial Music Library pour toutes leurs activités commerciales. En dehors des bibliothèques des plateformes, tu as besoin de l'accord des titulaires de droits pour utiliser de la musique dans des vidéos d'entreprise : le droit de synchronisation de l'éditeur musical ou de l'auteur et, pour un enregistrement existant, les droits du label en tant que producteur de phonogrammes (§ 85 UrhG en Allemagne, § 76 UrhG en Autriche). Une licence de la GEMA (DE), de l'AKM (AT) ou de la SUISA (CH) ne suffit pas à elle seule. La GEMA, par exemple, n'accorde pas le droit de synchronisation pour la publicité. Les solutions praticables sont les bibliothèques de musique d'illustration ou de stock sous licence. Le son tendance qu'un créateur peut utiliser librement devient un problème de licence pour un compte d'entreprise.

DSA et transparence publicitaire : la publicité doit être identifiée comme telle et indiquer qui la diffuse et pourquoi elle est affichée ; les plateformes ne peuvent pas diffuser de publicité fondée sur un profilage utilisant des données sensibles ni montrer de publicité fondée sur le profilage aux mineurs. Les très grandes plateformes tiennent des registres publics des publicités, que les concurrents peuvent aussi consulter. Pour les équipes performance, cela signifie que les ciblages qui laissent déduire la religion, la santé ou l'orientation sexuelle sont refusés ou contestés après coup.

Étiquetage IA : les obligations de transparence du règlement sur l'IA s'appliquent depuis le 2 août 2026 ; pour les systèmes génératifs mis sur le marché avant cette date, un délai de grâce court jusqu'en décembre 2026 pour le marquage lisible par machine. La Commission a publié ses lignes directrices sur les obligations de transparence le 20 juillet 2026. La plupart des entreprises sont des déployeurs. Pour elles, l'article 50, paragraphe 4, du règlement sur l'IA exige la divulgation des deepfakes, c'est-à-dire des images, vidéos et enregistrements sonores générés ou manipulés par IA qui ressemblent à des personnes, lieux ou événements réels et paraissent faussement authentiques. Il en va de même pour les textes générés par IA destinés à informer le public sur des questions d'intérêt public, sauf s'ils font l'objet d'un contrôle éditorial et qu'une personne en assume la responsabilité. Celui qui développe et exploite son propre chatbot est en règle générale fournisseur et doit, selon l'article 50, paragraphe 1, garantir que les utilisateurs comprennent qu'ils échangent avec une IA. L'article sur la mise en œuvre pratique de l'article 50 du règlement sur l'IA montre à quoi ressemble le workflow d'étiquetage au quotidien.

Erreurs fréquentes et comment les éviter

Les schémas se répètent d'un secteur à l'autre. Des pages fan fonctionnent depuis des années sans accord de responsabilité conjointe documenté, parce que personne ne se sent responsable. Des sites web affichent des boutons « J'aime » hérités d'un ancien thème. Des photos de collaborateurs continuent de tourner dans des campagnes alors que la personne a quitté l'entreprise et a retiré son consentement, ou ne l'a jamais donné pour cette finalité. Le son tendance du reel de recrutement provient d'un compte privé.

Le dénominateur commun, c'est l'absence d'inventaire. Si tu ne sais pas quels comptes, plugins, images et sons sont utilisés, tu ne peux leur attribuer aucune base juridique. En pratique, un contrôle de conformité annuel qui suit la cartographie ci-dessus a fait ses preuves : par ligne, un responsable, un document, une date de vérification. Sans cet inventaire, chaque retrait de consentement et chaque demande d'une autorité tourne au jeu de piste.

Conclusion

Le droit des réseaux sociaux dans l'espace DACH est la somme de la coresponsabilité au titre du RGPD, des droits de la personnalité, du droit de la concurrence déloyale, du droit d'auteur, du DSA, du BFSG et du règlement sur l'IA. Une seule checklist ne suffit pas à tout couvrir. Les sanctions vont de la mise en demeure aux amendes de plusieurs dizaines de millions d'euros, en passant par les retraits de contenus. Ces thèmes ne restent maîtrisables que si la responsabilité et la documentation sont clarifiées avant la publication, et pas seulement quand l'autorité ou l'ancien collaborateur écrit.