Guide freelance

RGPD pour freelance : la checklist pratique pour mettre son activité en conformité

Les étapes RGPD indispensables pour un freelance : registre, bases légales, information, sous-traitants, sécurité et droits des personnes.

Par · 10 min de lecture · Mis à jour le

L’essentiel

  • Le RGPD concerne un freelance dès qu’il traite des données permettant d’identifier une personne dans le cadre de son activité.
  • La conformité commence par l’inventaire des traitements, puis se poursuit avec l’information, la sécurité et la gestion des droits.
  • Les outils utilisés au quotidien doivent aussi être recensés et encadrés.

Un freelance est-il concerné par le RGPD ?

Oui, dans la grande majorité des activités. Un fichier clients, un carnet de prospects, des factures nominatives, une newsletter ou les statistiques d’un site contiennent des données personnelles. Le statut juridique et la taille de l’activité ne créent pas d’exemption générale.

L’objectif n’est pas d’accumuler des documents. Il faut pouvoir expliquer quelles données sont utilisées, pourquoi elles le sont, combien de temps elles sont conservées, qui y accède et comment les personnes peuvent exercer leurs droits.

1. Faire l’inventaire de vos traitements

Commencez par lister les usages réels plutôt que les logiciels : gestion des prospects, exécution des missions, facturation, comptabilité, newsletter, statistiques du site ou gestion des candidatures.

Pour chaque usage, notez la finalité, les catégories de personnes et de données, les destinataires, les outils, la durée de conservation et les mesures de sécurité. Cet inventaire devient votre registre des activités de traitement.

  • Ne collectez que les informations réellement utiles à la prestation.
  • Séparez la prospection, la relation client et les obligations comptables.
  • Identifiez les données sensibles ou les traitements présentant un risque particulier.

2. Choisir une base légale adaptée à chaque usage

Le consentement n’est pas la seule base légale. L’exécution d’un contrat peut justifier les données nécessaires à une mission, une obligation légale celles liées à la comptabilité, et l’intérêt légitime certains usages de prospection sous conditions.

Une base légale doit être choisie avant la collecte et ne peut pas être changée opportunément après coup. Documentez ce choix dans le registre et reprenez-le dans l’information fournie aux personnes.

Un formulaire ne doit jamais présenter comme obligatoire une donnée qui ne l’est pas pour rendre le service demandé.

3. Informer clairement clients et prospects

L’information doit être accessible au moment où les données sont recueillies. Sur un formulaire, utilisez une mention courte indiquant la finalité, la base légale, la durée, les droits et un lien vers une information complète.

Une politique de confidentialité centralise le détail, mais elle ne remplace pas l’information contextuelle sous chaque formulaire. Le texte doit décrire vos pratiques réelles, sans copier une politique générique.

4. Encadrer vos outils et sous-traitants

Messagerie, stockage, facturation, CRM, visioconférence et newsletter traitent souvent des données pour votre compte. Vérifiez les conditions contractuelles, les mesures de sécurité, la localisation des données et les éventuels transferts hors de l’Espace économique européen.

Conservez les accords de sous-traitance et les informations utiles dans votre dossier de conformité. Quand un outil ne fournit pas de garanties suffisantes, cherchez une configuration plus protectrice ou une alternative.

5. Sécuriser les données et préparer les demandes de droits

Activez l’authentification multifacteur, utilisez un gestionnaire de mots de passe, chiffrez les appareils, appliquez les mises à jour et limitez les accès. Des sauvegardes testées et une procédure simple en cas d’incident complètent ce socle.

Préparez une procédure permettant de retrouver les données d’une personne, vérifier son identité, répondre dans les délais et transmettre la demande aux prestataires concernés. Une adresse de contact visible évite les demandes perdues.

  • Tester au moins une fois la restauration d’une sauvegarde.
  • Supprimer régulièrement les comptes et fichiers devenus inutiles.
  • Noter les incidents et évaluer s’ils doivent être notifiés à la CNIL.

Votre plan d’action en une heure

Réservez une première session pour inventorier vos outils et vos traitements. Corrigez ensuite les risques les plus immédiats : accès partagés, absence d’information, données anciennes et prestataires non encadrés.

La conformité est une démarche continue. Programmez une revue annuelle et une vérification à chaque changement important d’outil, d’offre ou de canal de prospection.

Questions fréquentes

Un auto-entrepreneur doit-il tenir un registre ?
Les petites structures bénéficient d’aménagements limités, mais doivent documenter les traitements non occasionnels, susceptibles de comporter un risque ou portant sur des données particulières. En pratique, un registre simplifié reste l’outil le plus sûr pour piloter les usages courants.
Dois-je demander le consentement à tous mes clients ?
Non. Les données strictement nécessaires à l’exécution d’un contrat reposent généralement sur cette base légale. Le consentement est pertinent pour certains usages distincts, notamment lorsque aucune autre base ne convient.
Combien de temps faut-il conserver les données ?
Il n’existe pas une durée unique. Elle dépend de la finalité, des obligations légales et des délais de prescription. Chaque catégorie doit avoir une durée justifiée et une règle de suppression ou d’archivage.

Sources officielles et références

Ce guide fournit une information générale et ne remplace pas l’analyse de votre situation par un professionnel.

Pour approfondir avec Thibaut Sehier