Le RGPD (Règlement Général sur la Protection des Données) s’applique à tous les professionnels qui traitent des données personnelles, y compris les freelances et les micro-entrepreneurs. Bonne nouvelle : vos obligations sont allégées par rapport aux grandes entreprises.
Le RGPD vous concerne-t-il vraiment ?
Dès que vous stockez le nom, l’adresse e-mail ou le numéro de téléphone d’un client ou d’un prospect, vous traitez des données personnelles au sens du RGPD. La taille de votre structure n’y change rien : un freelance en micro-entreprise est soumis aux mêmes obligations de fond qu’une PME.
Ce qui change selon votre taille, c’est le niveau de formalisme requis. En dessous de 250 salariés — ce qui vous concerne forcément — certaines obligations sont simplifiées ou allégées.
Qu’est-ce qu’une donnée personnelle ?
Une donnée personnelle est toute information qui permet d’identifier directement ou indirectement une personne physique. Cela inclut notamment :
Exemples de données personnelles que vous traitez probablement :
- Nom et prénom de votre contact client
- Adresse e-mail professionnelle ou personnelle
- Numéro de téléphone
- Adresse postale (facturation, livraison)
- Adresse IP (collectée par votre site web)
- Données bancaires (IBAN pour les virements)
- Tout identifiant en ligne (cookies, identifiant de session)
Attention : les données d’une société (SIRET, raison sociale) ne sont pas des données personnelles. En revanche, les données d’un auto-entrepreneur ou d’un contact nommé le sont.
Les 6 principes fondamentaux simplifiés
Le RGPD repose sur six grands principes. Voici ce qu’ils signifient concrètement pour vous :
1. Licéité — Vous devez avoir une raison légale de collecter les données. Pour un freelance, c’est généralement l’exécution d’un contrat (facturer un client) ou votre intérêt légitime (relancer un prospect). Vous n’avez pas besoin de demander un consentement explicite pour traiter les données de vos clients dans le cadre de votre activité.
2. Finalité — Les données collectées ne doivent servir qu’à l’usage prévu. L’adresse e-mail d’un client collectée pour lui envoyer ses factures ne peut pas être utilisée pour lui envoyer une newsletter sans son accord.
3. Minimisation — Ne collectez que ce dont vous avez réellement besoin. Pas besoin de la date de naissance de votre client pour lui facturer une prestation.
4. Exactitude — Mettez à jour vos données lorsqu’elles changent. Un client qui déménage doit pouvoir vous communiquer sa nouvelle adresse et vous devez la corriger.
5. Conservation limitée — Les données ne doivent pas être conservées indéfiniment. Chaque type de donnée a sa durée légale ou raisonnable de conservation (voir section dédiée ci-dessous).
6. Sécurité — Vous devez protéger les données contre les accès non autorisés, les pertes ou les fuites.
Vos obligations concrètes
1. Le registre des traitements
En tant que structure de moins de 250 salariés, vous n’êtes obligé de tenir un registre des traitements que pour les traitements qui ne sont pas occasionnels, ou qui portent sur des données sensibles (santé, opinions politiques, etc.) — ce qui ne vous concerne généralement pas.
En pratique, nous vous recommandons tout de même de tenir un registre simplifié. C’est un document (une feuille de calcul suffit) qui liste vos traitements de données :
Registre simplifié pour un freelance type :
Traitement Données collectées Base légale Durée de conservation Destinataires Facturation clients Nom, adresse, e-mail, IBAN Exécution du contrat 10 ans Expert-comptable, logiciel de facturation Prospection commerciale Nom, e-mail, téléphone Intérêt légitime 3 ans sans contact — Site web (formulaire de contact) Nom, e-mail, message Consentement 3 ans — Comptabilité Coordonnées des fournisseurs Obligation légale 10 ans Expert-comptable
2. Informer les personnes
Toute personne dont vous collectez les données doit en être informée. En pratique, cela signifie :
- Sur votre site web : une politique de confidentialité accessible depuis toutes les pages (lien en pied de page). Elle doit expliquer quelles données vous collectez, pourquoi, combien de temps vous les conservez et comment exercer ses droits.
- Sur vos formulaires de contact : une mention courte du type « Les données collectées sont utilisées uniquement pour répondre à votre demande. En savoir plus : [Politique de confidentialité]. »
- Avec vos clients : vos CGV ou votre contrat de prestation peuvent inclure une clause de protection des données. Ce n’est pas obligatoire si la relation est claire, mais c’est une bonne pratique.
ATTENTION — Si vous utilisez des cookies sur votre site (Google Analytics, pixels de suivi, etc.), vous devez afficher un bandeau de consentement avant de les déposer. Un simple site vitrine sans outil de mesure peut en être dispensé.
3. Les durées de conservation
Voici les durées de référence pour les données les plus courantes dans votre activité :
Durées de conservation recommandées :
- Factures et documents comptables : 10 ans au titre du Code de commerce, 6 ans au titre du Livre des Procédures Fiscales
- Devis signés, avenants et contrats de prestation : 5 ans à compter de la fin de la relation contractuelle
- Pièces justificatives de la Piste d’Audit Fiable (bons de commande, échanges contractuels, relevés bancaires) : alignées sur le document qu’elles justifient
- Données prospects (sans contact ni réponse) : 3 ans maximum après le dernier contact
- Données de formulaire de contact (sans suite commerciale) : 3 ans
- Cookies et données de navigation : 13 mois maximum
- Identifiants de connexion (si vous avez un espace client) : durée d’activité du compte + 1 an après clôture
Passé ces délais, supprimez les données ou anonymisez-les.
4. Sécuriser vos données
La sécurité est une obligation, pas une option. Pour un freelance, les mesures raisonnables attendues sont :
Mesures de sécurité minimales :
- Mots de passe : utilisez des mots de passe longs et uniques pour chaque service. Un gestionnaire de mots de passe (Bitwarden, 1Password) est fortement conseillé.
- Double authentification (2FA) : activez-la sur votre messagerie, votre logiciel de facturation, votre hébergeur.
- Sauvegardes : sauvegardez régulièrement vos données dans un endroit séparé (cloud chiffré ou disque externe).
- Chiffrement : veillez à ce que vos échanges sensibles se fassent via des connexions chiffrées (HTTPS, messagerie chiffrée pour les contrats).
- Partage de fichiers : évitez d’envoyer des fichiers contenant des données clients en pièce jointe non protégée. Préférez un lien sécurisé avec expiration.
- Appareils : verrouillez votre ordinateur et votre téléphone. Activez le chiffrement du disque (FileVault sur macOS, BitLocker sur Windows).
Ce que vous n’avez PAS à faire
Plusieurs obligations ne vous concernent pas en tant que freelance :
- DPO (Délégué à la Protection des Données) : la désignation d’un DPO n’est obligatoire que pour les organismes publics ou les entreprises dont le cœur de métier implique le traitement massif de données sensibles. Ce n’est pas votre cas.
- Analyse d’impact (AIPD) : elle n’est requise que pour les traitements à risque élevé (profilage à grande échelle, données de santé, surveillance systématique). Inapplicable pour une activité freelance standard.
- Registre exhaustif : en dessous de 250 salariés, le registre peut se limiter aux traitements non occasionnels. Un simple tableau suffit.
- Notification systématique à la CNIL : les déclarations préalables ont été supprimées par le RGPD. Vous ne devez notifier la CNIL qu’en cas de violation de données (fuite, piratage).
Exemple concret : les données d’un freelance type
Marie, graphiste freelance, traite les données suivantes :
- Clients actifs : nom du contact, e-mail, téléphone, adresse de facturation, IBAN pour les virements. Base légale : exécution du contrat. Conservation : 10 ans (comptabilité).
- Prospects : nom, e-mail, notes de l’appel commercial. Base légale : intérêt légitime. Conservation : 3 ans sans contact.
- Sous-traitants (photographe, développeur) : nom, e-mail, IBAN. Base légale : exécution du contrat. Conservation : 10 ans.
- Site web : formulaire de contact (nom, e-mail, message) + Google Analytics (adresses IP, comportement de navigation). Base légale : consentement pour Analytics. Conservation : 3 ans pour les contacts, 13 mois pour les cookies.
Marie doit donc avoir une politique de confidentialité sur son site, un bandeau de consentement pour Analytics, et supprimer ses prospects inactifs tous les 3 ans.
Un client demande la suppression de ses données : que faire ?
Toute personne a le droit de demander la suppression de ses données (droit à l’effacement, ou « droit à l’oubli »). Si un ancien client vous contacte pour que vous supprimiez ses données, voici la marche à suivre :
- Répondez dans un délai d’un mois (vous pouvez demander une prolongation de deux mois si la demande est complexe).
- Supprimez les données qui n’ont plus de base légale : adresse e-mail dans votre CRM, notes commerciales, fichiers de projet si la prestation est terminée.
- Conservez ce que la loi vous oblige à garder : vous n’êtes pas tenu de supprimer les factures — la loi fiscale vous impose de les conserver 10 ans. Expliquez-le clairement à votre ancien client.
- Documentez la demande et votre réponse : gardez une trace de l’échange pour pouvoir prouver votre conformité si nécessaire.
ATTENTION — Le droit à l’effacement n’est pas absolu. Vous pouvez légitimement refuser de supprimer des données si une obligation légale vous impose de les conserver (ex. : factures soumises au délai de prescription fiscale). Expliquez le motif par écrit.
En cas de violation de données
Si vos données sont compromises (piratage, perte d’un ordinateur, envoi d’e-mail à la mauvaise personne, etc.), vous devez :
- Évaluer le risque pour les personnes concernées : un fichier chiffré perdu n’est pas un risque élevé ; une liste de clients envoyée à un tiers l’est.
- Notifier la CNIL dans les 72 heures si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes. La notification se fait sur le site de la CNIL.
- Informer les personnes concernées directement si le risque est élevé (ex. : fuite d’identifiants bancaires).
Même si vous concluez que la notification n’est pas nécessaire, documentez l’incident et votre analyse.
L’essentiel à retenir
Pour un freelance, la conformité RGPD se résume à quatre actions concrètes :
- Tenir un registre simplifié de vos traitements (un tableau suffit)
- Informer vos clients et visiteurs de site (politique de confidentialité, mentions sur les formulaires)
- Respecter les durées de conservation et supprimer les données obsolètes
- Sécuriser vos accès et vos appareils
Vous n’avez pas besoin de DPO, ni d’analyse d’impact, ni de déclaration préalable à la CNIL.
Freelancer vous aide à rester en conformité avec le RGPD : vos devis, avenants et factures sont archivés dans un coffre-fort numérique certifié NF203 jusqu’à 10 ans tant que votre abonnement est actif, les fiches clients inactives sont automatiquement archivées à l’issue du délai réglementaire de 3 ans, et toutes les données sont chiffrées et stockées en Union européenne.