RGPD pour les freelances : ce que vous êtes vraiment obligé de faire

Vous êtes freelance et vous utilisez un fichier clients, une messagerie ou un formulaire de contact ? Oui, le RGPD vous concerne, même si vous travaillez seul. Pour moi, la première étape consiste à comprendre les données utilisées dans votre activité, puis à organiser leur gestion : information, base légale, registre, sécurité et droits des personnes. Les mesures doivent être adaptées à vos traitements ; la petite taille de l’activité ne dispense pas de ces obligations.

Je vous propose un ordre de travail pour les besoins courants d’un indépendant. Les situations impliquant des données sensibles ou des traitements particuliers demandent un examen complémentaire.

Pourquoi le RGPD s’applique aux freelances

Pour une activité établie en France, le RGPD s’applique aux traitements de données personnelles effectués dans le cadre de cette activité. Il peut aussi concerner une organisation hors de l’Union européenne lorsqu’elle offre des biens ou services à des personnes qui s’y trouvent, ou suit leur comportement dans l’Union.

Dès lors que vous avez :

• une liste de clients avec leurs coordonnées,
• un formulaire de contact sur votre site,
• des abonnés à votre newsletter,
• des prospects dans votre CRM,

Pour les traitements dont vous fixez les objectifs et les moyens, vous êtes responsable de traitement. Si vous traitez des données pour le compte d’un client, selon ses instructions, vous pouvez être sous-traitant. Il faut distinguer ces rôles : gérer votre propre fichier clients et administrer celui d’un client ne crée pas les mêmes responsabilités.

Ce qui change pour une petite structure, c’est l’ampleur et la formalisation requise — pas les principes fondamentaux.

Ce que vous êtes vraiment obligé de faire

1. Informer les personnes dont vous collectez les données

C’est l’obligation la plus fondamentale du RGPD. Chaque fois que vous collectez des données personnelles — via un formulaire, une prise de contact par email, une inscription à un webinaire — vous devez informer la personne :

• Qui collecte ses données (vous, votre structure)
• Pourquoi (quel est l’objectif du traitement)
• Combien de temps vous les conservez
• Quels sont ses droits (accès, rectification, suppression)

En pratique, je vous conseille de préparer une politique de confidentialité adaptée à votre site, puis une mention d’information près du formulaire de contact. Précisez également la base légale, les destinataires, les coordonnées utiles et les éventuels transferts ; la liste ci-dessus sert de point de départ.

2. Avoir une base légale pour chaque traitement

Vous ne pouvez pas collecter ou utiliser des données personnelles « juste parce que ». Le RGPD exige que chaque traitement repose sur une base légale parmi les six prévues par le règlement.

Pour un freelance, les bases légales les plus courantes sont :

• Le contrat ou les mesures précontractuelles : pour les données nécessaires à la prestation conclue avec la personne ou au devis qu’elle demande. La présence d’un contrat ne justifie pas tous les usages de ses données.
• L’intérêt légitime : certains échanges professionnels ou traitements de gestion, après examen de la nécessité du traitement et des droits de la personne. Une prospection B2B doit être liée à sa profession, avec information et possibilité d’opposition.
• Le consentement : vous envoyez une newsletter à des particuliers. Ils doivent avoir explicitement accepté de la recevoir.

Le consentement n’est qu’une base légale parmi six. Pour la facturation, une obligation légale peut s’appliquer ; pour un usage commercial distinct, il faut refaire l’analyse. Je recommande donc de choisir la base de chaque finalité avant d’ajouter une case à cocher, et de conserver la justification de ce choix.

3. Sécuriser les données que vous détenez

Le RGPD vous impose de prendre des mesures « appropriées » pour protéger les données personnelles que vous traitez. Rien ne vous demande d’installer un système de sécurité bancaire, mais l’inaction totale n’est pas acceptable non plus.

Pour un freelance, des mesures raisonnables incluent :

• Un mot de passe solide sur votre messagerie et vos outils de travail
• L’utilisation de services cloud reconnus et conformes (pas un service obscur sans politique de données)
• La suppression des données inutiles — ne gardez pas éternellement des dossiers de prospects qui n’ont jamais donné suite

Le principe est proportionné : plus les données sont sensibles (données de santé, données financières), plus les mesures doivent être robustes.

4. Respecter les droits des personnes

Vos clients, prospects et abonnés ont des droits sur leurs données. Ils peuvent :

• Demander à accéder aux données que vous détenez sur eux
• Demander à les rectifier si elles sont incorrectes
• Demander leur suppression dans certains cas
• S’opposer à certains traitements

Concrètement, vous devez être en mesure de répondre à ces demandes dans un délai d’un mois. Pour un freelance avec peu de contacts, c’est rarement complexe. L’essentiel est de savoir où sont vos données pour pouvoir répondre.

5. Encadrer vos sous-traitants

Si vous faites appel à des outils ou services qui traitent des données pour votre compte — une plateforme d’emailing, un outil de facturation, un CRM en ligne — ces prestataires sont vos sous-traitants au sens du RGPD.

Vous devez vérifier leurs garanties et l’encadrement contractuel de la prestation. La CNIL rappelle que les traitements confiés à un sous-traitant doivent être encadrés par un contrat. Si vous êtes vous-même sous-traitant d’un client, vos engagements doivent aussi être définis avec lui. En pratique, cela signifie :

• Vérifier qu’ils ont une politique de confidentialité sérieuse
• Encadrer le traitement par un contrat ou des clauses conformes à l’article 28 du RGPD : cette obligation ne se limite pas à lire une politique de confidentialité
• Préférer des prestataires hébergés en Europe ou couverts par des mécanismes de transfert reconnus

6. Tenir le registre des traitements concernés

La dérogation pour les organismes de moins de 250 salariés est limitée. Les traitements habituels de clients et prospects doivent figurer dans votre registre ; c’est aussi le cas des traitements à risque ou portant sur des données sensibles. La CNIL le précise dans son guide du registre des activités de traitement.

Pour une activité simple, je conseille une fiche par traitement : objectif, données, personnes concernées, destinataires, durées et mesures de sécurité. Le registre doit rester à jour. Si vous agissez aussi pour le compte de clients, distinguez vos activités de sous-traitant de vos propres traitements.

Ce que vous n’êtes pas forcément obligé de faire

Un délégué à la protection des données (DPO)

Pour un indépendant privé, la désignation d’un DPO est notamment obligatoire lorsque les activités de base impliquent un suivi régulier et systématique de personnes à grande échelle, ou des traitements à grande échelle de données sensibles ou relatives aux infractions. La CNIL détaille ces critères.

La présence de données de santé ne rend pas, à elle seule, le DPO obligatoire pour tout professionnel exerçant seul. Elle impose cependant de vérifier les règles propres à ces données et les mesures de protection adaptées.

Une bannière de cookies si vous n’avez pas de trackers

La nécessité d’un consentement dépend de la finalité des traceurs, et pas de leur origine interne ou tierce. Les traceurs strictement nécessaires au service demandé peuvent être exemptés ; certains outils de mesure d’audience le sont sous conditions. Les autres traceurs concernés doivent attendre le consentement. Je vous conseille d’inventorier ce qui se charge réellement sur votre site, puis de vérifier les règles CNIL sur les cookies et traceurs.

Par où commencer concrètement

Si vous démarrez de zéro, voici un ordre de priorité raisonnable :

1. Recenser les traitements — données, usages, outils et rôle du freelance ; compléter le registre
2. Informer sur vos formulaires — afficher les informations utiles avant la collecte et relier la politique de confidentialité
3. Vérification de vos outils — sont-ils hébergés en Europe ? Proposent-ils un accord de traitement des données ?
4. Nettoyage de votre base contacts — supprimez ce qui est inutile, organisez ce qui reste
5. Organiser le suivi — durées de conservation, demandes de droits, incidents et mises à jour du registre

Ce travail peut rester proportionné à votre activité, mais sa durée dépend des données et des outils utilisés. Je préfère commencer par un inventaire fiable et des corrections vérifiables, puis suivre les points qui nécessitent un accompagnement.

Le RGPD n’est pas votre ennemi

Le RGPD est souvent perçu comme une contrainte administrative venue de Bruxelles pour compliquer la vie des entrepreneurs. En réalité, ses principes — transparence, minimisation des données, sécurité — correspondent à des pratiques que vos clients attendent déjà de vous.

Un client qui vous confie ses informations personnelles pour un projet s’attend à ce que vous les traitiez avec soin. Le RGPD vous donne simplement un cadre pour formaliser ce que vous devriez faire de toute façon.

L’enjeu n’est pas d’être parfait. C’est d’être sérieux.

---

Pour appliquer cette méthode à votre activité, je présente le programme et les documents à personnaliser dans le Kit RGPD du Freelance. Le registre simplifié et le modèle de politique de confidentialité servent de supports de travail à adapter à vos usages.

Si vous hésitez sur votre rôle auprès d’un client ou sur les priorités à traiter, je vous propose un échange gratuit de 30 minutes pour présenter votre besoin. Le diagnostic RGPD Score peut aussi vous aider à préparer ce premier état des lieux.

Je me demande donc comment organiser ces obligations dans mon activité quotidienne pour protéger les données sans perdre de vue le travail à réaliser pour mes clients.

Conseils révisés et sources vérifiées le 5 octobre 2026.