Le RGPD s'applique aux traitements professionnels de données personnelles, quelle que soit la taille de l’activité. 8 repères pratiques, checklist de 12 actions, sanctions pouvant atteindre les plafonds prévus par le règlement. Comment structurer sa conformité.
Mis à jour le .
Dans ce guide 13 repères
Que faut-il retenir en premier ?
RGPD applicable à tous (auto-entrepreneur solo inclus dès qu'il y a 1 fichier client).
8 repères pratiques : registre, information, sécurité, droits et encadrement des sous-traitants selon les cas.
Sanctions CNIL : jusqu'à 20M€ ou 4% CA mondial annuel.
Registre des traitements : l’exemption des moins de 250 salariés est étroite ; la gestion clients y figure.
Le RGPD s’applique-t-il vraiment à un indépendant ?
Oui pour les traitements liés à son activité professionnelle. Dès qu'un freelance ou indépendant traite des données personnelles (nom, email, téléphone, adresse d’un client ou prospect), même seul ou en micro-entreprise, le RGPD s'applique.
Confusion fréquente : le RGPD n'est pas réservé aux grandes entreprises. Ce qui change selon la taille :
DPO (délégué à la protection des données) obligatoire dans certains cas, notamment suivi régulier et systématique à grande échelle ou traitement à grande échelle de données sensibles ou pénales ; les organismes publics sont aussi concernés.
Analyse d’impact obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, selon les critères du règlement.
Les autres obligations s’appliquent selon les traitements et les rôles : information, sécurité, droits des personnes et encadrement des sous-traitants lorsque l’article 28 s’applique.
Quels sont les principaux points de conformité ?
1
Tenir un registre des traitements
Liste de tous les traitements de données (clients, prospects, fournisseurs, salariés)
2
Information des personnes
Politique confidentialité accessible (mentions légales, formulaire contact, footer)
3
Choisir la base légale et informer
Le consentement est requis pour certains usages, notamment la prospection par email auprès des particuliers et les traceurs soumis à consentement ; les règles diffèrent selon la finalité et le public.
4
Sécurité des données
Mots de passe robustes, chiffrement (TLS), sauvegarde, accès restreint
5
Droits des personnes
Procédure pour : accès, rectification, suppression, portabilité, opposition
6
Notification violation
Documenter la violation ; notifier la CNIL sous 72 h si elle présente un risque, et les personnes sans délai injustifié en cas de risque élevé
7
Encadrer les sous-traitants
Lorsqu’un prestataire agit comme sous-traitant, un contrat ou autre acte juridique conforme à l’article 28 encadre le traitement ; un outil peut aussi avoir un autre rôle.
Un document central qui liste vos traitements de données. Un tableur suffit : aucune forme n’est imposée.
L’article 30 du règlement prévoit une exemption pour les organismes de moins de 250 salariés, mais la CNIL la décrit comme étroite : restent à inscrire les traitements non occasionnels, comme la gestion de la paie ou celle des clients, les traitements présentant un risque et ceux portant sur des données sensibles. Autant dire que la gestion de vos clients y figure.
Colonnes obligatoires registre
Nom du traitement (ex: "Gestion clients facturation")
Finalité (ex: "Émettre factures, gérer la relation commerciale")
Base légale (consentement, contrat, intérêt légitime, obligation légale)
Catégories de personnes concernées (clients, prospects, fournisseurs, salariés)
Catégories de données (identité, contact, financières, professionnelles)
Transferts hors UE (oui/non, si oui : justification)
Durée de conservation
Mesures de sécurité (chiffrement, accès restreint, sauvegardes)
Exemple ligne registre
Exemple indicatif : adaptez les champs et ne mentionnez que les mesures et prestataires réellement utilisés pour votre traitement.
Traitement : Gestion clients et facturation
Finalité : Émettre devis/factures, conservation comptable
Base légale : Contrat (exécution prestation) + obligation légale (10 ans)
Personnes : Clients (B2B et B2C)
Données : Nom, email, adresse, SIRET (si B2B), historique factures
Destinataires : équipe autorisée ; prestataires selon leur rôle
Transferts hors EEE : à analyser selon les prestataires et garanties applicables
Durée : 10 ans (obligation comptable Code commerce L123-22)
Sécurité : mesures d’accès, de transmission et de sauvegarde réellement mises en place
Quels contrats signer avec vos outils ?
Lorsque votre prestataire traite des données personnelles pour votre compte, l’article 28 du RGPD exige un contrat ou autre acte juridique écrit qui décrit le traitement et répartit les obligations. Commencez par vérifier le rôle réellement joué par chaque outil : un prestataire peut traiter certaines données pour votre compte et agir comme responsable pour d’autres finalités.
Heureusement, les grands acteurs proposent des DPA standards :
Prestataire de paiement
À demander à l’éditeur
Encaissement des règlements de vos clients
Service d’envoi d’emails
À demander à l’éditeur
Envoi de vos documents et de vos relances
Service de transcription vocale
À demander à l’éditeur
Transcription et structuration de vos dictées
Hébergeur du site ou de l’application
À demander à l’éditeur
Exécution du service et stockage technique
Base de données et authentification
À demander à l’éditeur
Comptes, documents et données de facturation
Plune
Accord de traitement des données publié
Devis, factures, signature, conservation
Par où commencer concrètement ?
À cocher pour être conforme RGPD en tant que freelance/indépendant :
Politique de confidentialité publiée sur votre site (page /legal/confidentialite)
Informations légales à jour : identité de l’éditeur et de l’hébergeur ; information de confidentialité accessible aux personnes concernées
Consentement avant les traceurs non exemptés ; certains outils d’audience ne peuvent être exemptés que sous conditions strictes
Registre des traitements à jour (fichier Excel ou outil dédié)
Rôles des prestataires identifiés et contrat conforme à l’article 28 lorsque le prestataire agit comme sous-traitant
Procédure pour répondre dans le mois initial ; en cas de demande complexe ou nombreuse, expliquer dans ce délai toute prolongation possible de deux mois
Mesures d’authentification adaptées au risque, par exemple mots de passe robustes et authentification multifacteur lorsque disponible
Flux et lieux de traitement identifiés, avec les garanties applicables aux transferts hors Espace économique européen ; un hébergement dans l’UE ne suffit pas à lui seul
Durées définies par finalité : à titre de repères CNIL, prospection client jusqu’à 3 ans après la fin de la relation commerciale, prospects jusqu’à 3 ans après le dernier contact émanant d’eux ; pièces comptables concernées 10 ans
Lecture des fiches de la CNIL correspondant à vos traitements, avant de rédiger votre registre
Sauvegardes, reprise et réponse aux incidents adaptées au risque, documentées et testées
Informer les personnes de leurs droits au moment de la collecte, selon le traitement concerné
Comment répondre aux demandes des personnes ?
Vous devez répondre dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse, à condition d’en informer la personne dans le mois initial et d’en expliquer le motif. Les droits en cause :
Droit d'accès : leur fournir copie de leurs données
Droit de rectification : corriger données inexactes
Droit à l'effacement ("droit à l'oubli") : supprimer si justifié
Droit à la portabilité : fournir données en format réutilisable (JSON/CSV)
Droit d'opposition : arrêter prospection commerciale
Droit limitation : geler temporairement traitement
Procédure recommandée : créer un email type rgpd@tonentreprise.fr (ou juste contact@) + procédure interne sous 1 mois.
Que faire en cas de violation de données ?
Si fuite/perte/accès non autorisé :
Documenter et évaluer la violation. En présence d’un risque pour les droits et libertés, notifier la CNIL dans les meilleurs délais et, si possible, au plus tard 72 h après en avoir pris connaissance.
Risque élevé : informer les personnes concernées sans délai injustifié, sauf exception prévue par le RGPD.
Mettre fin à la fuite (changement mots de passe, isolation système, etc.)
Mesures correctives : audit sécurité, formation, etc.
Une violation qui ne présente pas de risque pour les personnes n’est pas notifiée, mais elle reste consignée dans votre registre des violations. C’est ce registre, et non la notification elle-même, qui démontre que l’évaluation a bien eu lieu.
Que risque-t-on en cas de manquement ?
Type sanction
Montant max
Détail
Sanction administrative max
20 millions € OU 4% CA mondial annuel
Le plus élevé des deux (art. 83 RGPD)
Sanction réduite (catégorie 1)
10 millions € OU 2% CA
Manquements documentation/coopération
Mise en demeure CNIL
0€ initial
Délai fixé par la CNIL selon le dossier ; une sanction ne requiert pas toujours une mise en demeure préalable
Avertissement public
Réputationnel
Publication décision sur cnil.fr
Ces plafonds sont des maximums, appréciés au regard de la gravité du manquement, de sa durée, des mesures prises et de la coopération. La CNIL dispose de plusieurs suites possibles, du rappel à l’ordre à l’injonction sous astreinte : une mise en demeure préalable n’est pas une étape obligatoire avant toute sanction.
Quelles erreurs reviennent ?
Croire qu'auto-entrepreneur solo n'est pas concerné par RGPD (faux : tout traitement même 1 fichier client = RGPD)
Ne pas encadrer par contrat les traitements confiés à un sous-traitant ; chaque acteur conserve ses propres responsabilités
Conserver des mots de passe en clair ; privilégier un hachage dédié et salé, adapté aux recommandations de sécurité
Garder toutes les données sans distinguer prospection, contrat, preuve et comptabilité : leurs durées de conservation diffèrent
Déposer des traceurs non exemptés avant le choix de la personne ; vérifier les conditions CNIL si vous invoquez une exemption de mesure d’audience
Confondre RGPD et secret professionnel (ce sont 2 régimes complémentaires)
Ignorer la CNIL en cas d’incident : la coopération est prise en compte dans l’appréciation des suites et sanctions
Quels cas particuliers surveiller ?
Données sensibles (santé, opinion, religion)
Les données de santé, opinions et convictions relèvent des catégories particulières de l’article 9. Leur traitement est en principe interdit, sauf si une condition de cet article s’applique ; le consentement explicite n’est qu’une des exceptions possibles. Avant d’utiliser un outil pour des données de patients ou de clients, vérifiez son cadre et ses protections.
Mineurs (-15 ans)
Pour un service en ligne proposé directement à un mineur de moins de 15 ans, lorsque le traitement repose sur le consentement, l’accord conjoint du mineur et du titulaire de l’autorité parentale est requis. Les autres traitements ont leur propre base légale.
Prospection commerciale B2B vs B2C
Email B2B : une sollicitation en lien avec la profession peut reposer sur l’intérêt légitime, avec information et opposition simple et gratuite.
Email B2C : consentement préalable en principe ; exception encadrée pour les clients déjà acquis et des produits ou services analogues, avec opposition possible.
Régions et transferts : la base Supabase est à Paris, en France ; les fonctions Vercel sont configurées à Paris, son CDN est mondial et le fournisseur est établi aux États-Unis ; OpenAI traite certains contenus vocaux aux États-Unis. Les garanties applicables sont décrites dans la politique de confidentialité et le DPA.
Échanges chiffrés en transit entre votre navigateur et Plune ; les autres mesures documentées figurent sur la page Sécurité.
DPA Plune : L’accord de traitement des données de Plune est consultable sur la page DPA. Une version PDF peut être demandée à contact@plune.app. Consulter l’accord.
Droits utilisateurs : Vous exportez vos données quand vous voulez depuis votre compte : exports CSV par liste et archive complète dans Paramètres puis Profil. Pour une demande d’accès, de rectification, d’effacement ou d’opposition, écrivez à contact@plune.app. Les données soumises à une obligation légale de conservation ne sont pas effacées avant son terme.
Cookies et traceurs : Les outils de mesure d’audience et de publicité sont soumis à votre choix dans la bannière cookies. Vous pouvez refuser les catégories facultatives et modifier ce choix.
Notification d’incident : le sous-traitant alerte le responsable du traitement dans les meilleurs délais ; les modalités de Plune figurent dans le DPA.
Sécurité : les mesures documentées sont présentées sur la page Sécurité. Plune ne revendique pas de certification ISO 27001.
Questions fréquentes
Vos questions sur le RGPD
Oui. Dès qu’une activité traite des données personnelles, c’est-à-dire le nom, l’adresse électronique, le téléphone ou l’adresse d’un client ou d’un prospect, le règlement s’applique. Ce qui varie avec la taille, ce sont certaines obligations comme la désignation d’un délégué à la protection des données, réservée à des cas précis.
Oui, en pratique. L’article 30 du règlement prévoit une exemption pour les organismes de moins de 250 salariés, mais la CNIL la décrit comme étroite : restent à inscrire les traitements non occasionnels, comme la gestion des clients, ceux qui présentent un risque et ceux qui portent sur des données sensibles.
Un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse, à condition d’en informer la personne dans le mois initial en expliquant le motif de la prolongation.
Lorsqu’elle est susceptible d’engendrer un risque pour les droits et libertés des personnes, la notification à la CNIL intervient dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées sont informées sans délai injustifié.
Le rôle dépend de la finalité du traitement. Pour les données de vos clients que vous utilisez dans le service, vous restez responsable de traitement et Plune agit comme sous-traitant selon le DPA. Pour les données de compte et d’abonnement, Plune agit comme responsable de traitement. Vérifiez la politique de confidentialité pour le détail des rôles et traitements.
Vos données et vos droits avec Plune
Retrouvez les informations sur les sous-traitants, les droits et les durées de conservation dans notre politique de confidentialité. Plune vous aide à gérer vos devis et factures ; vous gardez la responsabilité des traitements de votre activité. Essai Pro 30 jours sans carte bancaire.
Plune utilise des cookies nécessaires au service. Avec votre accord, nous pouvons aussi mesurer l'audience et les campagnes publicitaires. Le suivi partenaire fait l’objet d’un choix séparé sur le lien partenaire.
