RGPD freelance 2026 : obligations + checklist + sanctions CNIL

TL;DR

• RGPD applicable à tous (auto-entrepreneur solo inclus dès qu'il y a 1 fichier client).
• 8 obligations : registre traitements, info personnes, sécurité, DPA sous-traitants, etc.
• Sanctions CNIL : jusqu'à 20M€ ou 4% CA mondial annuel.
• Mise en demeure = délai correction (1-3 mois) avant amende.

1. Le RGPD s'applique-t-il vraiment au freelance ?

Oui, sans exception. Dès qu'un freelance/indépendant traite des données personnelles (nom, email, téléphone, adresse client/prospect), même solo, même AE, le RGPD s'applique.

Confusion fréquente : le RGPD n'est pas réservé aux grandes entreprises. Ce qui change selon la taille :

• DPO (Délégué Protection Données) obligatoire seulement si traitements à grande échelle / sensibles
• Analyse impact (DPIA) obligatoire seulement pour traitements à risque élevé
• Le reste des obligations = pour tout le monde (registre, sécurité, info, etc.)

2. 8 obligations RGPD freelance

3. Registre des traitements (obligation #1)

Document central listant tous les traitements de données. Modèle simple acceptable (Excel/Google Sheets).

Colonnes obligatoires registre

• Nom du traitement (ex: "Gestion clients facturation")
• Finalité (ex: "Émettre factures, gérer la relation commerciale")
• Base légale (consentement, contrat, intérêt légitime, obligation légale)
• Catégories de personnes concernées (clients, prospects, fournisseurs, salariés)
• Catégories de données (identité, contact, financières, professionnelles)
• Destinataires (interne, sous-traitants : Stripe, Resend...)
• Transferts hors UE (oui/non, si oui : justification)
• Durée de conservation
• Mesures de sécurité (chiffrement, accès restreint, sauvegardes)

Exemple ligne registre

Traitement : Gestion clients et facturation
Finalité : Émettre devis/factures, conservation comptable
Base légale : Contrat (exécution prestation) + obligation légale (10 ans)
Personnes : Clients (B2B et B2C)
Données : Nom, email, adresse, SIRET (si B2B), historique factures
Destinataires : Plune (sous-traitant), comptable (sous-traitant)
Hors UE : Non (Plune hébergement EU)
Durée : 10 ans (obligation comptable Code commerce L123-22)
Sécurité : Mot de passe fort, 2FA, TLS, sauvegarde quotidienne

4. DPA avec sous-traitants (obligation #7)

Article 28 RGPD : tout sous-traitant qui traite vos données client (Stripe, hébergeur, outil email, etc.) doit avoir un DPA (Data Processing Agreement) signé avec vous.

Heureusement, les grands acteurs proposent des DPA standards :

5. Checklist 12 actions concrètes

À cocher pour être conforme RGPD en tant que freelance/indépendant :

6. Droits des personnes (obligation #5)

Vous devez pouvoir répondre dans 1 mois maximum aux demandes des personnes concernées :

• Droit d'accès : leur fournir copie de leurs données
• Droit de rectification : corriger données inexactes
• Droit à l'effacement ("droit à l'oubli") : supprimer si justifié
• Droit à la portabilité : fournir données en format réutilisable (JSON/CSV)
• Droit d'opposition : arrêter prospection commerciale
• Droit limitation : geler temporairement traitement

Procédure recommandée : créer un email type rgpd@tonentreprise.fr (ou juste contact@) + procédure interne sous 1 mois.

7. Violation de données : que faire ?

Si fuite/perte/accès non autorisé :

1. 0-72h : notification CNIL via cnil.fr (formulaire en ligne)
2. 0-72h : notification personnes concernées si risque élevé pour leurs droits
3. Documenter : nature violation, données concernées, mesures prises
4. Mettre fin à la fuite (changement mots de passe, isolation système, etc.)
5. Mesures correctives : audit sécurité, formation, etc.

Sanction non-notification : majoration jusqu'à 200% de l'amende initiale.

8. Sanctions CNIL 2026

En pratique pour freelance : la CNIL commence presque toujours par un avertissement / mise en demeure (délai 1-3 mois pour corriger). L'amende n'arrive qu'après non-réponse ou récidive.

9. 7 erreurs fréquentes

10. Cas particuliers

Données sensibles (santé, opinion, religion)

Catégories spéciales (art. 9 RGPD). Interdiction de traitement sauf consentement explicite ou exception (médecin, etc.). Concerné : kinés, médecins, psychologues.

Mineurs (-15 ans)

Consentement parents obligatoire pour traitement données mineur. Concerné : coachs sportifs jeunes, formations en ligne ouvertes mineurs, etc.

Prospection commerciale B2B vs B2C

• B2B : intérêt légitime suffit (mais opt-out facile obligatoire)
• B2C : consentement explicite préalable obligatoire (opt-in)

11. Comment Plune respecte le RGPD

• Hébergement EU exclusif (Supabase Frankfurt + Vercel Frankfurt)
• Chiffrement TLS en transit + chiffrement au repos
• DPA Plune conforme art. 28 RGPD signé automatiquement à l'inscription
• Droits utilisateurs : export complet, droit à l'oubli, portabilité (1 clic depuis settings)
• Pas de cookies tiers ni trackers publicitaires (Vercel Analytics anonyme uniquement)
• Notification incident < 72h en cas de violation (engagement contractuel)
• Audit sécurité annuel ISO 27001 (en cours de certification)