En bref. Travailler seul n’exonère pas du RGPD. Un indépendant est responsable des traitements qu’il décide pour sa propre activité ; il peut aussi agir comme sous-traitant lorsqu’il traite les données d’un client sur instruction. Ces rôles se déterminent traitement par traitement, avec des obligations différentes. Le premier travail utile consiste à les séparer avant de choisir des documents ou des outils.
Un développeur indépendant peut être responsable de son fichier de prospects et sous-traitant pour la maintenance d’une application client. Un avocat ou un médecin indépendant décidera généralement des moyens et finalités de son propre dossier professionnel, sous réserve des règles spécifiques à sa profession. La CNIL explique comment identifier les rôles : le contrat et le statut commercial donnent des indices, mais la réalité des décisions prime. Ce guide propose une méthode proportionnée pour une personne seule, sans budget ou durée universels présentés comme obligations.
1. Séparer ses propres données de celles confiées par un client
Pour la gestion de votre activité, vous choisissez pourquoi recueillir le nom d’un prospect, comment établir une facture et combien de temps conserver un échange commercial. Vous êtes alors responsable du traitement. Vous devez choisir une base légale pour chaque finalité, informer les personnes, sécuriser les données et répondre à leurs droits. La fiche de registre aide à garder ces choix ensemble. Le RGPD couvre aussi les coordonnées nominatives utilisées dans un contexte professionnel et les dossiers papier organisés.
Pour une mission client, posez quatre questions : qui choisit la finalité ? Qui décide les catégories de personnes et de données ? Pouvez-vous réutiliser les données pour votre propre prospection ou entraînement d’un outil ? Qui fixe les durées essentielles ? Si le client tranche ces éléments et vous demande d’héberger ou manipuler ses données pour son compte, la relation peut relever de l’article 28. En revanche, un conseil indépendant qui détermine lui-même les finalités de son dossier n’est pas automatiquement sous-traitant parce que son client le rémunère.
Exemple hypothétique : une graphiste tient une liste de contacts et envoie ses factures : elle est responsable de ces traitements. Elle accède aussi à la base de clients d’un commerçant pour préparer une campagne selon ses instructions : elle peut être sous-traitante pour cette opération. Si elle copie la base pour créer son propre portefeuille commercial, elle poursuit une finalité nouvelle sans instruction ; l’accord de prestation initial ne justifie pas cette réutilisation.
Documentez les rôles dans une page par mission. Indiquez les systèmes accessibles, les instructions, les sous-traitants ultérieurs autorisés, les mesures de sécurité, la fin de mission et le sort des copies. La CNIL décrit le travail avec un sous-traitant, et l’article 28 du RGPD encadre le contrat pertinent. Ne signez pas mécaniquement un « DPA » avec tout fournisseur : un comptable ou un service de paiement peut être responsable distinct pour certaines opérations. Il faut qualifier chaque rôle avant de choisir les clauses.
2. Construire un petit registre qui décrit l’activité réelle
L’article 30 prévoit une dérogation pour certaines organisations de moins de 250 personnes, mais elle ne couvre notamment pas les traitements non occasionnels. La gestion récurrente des clients, des factures et des prospects conduit souvent à documenter ces opérations. Un indépendant peut utiliser une feuille simple : finalité, personnes, données, destinataires, transferts, durée, base légale, protection et responsable de la décision. Ne recopiez pas un modèle contenant des traitements que vous n’effectuez pas.
Commencez par les flux que vous savez décrire : demande de devis, exécution de mission, facturation, prospection éventuelle, formulaire du site et données confiées par les clients. Dans la même feuille, notez où se trouvent les données : ordinateur, messagerie, sauvegarde, logiciel de facturation. La durée de conservation se détermine par type de pièce et par justification ; toutes les coordonnées d’un client ne prennent pas mécaniquement la durée de ses documents comptables. Le guide sur les durées de conservation aide à séparer base active et archive.
Une revue devient nécessaire quand vous installez un nouveau routeur de courriels, acceptez une mission dans un domaine sensible ou déléguez l’assistance à un autre prestataire. Tenez l’historique des changements importants. Un registre de dix lignes exactes vaut mieux qu’un modèle de cinquante lignes que personne ne peut expliquer. Si une activité relève d’une analyse d’impact en raison d’un risque élevé, examinez l’AIPD ; elle n’est pas obligatoire pour chaque freelance ou chaque application.
3. Informer les personnes là où les données entrent
Un formulaire de contact doit dire qui traite les données, pourquoi, sur quelle base, à qui elles peuvent être communiquées, combien de temps elles seront gardées et comment exercer ses droits. Une notice plus complète peut être liée à proximité. Le devis et le contrat peuvent fournir l’information sur la gestion de la relation et la facturation. Pour une personne dont les données viennent d’un client ou d’une source tierce, vérifiez si les obligations de l’article 14 s’appliquent et qui assure l’information. Une politique de confidentialité générale ne compense pas une collecte discrète pour une finalité différente.
Exemple hypothétique : un consultant reçoit une carte de visite lors d’une conférence et note le contact pour répondre à une demande de rendez-vous. Il explique cette finalité dans sa réponse et conserve le contact le temps utile. S’il veut inscrire la personne à une newsletter commerciale, il doit analyser séparément les règles de prospection ; l’échange de carte ne vaut pas automatiquement consentement à recevoir toutes ses offres.
Pour les cookies, partez d’un inventaire des traceurs réellement chargés. Certains outils de mesure d’audience peuvent bénéficier d’une exemption de consentement seulement s’ils respectent les conditions posées par la CNIL ; le nom d’un fournisseur ne suffit pas. Un outil « sans cookies » peut encore traiter des données personnelles ou utiliser d’autres traceurs. Le guide du bandeau cookies sert à vérifier le comportement réel, notamment avant le choix et lors du retrait.
4. Sécuriser un poste et ses comptes de manière vérifiable
L’article 32 du RGPD demande des mesures adaptées au risque. Pour un indépendant, les points de départ utiles sont des comptes séparés, l’authentification multifacteur sur les services critiques, le chiffrement du poste mobile, les mises à jour, des sauvegardes testées et un moyen de retirer rapidement l’accès d’un prestataire. Ce sont des recommandations opérationnelles, pas des seuils chiffrés imposés uniformément par le RGPD.
Vérifiez le parcours complet d’un fichier client. Arrive-t-il dans une boîte personnelle ? Est-il téléchargé sur un ordinateur partagé ? Une synchronisation automatique l’envoie-t-elle vers un service non prévu au contrat ? Une sauvegarde est-elle récupérable sans le mot de passe du compte principal ? À la fin de la mission, pouvez-vous restituer puis supprimer les copies conformément aux instructions ? Ces questions sont plus révélatrices qu’une liste d’applications « conformes » attribuée à une marque.
Exemple hypothétique : un développeur reçoit un accès de production pour corriger un défaut. Il demande un compte nominatif limité, utilise MFA, journalise la période d’intervention, évite de copier la base entière et fait retirer l’accès à la clôture du ticket. Si la copie locale a été nécessaire, il consigne où elle se trouve et la supprime selon la consigne du client. Cette trace aide les deux parties en cas d’incident.
En cas de perte d’ordinateur ou de partage accidentel, identifiez vite les données, les personnes touchées, la possibilité d’accès et les mesures prises. Si vous êtes sous-traitant, prévenez le client responsable dans les meilleurs délais selon l’article 33.2 et le contrat ; ne supposez pas que la notification à la CNIL vous revient. Pour vos propres traitements, évaluez le risque et les obligations de notification. La procédure relative aux violations explique cette distinction.
5. Répondre aux demandes de droits sans procédure lourde
Prévoyez une adresse de contact qui fonctionne et un journal minimal : date de réception, identité ou doute sur celle-ci, données recherchées, décision et date de réponse. Le délai normal de réponse est d’un mois ; une prolongation de deux mois supplémentaires est possible selon la complexité et le nombre de demandes, à condition d’en informer la personne dans le premier mois. Ne demandez pas systématiquement une pièce d’identité. Cherchez un moyen moins intrusif lorsque l’adresse habituelle ou le compte client suffit.
Une demande d’effacement n’autorise pas à détruire une facture que la loi exige de garder. Expliquez la différence entre les données à effacer, celles à archiver pour une obligation légale et celles que le client responsable doit examiner. Si vous agissez comme sous-traitant, transférez la demande à l’interlocuteur convenu et aidez-le conformément au contrat ; ne promettez pas au demandeur une décision qui appartient au responsable. La procédure d’exercice des droits permet d’identifier les exceptions propres à chaque droit.
Conservez la preuve de la réponse pendant une durée justifiée par la gestion des contestations, sans imposer « trois ans minimum » à tous les dossiers. Les pièces d’identité éventuellement reçues appellent une vigilance particulière : accès restreint et suppression dès qu’elles ne sont plus nécessaires. Testez la procédure avec une demande fictive, sans créer de vraies données personnelles supplémentaires.
6. Prospection et visibilité en ligne
Pour un particulier, la prospection commerciale par courriel ou SMS exige en principe un consentement préalable. L’exception du client existant est limitée à des produits ou services similaires fournis par la même entreprise, avec faculté d’opposition à la collecte et à chaque message. Un simple compte créé sans vente n’est pas une relation client suffisante pour cette exception, comme le rappelle la CNIL.
Pour un professionnel à une adresse nominative, la CNIL admet une prospection sans consentement préalable lorsque le sujet est en rapport avec sa profession, sous réserve d’information et d’opposition simple. Une adresse générique d’entreprise n’est pas une donnée personnelle par elle-même, mais le fichier commercial peut contenir d’autres données de personnes physiques. Ne déduisez pas d’une connexion sur un réseau social un consentement « implicite » à tous les messages. Le guide de prospection directe détaille les canaux et les tests à réaliser.
Si vous utilisez un prestataire d’envoi, sachez qui décide la finalité, comment les désinscriptions sont répercutées et où sont conservées les preuves de consentement. Un fournisseur ne rend pas la campagne licite par sa seule réputation. Si vous recevez une liste de prospects d’un partenaire, demandez comment les personnes ont été informées et quel accord, le cas échéant, couvre votre propre communication.
7. Activités sensibles et cas particuliers
Un indépendant de santé traite potentiellement des données relevant de l’article 9. Il doit identifier à la fois une base de l’article 6 et une condition applicable de l’article 9, puis respecter les règles professionnelles. L’hébergement certifié HDS n’est pas une conséquence automatique de la seule présence d’une information de santé : l’Agence du numérique en santé précise deux conditions cumulatives, liées notamment à l’origine des données dans des activités de soins ou de prévention et à l’hébergement pour le compte des acteurs concernés. Le guide HDS examine le champ précis.
Un avocat indépendant doit ajouter le secret professionnel à son analyse des outils et des échanges. Un consultant en recrutement doit distinguer les candidats qu’il sélectionne selon sa propre méthode de ceux qu’il traite seulement sur instruction. Un développeur qui utilise un service d’IA externe avec des dossiers client doit vérifier les instructions reçues, les destinataires, la conservation et le transfert avant de télécharger quoi que ce soit. Les mêmes questions de rôle et de finalité s’appliquent, mais les réponses changent selon l’activité. Le cas des avocats illustre ces contraintes spécifiques.
Le DPO n’est pas requis uniquement parce que l’activité est sensible ou parce qu’une personne exerce seule. Examinez les critères de l’article 37, notamment les activités principales impliquant un suivi régulier et systématique à grande échelle ou un traitement à grande échelle de catégories particulières. Si ces critères ne s’appliquent pas, une personne peut tout de même être désignée comme contact pour les droits sans utiliser le titre de DPO. La fiche sur le DPO explique son indépendance et ses missions.
Une routine proportionnée pour rester à jour
Quand une nouvelle mission commence, qualifiez votre rôle et les données accessibles. Quand vous ajoutez un outil, vérifiez son rôle, son contrat, ses accès et ses transferts. Quand vous changez un formulaire, révisez la notice et les consentements éventuels. Quand une personne exerce un droit ou qu’un incident survient, gardez la décision et sa justification. Cette routine peut tenir dans un dossier bien nommé et quelques fiches exactes ; le temps et le budget varient fortement selon le nombre de clients, la sensibilité des données et les outils utilisés.
Une fois l’an peut être un moment pratique pour relire ce dossier, mais ce rythme n’est pas une présomption légale de conformité. Une revue immédiate s’impose après un changement majeur de traitement ou de prestataire. Votre objectif est de pouvoir expliquer ce que vous faites réellement, ce que vous avez décidé et les preuves disponibles, sans attribuer au RGPD une assurance, un logiciel ou un coût obligatoire qu’il ne prévoit pas.