RGPD et freelances : obligations concrètes et mise en conformité en 2026

Le RGPD s'applique-t-il aux freelances ?

Oui, sans exception. Le Règlement (UE) 2016/679 (RGPD), applicable depuis le 25 mai 2018, s'applique à toute personne ou organisation qui traite des données personnelles de personnes physiques dans l'Union européenne, quelle que soit sa taille. Un freelance qui détient une base de contacts clients, envoie des newsletters, utilise Google Analytics sur son site ou sous-traite du travail impliquant des données personnelles est soumis au RGPD.

Responsable de traitement vs sous-traitant

Deux rôles distincts existent sous le RGPD :

• Responsable de traitement : vous définissez les finalités et les moyens du traitement. Exemple : vous gérez votre propre base clients.
• Sous-traitant : vous traitez des données pour le compte d'un autre responsable (votre client). Exemple : vous développez une application qui traite les données clients de votre donneur d'ordre.

Dans le second cas, la loi impose la signature d'un accord de traitement de données (DPA — Data Processing Agreement) entre vous et votre client (article 28 du RGPD). Sans ce contrat, votre client engage sa responsabilité et la vôtre.

Le registre des activités de traitement

L'article 30 du RGPD impose à tout responsable de traitement de tenir un registre des activités de traitement. Pour un freelance, ce registre liste les traitements effectués :

• Gestion de la base clients (noms, emails, téléphones, SIRET) — finalité : gestion commerciale
• Facturation (coordonnées bancaires éventuelles) — finalité : obligations comptables légales
• Newsletter (avec consentement) — finalité : prospection commerciale
• Site web avec cookies analytiques — finalité : mesure d'audience

Le registre n'a pas de format imposé. Un simple tableau Excel suffit. La CNIL met à disposition un modèle téléchargeable sur son site.

Les droits des personnes et vos obligations

Toute personne dont vous traitez les données a des droits que vous devez respecter :

• Droit d'accès (article 15) : communiquer les données détenues sous 1 mois
• Droit de rectification (article 16) : corriger les données inexactes
• Droit à l'effacement (article 17 — «droit à l'oubli») : supprimer les données si plus nécessaires
• Droit d'opposition (article 21) : notamment pour le marketing direct

Pour les demandes d'exercice de droits, vous avez 1 mois pour répondre (prorogeable de 2 mois pour les demandes complexes).

La durée de conservation des données

Vous ne pouvez pas garder les données indéfiniment. Les durées de conservation légales courantes :

• Données de facturation : 10 ans (délai de prescription comptable, article L. 110-4 du Code de commerce)
• Données de prospection commerciale : 3 ans après le dernier contact
• Données de candidatures non retenues : 2 ans maximum
• Logs de connexion (sites web) : 13 mois selon recommandations CNIL

Les sanctions : proportionnées mais réelles

La CNIL peut prononcer des amendes jusqu'à 20 millions d'euros ou 4 % du CA mondial annuel (article 83 du RGPD). Pour un freelance, les sanctions sont proportionnées à la taille de l'entreprise, mais des rappels à l'ordre et des injonctions ont déjà été prononcés contre des TPE. La mise en conformité n'est pas optionnelle.

Créer votre facture sur PDFMax →