RGPD freelance 2026 : sécurité, contrats, registres

Rôles : responsable vs sous-traitant

Vous êtes sous-traitant quand vous traitez des données pour le compte du client (ex : campagnes ads, dev d’une app). Vous êtes responsable pour vos propres leads (newsletter, CRM, facturation). Le rôle détermine le registre, la base légale, les informations à fournir et les clauses nécessaires.

À retenir Si vous choisissez les moyens essentiels (stack, hébergement) et finalités, vous endossez une part de responsabilité. Clarifiez le périmètre dans le contrat.

Registre des traitements freelance

Même simplifié, un registre aide : finalité, base légale, catégories de données, destinataires/sous-traitants, durées, mesures de sécurité, transferts hors UE. Un onglet pour vos activités “responsable” (prospects, clients, compta) et un autre pour “sous-traitant” (projets clients).

À retenir Tenir un registre vous fait gagner du temps lors des questionnaires sécurité des clients.

Bases légales et minimisation

Pour vos prospects/newsletter : consentement ou intérêt légitime (B2B avec équilibre + opt-out clair). Pour l’exécution de contrat client : base “contrat”. Minimisation : collecter uniquement ce qui est nécessaire (pas de date de naissance pour une newsletter pro, par exemple).

À retenir Séparer données “must have” vs “nice to have” réduit l’exposition en cas de fuite.

Sous-traitants et cloud

Identifiez vos outils qui traitent des données perso : hébergeur, email, CRM, analytics, paiement, stockage. Vérifiez leurs engagements (DPA), leurs lieux d’hébergement, leurs sous-traitants ultérieurs. Conservez les liens DPA et les listes de sous-processeurs.

À retenir Proposer d’emblée une liste d’outils approuvés rassure vos clients et accélère la signature.

DPA et clauses essentielles

Un DPA (data processing agreement) encadre : instructions documentées, confidentialité, sécurité, assistance droits, notification violation, sous-traitants ultérieurs (consentement général ou spécifique), transferts hors UE (clauses contractuelles types), sort des données en fin de contrat (retour/suppression).

À retenir Ajoutez une clause de coopération raisonnable (effort proportionné) pour éviter des obligations illimitées en cas d’audit ou de demande inhabituelle.

Sécurité opérationnelle

Bonnes pratiques : MFA sur tous les comptes, gestion des accès par projet, mots de passe via gestionnaire, chiffrement disque, partage de secrets via outils dédiés, mises à jour automatiques, antivirus/EDR, pare-feu local, sauvegardes testées, journalisation des incidents.

À retenir La majorité des incidents côté freelance viennent du phishing et du réemploi de mots de passe. MFA + password manager couvrent 80 % du risque.

Cookies, analytics et marketing

Si vous avez un site perso, utilisez un outil analytics sans cookies ou avec consentement (CMP conforme). Pour l’emailing, traitez les données minimales, ajoutez un lien de désabonnement clair, séparez prospects et clients. Pour la prospection B2B, respectez l’opt-out et la finalité compatible.

À retenir En choisissant un analytics sans cookie, vous simplifiez votre bandeau et réduisez les risques.

Transferts hors UE

Vérifiez où sont stockées les données (US, APAC ?). Utilisez des fournisseurs offrant des régions UE et, si transfert, appuyez-vous sur les clauses contractuelles types (SCC) et mesures supplémentaires (chiffrement). Documentez-le dans votre registre et DPA.

À retenir Pour limiter la complexité, privilégiez un stack full-UE quand c’est possible (hébergement, emails, analytics).

DPIA / quand consulter un DPO

Peu de freelances ont besoin d’une DPIA, sauf si traitement à risque élevé (profilage à grande échelle, données sensibles). Si vous opérez pour un client sur un projet risqué, c’est au client de piloter la DPIA ; vous apportez les garanties de sécurité. En cas de doute, demandez au client/DPO et documentez.

À retenir Formaliser les risques et mesures réduit les blocages juridiques côté client.

Violations et notifications

Process simple : détecter, journaliser (date, cause, données impactées, mesures prises), contenir, informer le client, évaluer le risque (notification CNIL sous 72h si nécessaire, information des personnes si risque élevé). Gardez un modèle d’email et un playbook incident.

À retenir La rapidité de réaction et la transparence sont clés pour limiter l’impact réputationnel.

Droits des personnes

Préparez un point de contact (email dédié) et une procédure pour accès, rectification, suppression, opposition, portabilité. Si vous êtes sous-traitant, vous relayez la demande au responsable (votre client). Conservez une trace des demandes et délais.

À retenir Un modèle de réponse réduit le temps passé et prouve votre diligence.

Durées de conservation

Newsletter/prospects : 3 ans après dernier contact. Clients : durée du contrat + prescriptions légales (compta 10 ans). Candidats : 2 ans. Logs de sécurité : selon besoin proportionné (ex. 6-12 mois). Documentez vos durées dans le registre.

À retenir Mettre une tâche récurrente de purge trimestrielle évite l’accumulation inutile.

Outils privacy-friendly

Analytics sans cookie (Matomo on-prem, Plausible), emailing EU, stockage chiffré, gestionnaire de mots de passe, partage de secrets (ex. Doppler/1Password shared vaults), sauvegardes chiffrées, VPN si réseau public. Préférez des régions UE et des fournisseurs avec DPA clair.

À retenir La cohérence du stack (tout en UE) simplifie vos réponses aux questionnaires clients.

Modèles prêts à copier (résumés)

Clause DPA sous-traitant : instructions écrites, confidentialité, sécurité, sous-traitants ultérieurs avec notification, assistance droits/violations, transferts SCC si hors UE, suppression/retour en fin de contrat.

Clause sécurité : MFA, chiffrement disque, accès limités par projet, sauvegardes, journalisation, notification incident < 24 h au client, effort raisonnable pour coopérer.

Note d’information prospects : finalité (info/news), base (consentement ou IL B2B), durée (3 ans), droits, contact, sous-traitants (emailing, hébergeur), absence de transferts hors UE ou mention SCC.

À retenir Gardez ces modèles dans votre kit d’onboarding client.

Cas pratiques (fictifs)

Freelance marketing : gère des audiences ads. Rôle sous-traitant. DPA client, liste outils (Meta/Google), CMP sur landing, suppression audiences à la fin, sécurité postes + MFA.

Freelance produit/tech : maintient une feature avec logs utilisateurs. DPA + clause de logs (pseudonymisation, rétention 90 j), pas d’export hors UE, sauvegardes chiffrées.

Freelance formation : newsletter + vente de cohortes. Responsable pour prospects/clients. Registre, note d’info, CMP, emailing EU, rétention 3 ans prospects, 10 ans facturation.

À retenir Segmenter vos usages (responsable vs sous-traitant) clarifie les obligations.

Scénarios chiffrés (fictifs)

Coût temps conformité : créer registre + modèles = ~4 h ; mise à jour trimestrielle 30 min. Valeur : répondre plus vite à un questionnaire client (économie 1-2 h à chaque RFP).

Violation mineure (email mal adressé à 20 contacts) : 2 h pour analyser, notifier client, consigner. Risque faible, pas de notification CNIL si pas de risque élevé.

Changement d’outil US : migration vers stack UE réduit le besoin SCC et le temps de revue légale (gain 1-2 jours de délai de signature côté client).

À retenir Le temps investi dans la doc réduit les cycles de vente et les frictions avec les acheteurs.

Erreurs fréquentes

Pas de registre, pas de DPA, MFA manquant, réemploi de mots de passe, analytics non conformes, absence de plan d’incident, pas de mention de durée de conservation, exporter des données clients sur postes perso sans chiffrement, ignorer les transferts hors UE.

À retenir MFA + registre + DPA + plan d’incident = socle minimal qui évite la majorité des reproches.

Checklists & plan 30-60-90

Checklist base RGPD freelance

• Registre simple (responsable vs sous-traitant).
• MFA + password manager + chiffrement disque.
• DPA modèles et liste de sous-traitants/outils.
• Note d’info newsletter/prospects ; CMP si cookies.
• Plan incident + modèle de notification.
• Durées de conservation documentées.

Plan 30-60-90

• J+30 : registre, DPA modèle, MFA partout, inventory outils.
• J+60 : CMP/analytics privacy, plan incident, modèles droits.
• J+90 : revue transferts hors UE, purge trimestrielle, audit accès.

Audit express 60 min

• Rôles clarifiés et consignés ?
• MFA actif + gestionnaire de mots de passe ?
• DPA signé pour chaque client ?
• Outils listés, transferts hors UE identifiés ?
• Plan incident écrit et testé ?

L’essentiel

• Clarifiez vos rôles (responsable vs sous-traitant) et documentez-les.
• MFA + password manager + chiffrement : socle indispensable.
• DPA avec vos clients, liste d’outils/sous-traitants à jour.
• Analytics/cookies privacy-friendly pour éviter les bannières lourdes.
• Plan incident 72h avec modèle d’email de notification.
• Purge trimestrielle et durées de conservation écrites.

FAQ — RGPD freelance 2026

Dois-je avoir un registre même en solo ?

Oui, un registre simplifié suffit. Il prouve votre diligence et aide face aux clients.

Suis-je responsable ou sous-traitant ?

Responsable pour vos leads/CRM/newsletters ; sous-traitant pour les données traitées pour le compte d’un client.

Un DPA est-il obligatoire ?

Oui dès que vous êtes sous-traitant de données perso. Il encadre instructions, sécurité, sous-traitants, transferts, fin de contrat.

Faut-il un CMP ?

Si vous déposez des cookies non essentiels (pub, analytics non exemptés). Sinon, choisissez un analytics sans cookies pour alléger.

Que faire en cas de fuite ?

Contenir, journaliser, informer le client, évaluer le risque, notifier CNIL si nécessaire en < 72h, et éventuellement les personnes concernées.

Conclusion

Le RGPD pour les freelances repose sur peu d’actions : clarifier vos rôles, tenir un registre, sécuriser vos accès, signer des DPA et préparer un plan d’incident. Ces réflexes protègent vos clients et accélèrent vos ventes.

Adoptez un stack cohérent (UE, privacy by design), mettez des alertes pour vos purges, et gardez vos modèles prêts. Pour aller plus loin dans votre mise en conformité, consultez notre checklist 2026 complète.

Chaque nouveau client est l’occasion d’améliorer votre kit conformité ; capitalisez et versionnez vos modèles.