RGPD et freelance : 5 erreurs à ne pas faire avec les données de vos clients

Pourquoi le RGPD concerne aussi les freelances

Le RGPD s'applique à toute personne physique ou morale qui traite des données personnelles de résidents européens - sans seuil de taille ni de chiffre d'affaires. En tant que freelance, vous traitez des données personnelles dès que vous :

• Enregistrez le nom, l'email ou le téléphone d'un contact client
• Stockez des documents contenant des informations sur des tiers (devis, contrats, projets)
• Utilisez un outil SaaS pour gérer vos projets ou votre facturation
• Envoyez des emails via un prestataire tiers (Mailchimp, Sendinblue…)

Autrement dit : si vous avez un seul client, vous êtes concerné. Voici les 5 erreurs les plus fréquentes.

Erreur #1 : des outils qui stockent vos données hors Europe

Notion, ClickUp, Monday.com, Trello, Slack, Google Drive : ces outils sont tous hébergés aux États-Unis, soumis au Cloud Act américain. Cette loi autorise les autorités américaines à accéder aux données hébergées par des entreprises américaines, y compris sur des serveurs européens.

Concrètement, si vous stockez des données clients (nom, email, brief, contrat) dans ces outils, vous les transférez hors de l'UE sans base légale suffisante. Si votre client est une PME soumise au RGPD, il peut vous demander des garanties - et le fait que vous utilisez Notion sans Data Processing Agreement est un manquement.

Solution : privilégiez des outils hébergés en Europe (ou signez un DPA explicite avec les prestataires américains que vous utilisez) et stockez les données sensibles sur des solutions à hébergement français ou européen certifié.

Erreur #2 : partager vos outils internes avec vos clients

Donner à un client accès à votre Notion, votre ClickUp ou votre espace Google Drive est une pratique répandue - et risquée. Même avec des permissions restreintes, un client peut tomber sur les noms d'autres clients, des devis, des notes internes ou des données financières que vous n'aviez pas l'intention de partager.

Le RGPD exige que vous limitiez l'accès aux données au strict nécessaire (principe de minimisation). Donner un accès large à votre espace de travail interne va à l'encontre de ce principe.

Solution : créez un espace dédié pour chaque client, distinct de vos outils internes. Un portail client séparé, accessible uniquement pour les données qui le concernent, est la bonne pratique.

Erreur #3 : pas de politique de confidentialité

Le RGPD impose d'informer les personnes dont vous collectez des données de : qui vous êtes, quelles données vous collectez, pourquoi, combien de temps vous les conservez, et quels sont leurs droits.

Si vous avez un site web, cette information doit figurer dans une politique de confidentialité accessible. Si vous collectez des données via un formulaire (brief client, formulaire d'onboarding, formulaire de contact), vous devez mentionner ces informations au moment de la collecte.

Solution : rédigez une politique de confidentialité simple et publiez-la sur votre site. Des générateurs gratuits existent (CookieYes, Iubenda), mais personnalisez le résultat en fonction de vos pratiques réelles.

Erreur #4 : conserver les données indéfiniment

Le RGPD interdit de conserver des données personnelles au-delà de la durée nécessaire à leur finalité. En pratique : vous ne pouvez pas garder le brief d'un client de 2019 indéfiniment "au cas où". Une fois la mission terminée, vous devez définir une durée de conservation et la respecter.

Règles pratiques : documents comptables et contrats = 10 ans (obligation légale). Données de communication (emails, briefs) = 3 ans après la fin de la relation commerciale. Données de prospection = 3 ans après le dernier contact.

Erreur #5 : oublier de déclarer vos sous-traitants

Chaque outil SaaS que vous utilisez et qui traite des données de vos clients est un sous-traitant au sens du RGPD. Vous devez les identifier et les mentionner dans votre registre des traitements - ou au minimum dans votre politique de confidentialité.

Exemples courants non déclarés : Stripe (paiements), Mailchimp ou Brevo (emails), Calendly (rendez-vous), Notion (gestion de projet), Google Workspace (fichiers). Chacun de ces outils traite des données de vos clients en votre nom - vous en êtes responsable vis-à-vis de la CNIL.

Quiz : êtes-vous conforme ?

Testez votre niveau de conformité RGPD actuel en répondant à ces 5 questions concrètes basées sur vos pratiques quotidiennes.

Ce quiz est indicatif. Pour une analyse complète, consultez les ressources de la CNIL ou un avocat spécialisé.