RGPD et freelance : organiser la protection des données clients

Un client vous envoie un fichier de contacts pour une mission. Avant de le copier dans vos outils ou de le partager, précisez ce que vous êtes autorisé à en faire, qui y aura accès et ce qui devra être restitué ou supprimé à la fin du travail.

Ce guide s’appuie sur la CNIL et le texte du RGPD qu’elle publie. Il aide à organiser ces questions, sans remplacer une analyse juridique de vos traitements. Un abonnement de sécurité ne prouve pas la conformité au règlement.

Clarifier votre rôle avec le client

Le RGPD distingue les obligations du responsable de traitement et du sous-traitant. Lorsque vous traitez des données pour le compte d’un client responsable du traitement, l’article 28 prévoit notamment un contrat ou un autre acte juridique, des instructions documentées et des engagements de confidentialité.[12]

Avant de recevoir une base client, faites préciser :

• Les données nécessaires à la mission et les actions autorisées.
• Les outils utilisés et les personnes qui pourront accéder aux données.
• Les modalités de restitution ou de suppression.

Si vous faites intervenir un autre sous-traitant, une autorisation écrite préalable du responsable de traitement est nécessaire ; elle peut être spécifique ou générale.[12] Ne déduisez pas vos droits du seul fait que vous possédez une copie du fichier.

Savoir ce que vous conservez et pourquoi

Pour chaque activité, consignez sa finalité, les catégories de données, les personnes qui y accèdent, les prestataires, la conservation prévue et les mesures de sécurité. L’article 30 définit le contenu des registres.[12]

L’exception concernant les organismes de moins de 250 personnes est soumise à des conditions, notamment sur le caractère occasionnel et les risques du traitement.[12] Le statut d’indépendant ne suffit donc pas à rendre toute documentation facultative.

Avant de garder un export « au cas où », justifiez son utilité et sa durée. La minimisation, la limitation de l’accessibilité et de la conservation font partie de la protection par défaut prévue à l’article 25.[12] Il n’existe pas de durée universelle donnée par ce guide : examinez les obligations applicables aux données et au contexte.

Vérifier les accès et la récupération des données

L’article 32 demande des mesures techniques et organisationnelles adaptées au risque. Il mentionne notamment le chiffrement, la confidentialité, la capacité à rétablir l’accès aux données et l’évaluation régulière de l’efficacité des mesures.[12]

Commencez par examiner les droits d’accès, les partages devenus inutiles, les copies de sauvegarde et les procédures de récupération. Les sections « Accès partagés » et « Sauvegardes et restauration » du guide de sécurité en télétravail vous aident à préparer ces vérifications.

Un VPN ne remplace pas cette organisation. HTTPS protège le contenu des communications web en transit ; il ne définit ni la durée de conservation ni les droits d’accès aux fichiers.[1]

En cas de violation : quatre obligations à distinguer

Les obligations dépendent de votre rôle et du risque pour les personnes :

• Le responsable de traitement documente toute violation de données personnelles, ses effets et les mesures prises.[12]
• Il notifie l’autorité compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Un retard doit être motivé.[12]
• Il informe les personnes en cas de risque élevé, dans les meilleurs délais, sous réserve des exceptions de l’article 34. Le risque élevé n’est pas le seuil général de notification à la CNIL.[12]
• Si vous êtes sous-traitant, vous avertissez le responsable de traitement dans les meilleurs délais après connaissance de la violation. Les 72 heures ne sont pas un délai d’attente à votre disposition.[12]

La CNIL permet une notification initiale complétée ensuite si les investigations continuent.[11] Son téléservice sert aux responsables de traitement qui notifient une violation, pas aux particuliers qui souhaitent déposer plainte.[11]

Si l’incident est en cours, suivez aussi les premiers gestes après une cyberattaque, en tenant compte du type d’incident.

Ce que vous pouvez faire pour votre prochaine mission

Prenez une mission et mettez à plat les données nécessaires, les accès, les outils et la fin de conservation prévue. Faites confirmer les points ambigus par le client avant de recevoir ou de déplacer les fichiers.

Demandez un avis compétent si les rôles restent flous, si vous traitez des données sensibles ou si un transfert international est envisagé. CyberFacile n’a audité aucun contrat SaaS, validé aucune base légale pour votre activité ni certifié d’outil conforme.

Documents consultés le 15 septembre 2026. Vérifiez les textes et recommandations applicables à votre situation.

Sources

[1] https://developer.mozilla.org/en-US/docs/Glossary/HTTPS — HTTPS — MDN [11] https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles — CNIL — notifier une violation [12] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4 — CNIL — RGPD chapitre IV