RGPD auto-entrepreneur : registre, mentions et obligations réellement applicables

Sommaire

1. Pourquoi le RGPD s'applique à l'auto-entrepreneur

2. Données traitées par une micro-entreprise : cartographie type

3. Registre des traitements simplifié : contenu et tenue

4. Information des personnes et recueil du consentement

5. Sécurité, sous-traitants et notification des violations

6. Sanctions CNIL et contrôles applicables aux petites structures

FAQ

Pour aller plus loin

1. Pourquoi le RGPD s'applique à l'auto-entrepreneur

Beaucoup d'indépendants considèrent le règlement général sur la protection des données comme une contrainte réservée aux grandes structures. Le critère retenu par le texte n'est pourtant ni l'effectif, ni le chiffre d'affaires, mais le traitement de données personnelles. La CNIL rappelle que le RGPD s'applique à tout organisme traitant des données personnelles de résidents de l'Union européenne, quelle que soit sa taille. Un auto-entrepreneur y est donc soumis dès qu'il gère un fichier clients, une liste de prospects ou des coordonnées de fournisseurs. Une donnée personnelle est toute information permettant d'identifier une personne physique, directement ou indirectement : nom, adresse électronique, numéro de téléphone, identifiant technique. Cette définition large explique pourquoi presque toute activité commerciale déclenche l'application du texte. En pratique, les obligations RGPD auto-entrepreneur reprennent le même socle que celles d'une PME, mais leur mise en œuvre reste proportionnée au volume et à la sensibilité des données traitées.

Une activité indépendante qui collecte des données clients gagne à cadrer ses traitements dès le démarrage plutôt qu'à les régulariser sous contrainte.
Consulter la page protection des données

2. Données traitées par une micro-entreprise : cartographie type

Avant toute formalité, il faut savoir quelles données circulent réellement. Un indépendant traite rarement des données sensibles, mais il en collecte davantage qu'il ne le pense, car chaque outil utilisé ajoute un flux. La cartographie consiste à lister les activités, puis à identifier pour chacune les données et les personnes concernées.

Cette lecture par activité sert de base au registre. Elle met aussi en évidence les traitements confiés à des outils tiers, notamment les logiciels en mode SaaS, qui appellent un examen contractuel distinct.

3. Registre des traitements simplifié : contenu et tenue

L'article 30 du RGPD impose la tenue d'un registre des activités de traitement. L'obligation concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu'ils traitent des données personnelles. Les organismes de moins de 250 salariés bénéficient d'une dérogation, mais celle-ci tombe dès que le traitement n'est pas occasionnel, qu'il est susceptible de comporter un risque pour les droits et libertés des personnes, ou qu'il porte sur des catégories particulières de données. Or un fichier clients, une campagne de prospection ou la gestion de la paie sont récurrents par construction : la dérogation ne joue donc quasiment jamais.

La CNIL met à disposition un modèle de registre simplifié, au format ODS, destiné aux TPE et PME, qui satisfait au socle d'exigences de l'article 30. Le registre peut tenir en un tableau de quelques lignes, une par activité de traitement. Sa tenue suppose une mise à jour à chaque changement d'outil ou de finalité.

Un registre à jour constitue le premier élément de preuve exigible en cas de contrôle, avant toute discussion sur le fond.
Échanger avec un avocat en protection des données

4. Information des personnes et recueil du consentement

La collecte doit être transparente. Concrètement, la personne dont les données sont recueillies doit savoir qui les traite, pour quelle finalité, pendant combien de temps et comment exercer ses droits. Cette information figure habituellement dans une politique de confidentialité accessible depuis le site et rappelée sous les formulaires de contact. Les droits reconnus aux personnes structurent la relation :

• Accès : obtenir communication des données détenues.
• Rectification : faire corriger une information inexacte.
• Effacement : demander la suppression des données.
• Opposition : refuser un traitement, notamment la prospection.

Ces demandes doivent recevoir une réponse effective, ce qui suppose de savoir où les données sont stockées. Une cartographie incomplète transforme une demande simple en recherche coûteuse.

5. Sécurité, sous-traitants et notification des violations

La sécurisation des données relève de mesures proportionnées : comptes nominatifs, mots de passe robustes, sauvegardes, chiffrement des supports mobiles, limitation des accès aux seules personnes utiles. Le recours à un prestataire ne transfère pas la responsabilité : l'indépendant reste comptable des traitements qu'il confie à un tiers, ce qui justifie d'examiner les engagements de protection des données figurant dans les contrats d'hébergement ou de logiciel.

Lorsqu'un incident expose des données, la règle est précise : toute violation de données personnelles doit être notifiée à la CNIL dans un délai de 72 heures. Ce délai court impose de savoir à l'avance qui constate l'incident, qui le qualifie et qui déclare.

Les clauses de protection des données d'un contrat d'infogérance ou d'hébergement déterminent la charge réelle en cas d'incident.
Voir l'accompagnement protection des données

6. Sanctions CNIL et contrôles applicables aux petites structures

La CNIL dispose de pouvoirs de contrôle et peut prononcer des mises en demeure ainsi que des sanctions administratives. Une petite structure n'échappe pas à ce cadre, d'autant que les contrôles sont fréquemment déclenchés par une plainte : un prospect démarché sans base légale, un client dont la demande d'effacement reste sans réponse. Le respect des obligations RGPD auto-entrepreneur repose alors sur des éléments démontrables, à savoir le registre, les mentions d'information et la traçabilité des demandes reçues. La documentation joue donc un double rôle : elle organise l'activité et elle constitue la preuve de la conformité.

FAQ

Un auto-entrepreneur sans salarié est-il vraiment soumis au RGPD ?

Oui. Le RGPD s'applique à tout organisme qui traite des données personnelles de résidents de l'Union européenne, quelle que soit sa taille. L'absence de salarié ne change rien dès lors que des données de clients, de prospects ou de fournisseurs sont traitées.

Le registre des traitements est-il obligatoire pour une micro-entreprise ?

L'article 30 du RGPD vise tous les organismes traitant des données personnelles. La dérogation prévue pour les structures de moins de 250 salariés cesse de s'appliquer dès que le traitement n'est pas occasionnel, ce qui est le cas d'un fichier clients ou d'une activité de prospection.

À quoi ressemble un registre simplifié ?

La CNIL propose un modèle au format ODS pour les TPE et PME. Il prend la forme d'un tableau de quelques lignes, une par activité, indiquant la finalité, les données collectées, la durée de conservation, les sous-traitants et les mesures de sécurité.

Que faire en cas de perte ou de vol de données clients ?

Une violation de données personnelles doit être notifiée à la CNIL dans un délai de 72 heures. Il faut donc qualifier l'incident rapidement, identifier les données concernées et documenter les mesures prises pour limiter ses effets.

Quels droits les clients peuvent-ils exercer ?

Les personnes disposent de droits d'accès, de rectification, d'effacement et d'opposition. La collecte doit rester transparente et sécurisée, ce qui suppose de pouvoir retrouver les données concernées et de répondre aux demandes reçues.

Pour aller plus loin

Le registre des activités de traitement - CNIL

Appliquer le RGPD dans une TPE ou PME : les questions/réponses de la CNIL - CNIL

La CNIL publie un nouveau modèle de registre simplifié - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.