- Le RGPD s'applique dès votre premier client : aucun seuil de taille ou de chiffre d'affaires n'exempte un auto-entrepreneur.
- La plupart de vos traitements sont invisibles : fichier clients Excel, factures par e-mail, Drive, formulaire de contact, statistiques.
- Quatre obligations couvrent l'essentiel : informer les personnes, tenir un registre simplifié, fixer des durées de conservation, sécuriser les données.
- Un site vitrine doit afficher des mentions légales, une politique de confidentialité et un bandeau cookies conforme.
- Les petites structures sont la cible principale des sanctions récentes de la CNIL, souvent via la procédure simplifiée plafonnée à 20 000 €.
« Le RGPD, ce n'est pas pour les auto-entrepreneurs » : l'idée fausse à corriger
Beaucoup de micro-entrepreneurs pensent que le RGPD ne vise que les grandes entreprises dotées d'un service juridique. C'est faux. Le règlement européen s'applique à toute personne qui traite des données personnelles dans un cadre professionnel, quelle que soit sa taille — du travailleur indépendant seul chez lui au groupe international.
Il n'existe aucun seuil de chiffre d'affaires, de nombre de clients ni de salariés en dessous duquel vous seriez dispensé. Le RGPD s'applique dès la première donnée collectée : le nom et l'e-mail de votre premier prospect suffisent à vous faire entrer dans son champ. Un « micro » chiffre d'affaires ne donne pas droit à une « micro » conformité.
La bonne nouvelle, c'est que les obligations sont proportionnées au risque. Pour un indépendant qui gère un fichier clients classique, la mise en conformité tient en quelques mesures de bon sens, détaillées ci-dessous et dans notre guide de la conformité RGPD d'un site web.
Ces traitements de données que vous faites sans le savoir
Un « traitement de données » n'a rien de technique : c'est toute opération portant sur une information qui identifie une personne (nom, e-mail, téléphone, adresse, adresse IP…). Vous en réalisez probablement plusieurs chaque jour sans jamais les qualifier ainsi.
Les plus courants chez un auto-entrepreneur : le fichier clients sous Excel ou Google Sheets, les devis et factures envoyés puis archivés par e-mail, les documents stockés sur un Drive, les fiches prospects dans un carnet ou un CRM, et la newsletter que vous adressez à vos contacts.
Votre site en ajoute d'autres, souvent invisibles : le formulaire de contact qui enregistre les messages reçus, les statistiques de fréquentation (Google Analytics, Matomo), ou encore les polices et cartes chargées depuis des serveurs tiers. Chacun de ces cas est un traitement soumis au RGPD, et donc à ses obligations.
Les 4 obligations minimales à mettre en place
Inutile de viser la perfection dès le premier jour : quatre obligations couvrent l'essentiel du risque pour un indépendant, et elles sont largement à votre portée.
Premièrement, informer les personnes : toute personne dont vous collectez les données doit savoir qui vous êtes, pourquoi vous les collectez, combien de temps vous les conservez et quels sont ses droits (accès, rectification, suppression). Deuxièmement, tenir un registre des traitements : même seul, la CNIL attend de vous un registre au moins simplifié. La dispense théorique des structures de moins de 250 salariés ne s'applique quasiment jamais, car un fichier clients constitue un traitement régulier ; notre modèle de registre des traitements à remplir vous fait gagner du temps.
Troisièmement, définir des durées de conservation : on ne garde pas les données « pour toujours ». La CNIL recommande par exemple de conserver les données de prospection 3 ans après le dernier contact, tandis que les factures se conservent 10 ans au titre des obligations comptables. Quatrièmement, sécuriser les données : mots de passe robustes, logiciels à jour, sauvegardes régulières et accès limité aux fichiers sensibles suffisent le plus souvent pour un indépendant.
Votre site vitrine : mentions légales, politique de confidentialité et cookies
Un site « vitrine » sans boutique en ligne n'échappe à rien. Trois éléments y sont attendus. Les mentions légales d'abord : votre nom, votre statut (la mention « entrepreneur individuel » ou « EI »), votre adresse, votre SIRET, un moyen de contact et les coordonnées de l'hébergeur. Notre générateur gratuit de mentions légales les produit en quelques minutes.
La politique de confidentialité ensuite, à ne pas confondre avec les mentions légales : elle explique quelles données vous collectez, dans quel but, pendant combien de temps et comment exercer ses droits. Vous pouvez la rédiger avec notre générateur de politique de confidentialité, puis l'adapter à votre activité.
Le bandeau cookies enfin. Dès que votre site dépose des traceurs non essentiels (mesure d'audience, publicité, vidéos ou cartes tierces), la CNIL exige un consentement préalable, avec un bouton « Tout refuser » aussi visible et accessible que « Tout accepter ». Un site strictement statique, sans aucun traceur tiers, peut s'en dispenser.
Ce que vous risquez concrètement en cas de contrôle
La CNIL peut être saisie par une plainte (un client mécontent, un concurrent) ou détecter elle-même les manquements : elle utilise désormais des outils automatisés pour repérer les sites non conformes, notamment sur les cookies. Un contrôle commence souvent par une mise en demeure, qui laisse un délai pour corriger avant toute sanction.
Les sanctions financières existent à deux niveaux. La procédure simplifiée, créée en 2022 et non publique, plafonne l'amende à 20 000 € (et l'astreinte à 100 €/jour) : c'est elle qui vise le plus souvent les petites structures. La procédure ordinaire peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial — un plafond théorique pour un indépendant, mais qui rappelle l'enjeu. Pour mesurer la tendance, consultez notre panorama des sanctions RGPD prononcées par la CNIL.
À cela s'ajoute un risque distinct : l'absence de mentions légales est punie par la loi (jusqu'à 75 000 € d'amende pour une personne physique au titre de la LCEN). Au-delà du chiffre, c'est surtout la confiance de vos clients et votre réputation qui sont en jeu.
Par où commencer : checklist et audit gratuit
Une mise en conformité de micro-entreprise se fait par étapes : recensez vos traitements (clients, prospects, site), rédigez votre registre simplifié, publiez vos mentions légales et votre politique de confidentialité, réglez le bandeau cookies, fixez vos durées de conservation, puis vérifiez vos mots de passe et vos sauvegardes.
Pour savoir où vous en êtes sans y consacrer un week-end, lancez notre audit RGPD gratuit de votre site : il analyse en quelques minutes vos cookies, vos traceurs et vos mentions obligatoires, puis vous remet un aperçu des points à corriger en priorité.
Enfin, une précision utile : cet article a une vocation informative et ne constitue pas un conseil juridique. Pour une situation particulière (données sensibles, gros volumes de données, recours à un sous-traitant), rapprochez-vous d'un professionnel ou de la CNIL.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.