Micro-entrepreneur et RGPD : Le guide

Vous êtes auto-entrepreneur et vous collectez quotidiennement des informations personnelles sur vos prospects ou vos clients dans le cadre de votre activité ?

L’utilisation de ces données personnelles reste strictement encadrée par le règlement général de protection des données (RGPD) depuis son entrée en application en 2018.

La CNIL accompagne toutes les structures, y compris les auto-entreprises, en vue d’assurer leurs conformités au règlement à travers quelques démarches à entreprendre. Cette autorité a également un rôle répressif en cas de non-respect du texte européen.

Le fonctionnement du RGPD pour les auto-entrepreneurs

En quoi consiste le RGPD ?

Le RGPD est un texte réglementaire européen qui encadre le traitement des données personnelles.

Une donnée est considérée comme personnelle dès lors qu’elle permet d’identifier directement (exemple : nom, prénom) ou indirectement (exemple : numéro de téléphone, numéro de plaque d’immatriculation ou numéro de sécurité sociale) une personne physique.

On parle de traitement de données personnelles lorsqu’une opération ou une série d’opérations porte sur des données personnelles. Voici quelques exemples :

• Collecte ;
• Enregistrement ;
• Organisation ;
• Conservation ;
• Adaptation ;
• Modification ;
• Extraction ;
• Consultation ;
• Utilisation.

En tant qu’auto-entrepreneur, vous êtes directement impacté par les trois objectifs du RGPD :

• Renforcer le droit des personnes (vos clients ont désormais les moyens de maîtriser leurs données personnelles) ;
• Responsabiliser les acteurs traitant des données (vous êtes cet acteur qui se doit d’être irréprochable en matière de collecte et d’utilisation des données personnelles) ;
• Adopter un cadre harmonisé (la mise en place du RGPD a permis de créer un cadre juridique commun et d’harmoniser les pratiques à l’échelle de l’UE).

Quels sont les micro-entrepreneurs concernés par ce règlement ?

Le RGPD s’adresse à toute structure publique ou privée qui traite des données personnelles, et ce, quelque soit le secteur d’activité ou la taille de la structure.

En revanche, le règlement s’applique uniquement aux structures établies sur le territoire de l’UE, ainsi que toutes celles implantées hors de l’UE mais dont l’activité cible directement les résidents européens.

Par exemple, vous êtes un auto-entrepreneur suisse et vous proposez un service de livraison en France via votre site avec un paiement en euros. Dans ce cas, vous devrez vous conformer aux règles RGPD qui protègent vos clients européens.

Comment se mettre en conformité avec le RGPD en auto-entreprise ?

La Commission Nationale de l’Informatique et des Libertés (CNIL) est un organisme public chargé de veiller au respect du RGPD par les structures privées et publiques. Elle explique pas à pas les démarches à faire pour se mettre en règle avec le règlement, et prévoit des sanctions en cas de non-conformité.

Les démarches

En tant qu’auto-entrepreneur, vous devez impérativement respecter les six grands principes du RGPD lorsque vous traitez des données personnelles, tout en menant des actions concrètes dans le cadre de votre activité :

• Vous ne devez collecter que les données qui vous sont strictement nécessaires. Pour y procéder, vous pouvez commencer par constituer un registre de traitement de données. Cela vous permet d’avoir une vision globale des données que vous traitez. Un modèle de registre est disponible sur le site de la CNIL pour vous aider.
• Soyez transparents en précisant la raison du traitement des données personnelles au moment de la collecte d’information.
• Organisez et facilitez l’exercice des droits de vos clients sur leurs données personnelles. Par exemple, si vous disposez d’un site web, vous pouvez mettre à disposition de vos clients ou prospects, un formulaire de contact spécifique ou une adresse de messagerie dédiée.
• Fixez des durées de conservation. En créant une fiche dans votre registre pour chaque activité recensée, vous indiquerez cet élément parmi d’autres tels que l’objectif poursuivi, les catégories de données utilisées, ainsi que les personnes qui ont accès aux données.
• Sécurisez les données collectées en prenant toutes les mesures utiles (exemples : sécurité informatique, protection des comptes utilisateurs par des mots de passe complexes, protection des locaux, des armoires et postes de travail).
• Veillez quotidiennement à appliquer ces principes pour maintenir votre mise en conformité avec les règles de protection des données. En pratique, vous devrez prendre le réflexe de mettre à jour vos antivirus et logiciels, prévoir des procédure de sauvegarde et de récupération des données en cas d’incident.

Les sanctions en cas de non conformité

En 2022, les procédures de sanction ont été modifiées par la CNIL. Désormais, pour les dossiers à faible gravité, une procédure de sanction simplifiée est mise en place.

Dans le cadre de cette procédure, les sanctions prononcées peuvent être :

• Un rappel à l’ordre ;
• Le paiement d’une amende de 20 000 € maximum ;
• Une injonction avec astreinte plafonnée à 100€ par jour de retard. Dans ce cas, vous aurez donc pour ordre de vous mettre en règle avec le RGPD, au risque de payer 100 € par jour de retard en cas de non-conformité.

Pour les dossiers plus complexes où les grandes entreprises sont pointées du doigt publiquement par la CNIL, c’est la procédure de sanction ordinaire qui s’applique. Ces structures peuvent subir des sanctions pécuniaires pouvant atteindre 20 millions d’euros, en plus d’autres sanctions (obligation de suspendre les flux de données, satisfaire aux droits des personnes etc.)