Guide · Le droit
Le RGPD pour un indépendant : plus court qu'on ne croit
Un carnet de rendez-vous avec des noms et des numéros est un fichier de données personnelles. La bonne nouvelle : les obligations qui vous concernent tiennent en cinq points.
Mis à jour le · écrit par ClientBase
La réponse courte
Dès que vous conservez des noms, téléphones, e-mails ou notes sur vos clientes, vous êtes responsable de traitement au sens du RGPD (règlement UE 2016/679). Cela vaut pour un carnet papier comme pour un logiciel.
Cinq obligations concrètes : ne collecter que l'utile, informer vos clientes, tenir un registre de vos traitements, sécuriser les données, et savoir répondre à une demande d'accès ou de suppression. Ce qui ne vous concerne probablement pas : la désignation d'un délégué à la protection des données, et toute déclaration préalable — celle-ci n'existe plus depuis 2018.
Les cinq obligations, concrètement
Ne collecter que ce qui sert
C'est le principe de minimisation (article 5 du RGPD). Un nom, un moyen de contact et l'historique des prestations se justifient. Une date de naissance complète, une adresse postale ou une profession, beaucoup moins — sauf si vous pouvez dire à quoi elles servent.
Informer vos clientes
Elles doivent savoir ce que vous conservez, pourquoi, combien de temps, et comment demander l'accès ou la suppression. Quelques lignes sur votre page de réservation suffisent : ce n'est pas un document juridique de dix pages.
Tenir un registre des traitements
Un tableau simple : quelles données, pour quoi faire, combien de temps, qui y a accès, où elles sont hébergées. L'article 30 du RGPD prévoit une dispense pour les petites structures, mais elle ne s'applique pas quand le traitement est régulier — ce qui est le cas d'un fichier clients. La CNIL propose un modèle simplifié gratuit.
Sécuriser
Un téléphone verrouillé, un mot de passe qui n'est pas celui de votre boîte mail, un ordinateur qui ne reste pas ouvert. Et une sauvegarde — voir sauvegarder son fichier clients.
Savoir répondre à une demande
Une cliente peut demander ce que vous avez sur elle (article 15), sa correction (article 16), sa suppression (article 17) ou une copie exploitable (article 20). Vous avez un délai pour répondre, et il faut pouvoir le faire — donc savoir où sont les données.
Ceci n'est pas un conseil juridique. ClientBase édite un logiciel de rendez-vous, pas un cabinet d'avocats. Les textes cités ici sont publics et vérifiables, mais votre situation peut appeler une réponse différente. Pour un cas précis, la source officielle est service-public.fr, et un professionnel du droit tranchera mieux que nous.
Le cas des données de santé
C'est le point qui concerne le plus directement les métiers du soin, et le plus souvent ignoré.
Une allergie, une grossesse, un traitement en cours, une pathologie de peau : ce sont des données de santé, que l'article 9 du RGPD range parmi les catégories particulières. Leur traitement est en principe interdit, sauf exception — dont le consentement explicite de la personne.
En pratique, pour un indépendant :
- Ne notez que ce qui est nécessaire à la prestation. « Allergie à tel composant » se justifie ; le détail d'un traitement médical, non.
- Dites pourquoi vous le notez. « Je le note pour ne pas vous le redemander et pour éviter une réaction » suffit à établir un consentement éclairé.
- Protégez-les davantage. Pas dans une conversation de messagerie ouverte sur un téléphone déverrouillé — c'est précisément l'une des limites de WhatsApp pour cet usage.
Les notes libres
Une fiche cliente comporte souvent un champ de notes. Écrivez-y ce que vous accepteriez que la personne lise : elle en a le droit, au titre de l'accès. Une appréciation désobligeante dans une fiche est un risque inutile, et un moment très désagréable le jour où elle est demandée.
Ce qui ne vous concerne pas
La déclaration à la CNIL
Supprimée depuis l'entrée en application du RGPD en 2018. Il n'y a plus de formalité préalable à accomplir pour un fichier clients ordinaire.
Le délégué à la protection des données
Obligatoire dans certains cas seulement — organismes publics, suivi systématique à grande échelle, traitement à grande échelle de données sensibles. Un indépendant avec un fichier de clientes n'est pas concerné.
L'analyse d'impact
Requise pour les traitements à risque élevé. Un agenda et des fiches clientes n'en relèvent pas.
Un document de cent pages
Une politique de confidentialité d'un indépendant tient en une page. Ce qui compte est qu'elle soit vraie et accessible, pas qu'elle soit longue.
Quand vous utilisez un logiciel
Si vos fiches sont dans un outil en ligne, vous restez responsable de traitement et l'éditeur devient sous-traitant. Cela crée des obligations pour lui, et trois questions à lui poser :
- Où sont hébergées les données ? Un hébergement dans l'Union européenne simplifie considérablement le sujet des transferts.
- Puis-je exporter mes données à tout moment ? L'article 28 du RGPD prévoit qu'un sous-traitant restitue ou supprime les données à la fin de la prestation. En pratique, la question à poser est plus directe : y a-t-il un bouton d'export, et dans quel format ?
- Que se passe-t-il si j'arrête ? Voir récupérer son fichier clients.
Pour ClientBase, les réponses sont publiques : hébergement européen, export CSV de vos données disponible depuis votre compte, et suppression sur demande. Le détail figure dans nos mentions légales.
Questions fréquentes
Un carnet papier est-il concerné par le RGPD ?
Oui. Le règlement s'applique aux traitements automatisés et aux fichiers structurés non automatisés — un carnet de rendez-vous organisé en fait partie. Les obligations de sécurité prennent alors une forme différente : un carnet se perd, se lit et ne se sauvegarde pas.
Combien de temps puis-je garder les données d'une cliente ?
Le temps nécessaire à la finalité, plus les durées légales de conservation applicables aux pièces comptables. En pratique, une cliente qui n'est pas revenue depuis plusieurs années n'a plus de raison de figurer dans un fichier actif. Fixez une durée, écrivez-la, et tenez-vous-y.
Dois-je demander un consentement pour tenir un fichier clients ?
Pas nécessairement : la gestion des rendez-vous et de la relation client repose généralement sur l'exécution du contrat ou l'intérêt légitime. Le consentement devient nécessaire pour la prospection commerciale et, de manière explicite, pour les données de santé.
Que risque-t-on vraiment ?
Les sanctions du RGPD sont surtout connues pour les grandes entreprises, mais l'obligation vaut pour tous. Le risque le plus concret pour un indépendant n'est pas l'amende : c'est la plainte d'une cliente, la perte du fichier faute de sauvegarde, ou l'impossibilité de répondre à une demande d'accès.
Sources et méthode. Textes cités : règlement (UE) 2016/679 (RGPD), articles 5 (minimisation), 9 (catégories particulières dont les données de santé), 15 à 20 (droits des personnes), 28 (sous-traitance) et 30 (registre des activités de traitement). La CNIL publie un modèle de registre simplifié pour les petites structures. Cette page est une explication, pas une consultation juridique. Nous sommes juge et partie — cette page est écrite par ClientBase, qui vend un outil de prise de rendez-vous. Nos propres chiffres sont vérifiables sur la page tarifs. Nous ne publions ni note moyenne, ni témoignage non vérifié, ni ancienneté : nous n'en avons pas. Une erreur ? noah@clientbase.fr · notre méthode.