Embaucher un freelance sous le RGPD

Comment embaucher un freelance dans le cadre du RGPD : guide étape par étape

Recruter un freelance est généralement rapide. Le RGPD, non.

Si votre projet implique des noms, des adresses e-mail, des factures, des pièces d’identité, des accès de connexion ou des coordonnées de paiement, vous traitez déjà des données personnelles. Cela signifie qu’il vous faut une méthode, pas une intuition. La bonne nouvelle, c’est que cette méthode peut rester simple, même pour une petite équipe qui engage un designer, un développeur ou un traducteur pour une mission de deux semaines.

Ce guide sur l’embauche d’un freelance dans le cadre du RGPD passe en revue les points qui comptent dans les projets réels, pas en théorie. Une intégration plus propre aujourd’hui peut éviter bien des problèmes plus tard, surtout quand un client, un freelance et un sous-traitant travaillent tous dans le même dossier.

1. Comprendre quand le RGPD s’applique au recrutement d’un freelance

Le RGPD s’applique lorsque des données personnelles sont collectées, stockées, partagées ou traitées dans le contexte de l’UE. Un projet freelance déclenche facilement cela. Un simple e-mail de proposition contient déjà un nom et des coordonnées. Un contrat signé ajoute d’autres informations. Un virement bancaire ajoute des données de paiement. Trois documents, un enjeu juridique.

Si le freelance travaille sur les données de vos clients, des listes de clients ou des fichiers internes, le risque augmente. Même une petite mission marketing peut impliquer des noms de clients et des historiques de campagnes. Une activité d’une seule personne reste une activité, et la loi n’attend pas un certain effectif.

Posez une question simple avant de recruter : le freelance verra-t-il, détiendra-t-il ou déplacera-t-il des données personnelles ? Si la réponse est oui, traitez cette collaboration comme une relation concernée par le RGPD. C’est à ce moment-là qu’une simple chaîne d’e-mails ne suffit plus.

Certaines équipes passent à côté, parce que la tâche semble inoffensive. Un brief de logo paraît anodin. Une mission test payée aussi. Puis le freelance a besoin d’accéder à un fichier de contacts contenant 120 personnes, et les règles changent vite.

2. Identifier les données personnelles que vous allez traiter

Faites la liste de chaque élément de données susceptible de circuler dans le projet. Commencez par les coordonnées : nom, adresse e-mail professionnelle, numéro de téléphone, fonction. Puis passez aux contrats, factures, informations fiscales, références de paiement, documents d’identité et identifiants de compte. Chaque élément a une utilité. Chaque élément comporte aussi un risque.

Les factures sont courantes. Les contrats aussi. Les documents d’identité sont plus sensibles. Si vous demandez une copie de passeport simplement parce que « l’équipe finance aime ça », faites une pause. Demandez-vous si ce document est réellement nécessaire pour la mission, le mode de paiement ou une vérification légale. Souvent, ce n’est pas le cas.

Les données liées au freelance peuvent aussi inclure des exemples de travail, des liens de profil, des adresses IP issues d’outils de projet et des messages dans des applications de chat. Un chef de projet pense souvent au contrat, mais la réalité des données est plus large. Une seule conversation Slack peut contenir cinq informations personnelles sans que personne ne s’en rende compte.

Pour une vue pratique des éléments côté plateforme, consultez tous les tags sur la place de marché freelance. Cela peut vous aider à penser en catégories plutôt qu’en vague « données de projet ».

Notez les types de données dans une courte liste. Cinq lignes suffisent pour beaucoup de missions. Si vous ne pouvez pas lister les données, vous ne pouvez pas les protéger. Et si vous documentez vos données personnelles freelance RGPD, vous serez aussi mieux préparé à justifier vos choix en cas de contrôle.

3. Choisir le bon rôle RGPD pour votre relation

Le premier rôle à vérifier est celui de responsable de traitement. Si votre entreprise décide pourquoi et comment les données personnelles du freelance sont utilisées, vous êtes probablement responsable de traitement. C’est fréquent lorsque vous recrutez un freelance via vos propres processus d’achats ou RH.

Le rôle de sous-traitant apparaît lorsque le freelance traite des données personnelles sur vos instructions. Un administrateur de site web qui gère des dossiers clients pour votre entreprise peut correspondre à ce schéma. Dans ce cas, le contrat demande une attention particulière, car le freelance n’est pas seulement un prestataire ; il traite des données pour votre compte.

Les situations de co-responsabilité apparaissent lorsque les deux parties décident ensemble de la finalité et des moyens. C’est moins courant, mais cela peut se produire dans des campagnes co-marquées, des recherches partagées ou un projet de partenariat avec des bases de données communes. Deux parties, un ensemble de décisions, plus de paperasse.

N’improvisez pas. Cartographiez la prise de décision. Qui choisit les outils ? Qui décide de la durée de conservation ? Qui indique au freelance quelles personnes consulter ? Les réponses permettent de déterminer le rôle. Si les réponses sont partagées, le rôle peut l’être aussi.

Un test simple aide à trancher : si le freelance peut choisir la tâche mais pas la finalité, votre entreprise est généralement aux commandes. Si les deux parties décident de la finalité, le contrat doit l’indiquer clairement. L’ambiguïté crée des complications plus tard, et les complications créent des retards.

Si vous voulez une liste de vérification plus large pour le recrutement, comment recruter un freelance en toute sécurité est un bon complément. Le RGPD n’est qu’une partie de la sécurité, mais c’est celle qui coûte cher lorsqu’on l’ignore.

4. Mettre en place les bonnes clauses contractuelles

Un contrat freelance doit faire plus que définir le prix et l’échéance. Il doit aussi préciser les obligations liées aux données. Ajoutez des clauses de confidentialité, des obligations de sécurité, des limites d’usage des données, des obligations de restitution et des obligations d’effacement. Si la mission implique des données personnelles, le contrat doit dire ce qu’il advient de ces données du début à la fin, afin que chaque contrat freelance conformité RGPD soit clair dès le départ.

La confidentialité n’est pas la même chose que la protection des données, mais les deux comptent. Un freelance qui promet de ne pas partager les dossiers clients avec ses amis a quand même besoin d’instructions sur le stockage, l’accès et la suppression. Une promesse est sociale. L’autre est opérationnelle.

Incluez une clause précisant que le freelance ne peut utiliser les données personnelles que pour le projet. Ajoutez une clause de signalement d’incident. Si un ordinateur portable est perdu ou qu’un compte est compromis, le freelance doit vous prévenir rapidement.

La restitution et la suppression des données doivent être précises. Indiquez ce qui doit être restitué, sous quel format et dans quel délai. Puis indiquez ce qui doit être supprimé. Une promesse vague du type « nous supprimerons tout » sonne bien, mais ne résiste pas à l’épreuve des faits.

Pour les sites avec des règles publiques et des attentes d’intégration, la page règles du site 24freelance.pro. freelance rappelle utilement que les conditions écrites comptent. La même logique s’applique à vos propres contrats.

Conservez les signatures, les versions et les dates. Un contrat sans numéro de version peut vite tourner au casse-tête après une révision. C’est un petit détail administratif, avec de grandes conséquences.

5. Ne collecter et ne partager que le strict nécessaire

La minimisation des données est simple à dire et facile à négliger. Ne partagez que ce dont le freelance a besoin pour accomplir sa mission. Si un designer a besoin d’un brief de logo, il n’a pas besoin des fichiers de paie. Si un traducteur a besoin du texte source, il n’a pas besoin de l’export complet de votre CRM. Une tâche, un jeu de données.

Demandez-vous si chaque élément est nécessaire avant de l’envoyer. Ne collectez pas un document d’identité si un numéro d’immatriculation d’entreprise suffit. Ne partagez pas une base client complète quand un échantillon de 20 enregistrements suffirait pour un test. Les petites réductions comptent.

Limiter les accès fait partie de la même logique. Donnez au freelance uniquement l’accès aux dossiers, tickets ou systèmes dont il a besoin. Retirez cet accès à la fin de la mission. Cela paraît basique parce que c’est basique.

Partagez la plus petite quantité de données sensibles possible. Si le freelance n’a besoin que des noms de famille, n’envoyez pas aussi les prénoms. S’il a seulement besoin de références de carte masquées, n’envoyez pas l’historique complet des paiements. Les détails se dispersent vite une fois qu’ils quittent votre boîte de réception.

Certaines équipes surcollectent par peur d’oublier quelque chose plus tard. C’est souvent cela qui crée le problème plus tard. Un dossier léger est plus simple à expliquer, plus simple à protéger et plus simple à supprimer.

6. Mettre en place des pratiques de travail et de communication sécurisées

La communication sécurisée n’a pas besoin de dix outils. Elle a besoin d’habitudes claires. Utilisez si possible l’e-mail professionnel pour les messages liés au projet. Évitez d’envoyer des pièces jointes sensibles via des comptes personnels choisis au hasard. Si le fichier est important, le canal l’est aussi.

Pour le partage de fichiers, utilisez des liens contrôlés avec date d’expiration si votre système le permet. Protégez les archives sensibles par mot de passe lorsque c’est nécessaire, et transmettez le mot de passe par un canal séparé. Cette petite séparation réduit le risque. Elle empêche aussi qu’un e-mail transféré devienne un transfert complet de données.

La protection des appareils compte si le freelance travaille sur des données clients ou des fichiers internes. Demandez un verrouillage de l’écran, des logiciels à jour et une protection anti-malware de base. Si le projet est à haut risque, exigez un travail uniquement depuis un appareil sécurisé. Un ordinateur portable perdu peut toucher de nombreuses personnes.

Attention au Wi-Fi public, aux ordinateurs partagés et aux espaces de travail ouverts. Un freelance peut très bien travailler depuis un café. En revanche, une session de connexion laissée ouverte sur une machine partagée peut exposer un projet en quelques minutes. Ce n’est pas spectaculaire. C’est courant.

Si le projet implique des systèmes cloud, comparez votre configuration d’accès avec les bases couvertes dans la technologie du cloud computing. Les permissions d’accès, la propriété des comptes et l’emplacement de stockage influencent tous le traitement RGPD.

N’envoyez pas de données sensibles dans de longues conversations de chat si un portail sécurisé est disponible. Le chat convient aux rappels. Le chat est faible pour les archives. Conservez l’enregistrement là où vous pourrez le retrouver ensuite, et gardez le risque là où vous pouvez le contrôler.

7. Gérer correctement le stockage, la conservation et la suppression

La conservation est l’endroit où beaucoup de projets freelance dérapent. Quelqu’un garde le contrat « au cas où ». Quelqu’un d’autre conserve la facture pour toujours. Quelqu’un copie les fichiers dans trois dossiers et oublie le plus ancien. Ce n’est pas une stratégie.

Définissez des durées de conservation pour chaque type de document. Les contrats peuvent devoir être conservés plus longtemps que les fichiers de travail. Les factures peuvent devoir être gardées pour des raisons fiscales ou comptables. Les brouillons, exports temporaires et fichiers de test n’ont généralement aucune raison de rester après la fin du projet.

Archivez ce dont vous avez besoin et supprimez le reste. L’archivage permet de conserver les documents juridiques et comptables sans laisser circuler des données de projet actives. La suppression doit être réelle, pas « je crois l’avoir retiré de mon bureau ». Vérifiez autant que possible les dossiers cloud, les appareils synchronisés, les sauvegardes et les copies locales.

Demandez au freelance de confirmer la suppression à la fin de la mission. Mettez cette confirmation par écrit. S’il a utilisé des sous-traitants ou des outils partagés, l’étape de suppression doit aussi couvrir ces chemins. Une seule copie oubliée peut ruiner tout le nettoyage.

Si vous gérez en interne les retours sur les freelances, la même discipline s’applique à l’archivage. Vous pouvez en savoir plus sur les avis sur les freelances dans une logique de gestion documentaire plus large. Les notes doivent être utiles, courtes et conservées seulement aussi longtemps qu’elles servent un objectif clair.

Ne conservez jamais des données de projet par accident. L’accident n’est pas une raison juridique. C’est seulement un problème de nettoyage en attente d’une échéance.

8. Créer une checklist RGPD simple pour les futurs recrutements de freelances

Une checklist transforme un bon processus en dix processus reproductibles. Commencez par l’intégration : ce freelance a-t-il besoin de données personnelles, oui ou non ? Vérifiez ensuite le rôle, le contrat, le jeu de données minimal, la méthode d’accès et le plan de suppression. Six étapes suffisent pour la plupart des petits projets.

Gardez la checklist suffisamment courte pour qu’on l’utilise vraiment. Un formulaire de deux pages peut fonctionner. Une politique de 20 pages, en général, non. Le but n’est pas la paperasse pour elle-même. Le but est de faire moins d’erreurs.

Utilisez la même checklist pour les designers, les développeurs, les rédacteurs et les assistants, puis ajoutez un ou deux contrôles spécifiques au rôle. Un développeur peut avoir besoin d’un accès au dépôt. Un rédacteur peut avoir besoin d’entretiens sources. Un comptable peut avoir besoin de factures et d’historiques de paiement. Métiers différents, mêmes questions de base.

Conservez la checklist avec le contrat et le brief de projet. Ainsi, le responsable suivant peut voir ce qui a été approuvé, ce qui a été partagé et ce qui a été supprimé. L’absence de documentation crée du travail supplémentaire plus tard, surtout si un client demande pourquoi un document précis a été collecté au départ.

Si vous voulez construire un processus réplicable pour différents types de freelances, le freelance pour les designers est un bon exemple de la façon dont la préparation d’un projet change selon le rôle, alors que les bases du RGPD restent les mêmes.

Dernière habitude pratique : après chaque projet, revoyez la checklist avec une seule question, « Qu’avons-nous collecté dont nous n’avions pas besoin ? » Cette seule phrase détecte plus de problèmes qu’un dossier entier de brouillons de politique.