<p>Bien gérer les données personnelles est à la fois une obligation légale (RGPD) et un facteur de confiance pour les clients. Quelques bonnes pratiques simples permettent de structurer la conformité et de limiter les risques : minimiser la collecte, sécuriser le stockage, faciliter l'exercice des droits, former les équipes. Approche pragmatique pour PME.</p><h2>Minimisation</h2><p>Principe RGPD (article 5) : ne collecter que les données strictement nécessaires à la finalité. Sur un formulaire de contact : nom et email suffisent souvent (pas besoin de date de naissance, adresse postale). Sur un formulaire de newsletter : email seul. Pour une vente en ligne : informations de livraison oui, mais pas profession ni revenus. Revoir les formulaires existants pour supprimer les champs inutiles.</p><h2>Information transparente</h2><p>Article 13 du RGPD : informer la personne au moment de la collecte. Mentions claires : identité du responsable, finalités, base légale, destinataires, durée de conservation, droits de la personne (accès, rectification, etc.), coordonnées du DPO si désigné, droit de réclamation CNIL. Politique de confidentialité accessible (lien dans le pied de page, bandeau). Langage clair et non juridique.</p><h2>Sécurité</h2><p>Chiffrement des données en transit (HTTPS, TLS) et au repos (disques chiffrés). Mots de passe forts (12+ caractères, MFA pour accès sensibles). Gestion des accès par profil (principe du moindre privilège). Sauvegardes régulières testées (3-2-1 : 3 copies, 2 supports différents, 1 hors site). Mise à jour des systèmes et logiciels. Antivirus. Pare-feu. Journalisation des accès. Tests d'intrusion réguliers (1 fois/an minimum).</p><h2>Droits des personnes</h2><p>Mettre en place un point de contact clair (DPO, formulaire en ligne, adresse dédiée). Procédure interne pour traiter les demandes : tri, identification du demandeur, recherche dans les bases, réponse dans le mois. Outils de portabilité des données (export CSV, JSON). Désinscription facile pour les newsletters et prospection. Documentation des demandes traitées pour preuve de conformité.</p><h2>Formation équipes</h2><p>Sensibilisation annuelle de tous les collaborateurs : objectifs du RGPD, données concernées, gestes à éviter (envoi par email non sécurisé, photos d'écrans avec données, partage de mots de passe). Formation spécifique pour équipes traitant les données (RH, commercial, marketing, IT). Procédures écrites : que faire en cas de demande d'accès, de violation de données, de courriel suspect. Budget formation : 500-3 000 €/an selon effectif.</p>