<p>La mise en conformité RGPD est un projet structurant pour toute entreprise traitant des données personnelles. Démarche en 6 étapes : cartographie des traitements, registre, base légale, droits des personnes, sécurité, DPO si requis. Investissement initial (3 000-30 000 € selon taille) puis maintien continu. La conformité protège des sanctions et valorise l'image.</p><h2>Étape 1 - Cartographie</h2><p>Inventaire de tous les traitements de données personnelles dans l'entreprise : RH (paie, recrutement), commercial (CRM, prospection), marketing (newsletter, cookies, profilage), service client, comptabilité. Pour chaque traitement : finalité, données collectées, sources, destinataires, durée. Outils : tableurs ou logiciels spécialisés (Data Legal Drive, Witik, MyDataDay). 1-3 mois selon la taille.</p><h2>Étape 2 - Registre de traitement</h2><p>Article 30 du RGPD : tenue obligatoire d'un registre formalisant les traitements (sauf petites organisations < 250 salariés et traitements non risqués). Contenu : identité du responsable, finalités, catégories de données et personnes, destinataires, transferts hors UE, durées, mesures de sécurité. Modèle CNIL disponible. À tenir à jour en continu. Présentable en cas de contrôle CNIL.</p><h2>Étape 3 - Base légale et information</h2><p>Pour chaque traitement : identifier la base légale (consentement, contrat, intérêt légitime, obligation légale). Mettre à jour les notices d'information : politique de confidentialité, mentions au moment de la collecte, bandeau cookies. Refondre les contrats (clients, sous-traitants) avec clauses RGPD : DPA, transferts hors UE, sous-traitance ultérieure.</p><h2>Étape 4 - Droits des personnes</h2><p>Mettre en place des procédures pour répondre aux demandes : accès, rectification, suppression, portabilité, opposition. Délai de réponse : 1 mois (extensible 2 mois si complexe). Désigner un référent en interne. Formulaire en ligne pour faciliter les demandes. Logs des demandes traitées. Communication claire aux personnes des modalités d'exercice de leurs droits.</p><h2>Étape 5 - Sécurité et DPO</h2><p>Mesures techniques : chiffrement, accès restreints, sauvegardes, journalisation, mots de passe forts, MFA. Tests de pénétration réguliers. Procédure de notification violation (72h CNIL). DPO obligatoire si : autorité publique, surveillance systématique à grande échelle, données sensibles à grande échelle. Sinon, désignation recommandée. Formation des équipes : sensibilisation annuelle obligatoire. Budget total mise en conformité initiale : 3 000-30 000 €.</p>