L’étape la plus délicate pour l’entreprise est celle de la cartographie des traitements de données personnelles. Cette étape est très importante et nécessite un travail actif de l’entreprise. Elle consiste à recenser au sein de la structure, les différents types de traitements réalisés sur des données personnelles (concernant les clients, les prospects, les prestataires, salariés, etc). On recense alors les différents outils logiciels utilisés et on s’interroge sur leur conformité RGPD. Une fois l’étape de cartographie terminée, il est possible d’identifier des actions de conformité concrètes, d’arbitrer qui fait quoi, et de prioriser des actions à mener, en démarrant par celles qui sont identifiées comme les plus à risque du point de vue de la protection des données personnelles (sécurité – données sensibles – transfert de données hors UE – information des personnes – recueil de consentement obligatoire – respect des droits des personnes).