Bref, ce n'est pas parce que le site est "petit" qu'il est facile à mettre en conformité... Une site d'une seule page peut reprendre tous les défauts ci-dessus : hébergé sur un serveur gratuit pas regardant, avec GA, utilisant un coutil tiers pour les commentaires, permettant d'acheter des trucs avec des boutons de paiement intégrés, des liens vers FB, Twitter, ou autre, etc etc ... 

Voire avec la mise en place d'un livre d'or stockant un nom et un champ de texte libre, affiché sans validation préalable (là, c'est bon, c'est carrément le pire, pouvant donner lieu à toute sortes de dérives)...

Pour nos propres sites, la mise en conformité est en cours, mais par exemple : nous n'utilisons pas de régie publicitaire, nous n'utilisons pas d'outils tiers de gestions de commentaires, nous n'utilisons pas de boutons intégré Facebook et autre (mais uniquement des liens simples), nous avons choisi un prestataire d'hébergement payant, situé en France, ayant lui-même fait part des mesures de conformité à la RGPD, il stocke les données concernant nos sites en France, etc.

Par ailleurs, pour nos formulaires, nous avons une procédure RGPD à destination de nos collaborateurs qui gèrent ceux-ci : pas de stockage ni de traitement en base de données des éléments reçus, nous n'intégrons les données relatives à nos contacts qu'à la suite d'une autorisation préalable que nous demandons par mail, généralement dans la réponse qui est faite au formulaire, lorsque celle-ci est strictement nécessaire (par exemple, une demande qui nécessite un suivi - demande de subventions, locations de salles, etc.) les simples demande d'aides par exemple, ne donnent pas lieu à un enregistrement en BDD.

Nous sommes également en train de documenter tous les choix que nous avons fait, et leur justification au regard de la vie privée. Néanmoins, je rappelle que je travaille pour une collectivité publique, nous avons un devoir d'engagement à ce sujet.

D'un point de vue personnelle, ce RDPD, pour une entreprise ou une collectivité, c'est une chance, celle de faire le point sur l'organisation interne du travail, revoir et sécuriser les processus en place. C'est du travail, mais pas inutile !!

Patricia a donné de bonnes pistes, j'en ai donné d'autres, basée sur nos propres pratiques. :-)