Hugo Salard

MES RÉFÉRENCES ✔ BNP Paribas — étude comparée mondiale (legislative mapping, 2018) ✔ LVMH Client Services — audit et mise en conformité RGPD multi-maisons ✔ AESIO Mutuelle (3 000 salariés) — implémentation DASTRA, refonte consentement (+10M contacts), purge des archives ✔ Groupe Roullier — audit RGPD multi-pays et conseil au DPO Groupe (agroalimentaire) ✔ Groupe Les Echos-Le Parisien — DPO externe déclaré CNIL (presse nationale) ✔ MCI Group (Genève) — audit RGPD + LPD suisse, conseil au DPO Groupe (événementiel) ✔ Havas — implémentation OneTrust et formation de 150 relais DPO ✔ Voodoo — AIPD SDK publicitaire (gaming mobile) ✔ S4M — audit et mise en conformité ad tech (drive-to-store) ✔ easiware — DPO externe d'un éditeur SaaS B2B MES COMPÉTENCES DPO & gouvernance • DPO externe (presse, luxe, SaaS B2B) • Structuration de la fonction DPO et du réseau de relais • Conseil au DPO Groupe / DPO interne Audit et mise en conformité RGPD • Audit flash ou complet, plan d'action priorisé • Référentiel documentaire (politiques, procédures, mentions, accountability) • Registres responsable de traitement et sous-traitant (article 30 RGPD) • Référentiel des durées de conservation • Mesures de sécurité techniques et organisationnelles AI Act et conformité IA • Cadrage juridique des cas d'usage IA • Analyse de rôle et de classification AI Act • Vendor AI review et articulation RGPD x AI Act Analyse d'impact (AIPD / DPIA) • Méthodologie CNIL et EDPB • Secteurs sensibles : ad tech, gaming, santé, mineurs, IA Opérations RGPD • Demandes d'exercice de droits (DSAR) • Gestion et notification des violations de données • Transferts internationaux (clauses contractuelles types, TIA) • Analyse contractuelle (DPA, accords article 28) Cookies, consentement, marketing • Consent Management Platform : choix d'outil et paramétrage juridique • Articulation RGPD / ePrivacy / lignes directrices CNIL • Refonte des finalités et bases légales prospection Outils RGPD • DASTRA, OneTrust, Didomi : choix par appel d'offres, paramétrage, déploiement Formation • DPO et référents privacy • Sensibilisation collaborateurs tous publics • Modules sectoriels (marketing, retail, ad ops, RH, R&D) Secteurs couverts Banque, mutuelle, presse, luxe, ad tech, gaming mobile, agroalimentaire, événementiel, SaaS B2B.

Contexte : mission de Délégué à la Protection des Données externalisé pour un éditeur SaaS français de logiciels de relation client, exposé au RGPD sur les deux casquettes (responsable de traitement pour ses propres données, sous-traitant pour celles de ses clients). • Audit-flash RGPD : diagnostic des écarts au RGPD sur les traitements internes et les pratiques sous-traitant, identification des risques prioritaires, restitution aux dirigeants • Plan d'action priorisé : feuille de route, séquencement des chantiers, arbitrage entre risque juridique et faisabilité opérationnelle • Conception du référentiel documentaire RGPD : registre des traitements (RT), registre sous-traitant (ST), référentiel des durées de conservation, procédure de gestion des demandes de droits, procédure de gestion des violations de données, mentions d'information, accords de sous-traitance type • Rôle de DPO externe au quotidien : conseil et avis aux collaborateurs, analyse contractuelle (DPA clients, contrats fournisseurs), négociation des positions RGPD avec les parties prenantes Résultats : • Mise en conformité complète d'un éditeur SaaS, sur les deux casquettes RT et ST • Référentiel documentaire opérationnel et opposable • Capacité de réponse aux questions clients sur la conformité RGPD du produit (point fréquemment bloquant en cycle de vente B2B SaaS) • Continuité de la fonction DPO sans recrutement interne dédié

• Enrichissement de 246 fiches de traitement au sein de l'outil SmartGDPR • Centralisation et structuration de l'organisation de l'accountability interne : contrats, mode opératoire, politique et procédure • Rérganisation de la documentation et de l'outillage interne.

Contexte : audit RGPD et accompagnement à la mise en conformité d'un groupe industriel français leader en nutrition végétale et animale, opérant dans plus de 100 pays, avec une exposition multi-entités (industrie, R&D, commerce terrain) sur l'ensemble de la chaîne agroalimentaire. • Audit RGPD multi-pays : analyse des écarts par entité et par juridiction, identification des risques sur les périmètres collaborateurs, clients distributeurs et coopératives, R&D et sécurité industrielle • Conseil au DPO Groupe : structuration de la gouvernance, articulation entre la fonction centrale et les correspondants pays, arbitrages stratégiques sur les sujets transverses • Mise en conformité opérationnelle : registres des traitements, mentions d'information, procédures DSAR et violations, accords de sous-traitance, encadrement des transferts internationaux • Approche sectorielle agroalimentaire et industrielle : traitements spécifiques aux forces commerciales terrain (CRM, géolocalisation), aux sites industriels (vidéosurveillance, badges, sécurité), à la R&D (données collaborateurs et propriété intellectuelle) et aux clients B2B (distributeurs, coopératives, agriculteurs) Résultats : • Conformité harmonisée à l'échelle des entités groupe en Europe • DPO Groupe outillé et structuré pour piloter dans la durée • Référentiel documentaire adapté au secteur agroalimentaire et à l'organisation multi-pays

Contexte : déploiement du module Data Mapping de OneTrust pour cartographier l'ensemble des traitements à l'échelle de l'agence, et structuration d'un réseau de relais DPO opérationnels embarqués dans les métiers. • Pilotage de la mise en place du module Data Mapping OneTrust : paramétrage, modélisation des traitements, articulation avec les processus DPO existants • Conduite des entretiens d'inventaire avec les métiers : identification des traitements actifs, qualification (finalités, bases légales, catégories de données, durées de conservation, sous-traitants) • Conception et animation du plan de formation des relais DPO : modules adaptés aux profils opérationnels (production, marketing, RH, ad ops), exercices pratiques sur OneTrust Résultats : • Registre des traitements complet et exploitable dans OneTrust • 150 collaborateurs formés comme relais DPO opérationnels dans les métiers Industrialisation de la fonction DPO : mise à jour du registre désormais portée par les métiers eux-mêmes • Conformité RGPD ancrée dans le quotidien opérationnel des équipes

Contexte : prise en charge de la fonction Délégué à la Protection des Données externalisée et déclarée à la CNIL pour l'un des principaux éditeurs de presse nationale français. • Pilotage opérationnel de la conformité RGPD groupe : registre des traitements, durées de conservation, mentions d'information, accords de sous-traitance • Gestion des demandes d'exercice de droits et des violations de données : qualification, instruction, réponse aux personnes concernées, notifications CNIL quand applicable • Conseil aux directions métiers (rédaction, abonnements, marketing, data, RH) : avis RGPD préalables sur les nouveaux traitements, analyses d'impact • Interface avec la CNIL et les sous-traitants : représentation du groupe, négociation des positions sur les contrats sensibles (régies publicitaires, data partners) Résultats : • Fonction DPO opérationnelle • Conformité soutenue dans un secteur fortement exposé (audience, profilage publicitaire, données rédactionnelles sensibles) • Demandes de droits et incidents traités dans les délais réglementaires • Mise en place de la CMP Didomi sur +50 sites internet

Contexte : réalisation d'une analyse d'impact relative à la protection des données sur le SDK publicitaire et le dispositif de monétisation in-app d'un éditeur français de jeux mobiles hypercasual à audience mondiale. • Cadrage juridique de l'AIPD : qualification des traitements, articulation RGPD / ePrivacy, prise en compte des lignes directrices CNIL et EDPB sur la publicité en ligne et la protection des mineurs • Cartographie technique du SDK : flux de données, partenaires ad tech (DSP, SSP, mesure, attribution), durées de conservation, transferts hors UE • Évaluation des risques pour les personnes concernées : profilage, suivi inter-applications, exposition des audiences mineures, qualification des mesures de mitigation • Restitution de l'AIPD et plan d'actions de remédiation, articulé avec la roadmap produit Résultats : • AIPD complète et documentée, opposable en cas de contrôle CNIL Identification des risques résiduels et des arbitrages produit à porter • Position juridique consolidée sur la monétisation publicitaire

Contexte : audit RGPD et accompagnement à la mise en conformité d'une plateforme française d'ad tech spécialisée dans le drive-to-store, environnement à forte exposition (données de géolocalisation, identifiants publicitaires, écosystème mobile). • Audit RGPD complet de la plateforme : cartographie des traitements, qualification des données collectées (géolocalisation, identifiants publicitaires, comportement), analyse des chaînes contractuelles ad tech • Analyse des bases légales et du dispositif de consentement : articulation RGPD / ePrivacy, conformité aux lignes directrices CNIL sur les cookies et le tracking publicitaire • Conception du plan d'action de mise en conformité : priorisation des chantiers, livrables documentaires, ajustements produit • Conseil sur les positions RGPD avec les annonceurs, éditeurs et partenaires de la chaîne ad tech Résultats : • Cartographie complète du dispositif ad tech au regard du RGPD et de l'ePrivacy • Plan d'action priorisé et opérationnel • Sécurisation juridique d'un modèle économique reposant sur des données particulièrement scrutées par la CNIL

Contexte : audit et accompagnement à la mise en conformité d'un leader mondial du conseil et de l'organisation événementielle, sur un périmètre multi-pays (UE + Suisse), avec une exposition forte aux données de participants, sponsors et prestataires d'événements internationaux. • Audit RGPD : 50 entretiens d'audit répartis dans 20 pays différents • Conseil au DPO Groupe à Genève : structuration de la gouvernance, arbitrages stratégiques, montage du réseau de référents pays • Mise en conformité opérationnelle multi-pays : registres des traitements, mentions d'information, procédures DSAR et violations, accords de sous-traitance, encadrement des transferts internationaux • Approche sectorielle événementiel : traitements spécifiques aux inscriptions, badges, captation, sponsors, hôtellerie et transport, sur la durée d'un événement et au-delà Résultats : • Conformité harmonisée RGPD + LPD sur le périmètre groupe • DPO Groupe outillé et structuré pour piloter dans la durée • Référentiel documentaire adapté au secteur événementiel et au caractère multi-pays des opérations

• Audit RGPD du service de relation client multi-maisons : cartographie complète des traitements, analyse des écarts au regard du RGPD, identification des risques sur données clients (dont clients VIP et flux inter-maisons) • Construction du plan d'action de mise en conformité : priorisation des chantiers, roadmap pluriannuelle, comitologie de pilotage avec la direction et les référents métiers • Mise en conformité documentaire de bout en bout : politique RGPD, procédures (demandes de droits, violations de données, transferts hors UE, durées de conservation), modes opératoires métiers à destination des conseillers client • Conception et animation du dispositif de formation : module de sensibilisation tous publics + parcours référents RGPD avec mise en situation sur cas réels Résultats : • 20 collaborateurs du service relation client formés et opérationnels sur les réflexes RGPD • 35 traitements cartographiés et intégrés au registre • Référentiel documentaire complet déployé : 1 politique + 4 procédures + 3 modes opératoires • Autonomisation des équipes : prise en charge des demandes de droits et incidents au premier niveau (+20% d'efficacité opérationnelle — ROI)

Contexte : étude comparative express commandée par un groupe bancaire international post-entrée en application du RGPD (juin 2018), pour outiller les équipes conformité Groupe dans la conduite de leurs opérations transfrontières. • Cadrage juridique et choix des juridictions à couvrir : sélection des pays pertinents au regard de l'empreinte du Groupe, identification des thématiques clés (consentement, transferts internationaux, notification de violation, droits des personnes, sanctions, autorité de contrôle) • Recherche et analyse comparée des législations locales : RGPD pour l'UE, lois sectorielles et étatiques aux États-Unis, régimes émergents en Asie (Corée, Singapour, Japon) et en Amérique latine • Conception d'une cartographie visuelle à code couleur : classement des juridictions par niveau de restrictivité et de maturité réglementaire, lecture rapide adaptée aux décideurs • Synthèse exécutive et points d'attention par juridiction : transferts depuis l'UE, exigences de localisation, sanctions encourues, calendrier de mise en application Résultats : • Cartographie monde livrée et exploitable par les équipes conformité Groupe • Vision consolidée des écarts entre RGPD et régimes étrangers à la veille du 25 mai 2018 • Outil d'aide à la décision pour le pilotage des chantiers de conformité internationale

● Audit Informatique et libertés : diagnostic / cartographie des traitements et des flux de données ● Audit GDPR contrats (Responsable de traitements et sous-traitants) ● Conseil et recommandations : formalités préalables auprès de la CNIL, mise en conformité CNIL, stratégie flux transfrontières ● CIL externe et assistance à distance ● Actions pré-contentieuses et contentieuses (contrôle CNIL, actions devant les juridictions judiciaires, etc.) ● Valorisation des bases de données (protection des bases de données, contrat de licence entre filiales, contrat de location de fichiers, licence Big data / Open data, etc.) ● Outils : Registre des traitements, chartes de protection des données personnelles, politique opt-in et optimisation des cookies ● Formation et veille juridique ● Rédaction d'articles juridiques (blog, Revue du Management, Dalloz IP/IT)

● Informatique et libertés : Mise en place et suivi de la politique de données personnelles, assistance aux formalités et aux contrôles, contentieux CNIL, rédaction de note aux opérationnels GDPR ● Droit de l’informatique : Contribution à la rédaction et négociation des contrats impliquant des systèmes d’information, contrats de développement, licence ou cession (progiciel, logiciels spécifiques) ● Droit de l’Internet/ Commerce en ligne : contrats d’hébergement de sites Internet, de conception et de réalisation de site Internet, de portails commerciaux, conditions générales d’utilisation de sites de commerce en ligne, audit de conformité des sites e-commerce aux prescriptions légales applicables ( mentions légales, droit de la consommation, réglementations sectorielles) ● Droit des marques/ Signes distinctifs, Droits d’auteur et droit voisins : Conseil pour la protection, la valorisation et la défense des signes distinctifs, œuvres de l’esprit et actifs de propriété intellectuelle ou industrielle, réalisation des dépôts appropriés le cas échéant et gestion des portefeuilles associés, contentieux ● Noms de domaines : Conseil en contentieux (revendication, usurpation…)

● Tenue du Registre CIL ● Rédaction et analyse d'actes (contrat, CGU, mentions légales...) ● Rédaction de notes de jurisprudence/synthèse ● Conseils et recommandations aux clients internes ● Recherches/Veille juridique