Transfert de données = ça passe par une AITD !

Pour rappel, le Règlement général sur la protection des données (RGPD) a pour objectif de protéger les données personnelles des européens.

Par conséquent, en cas de transfert de données dans un pays hors de l’Espace économique européen (EEE), une protection équivalente à celle prévue par le RGPD doit être mise en place par les exportateurs et les importateurs desdites données.

De plus, la Cour de justice de l’Union européenne (CJUE) a également précisé que les exportateurs doivent suspendre le transfert, voire résilier le contrat, si l’importateur n’est pas, ou n’est plus, en mesure de respecter ses engagements en matière de protection des données personnelles.

Ainsi, les exportateurs qui utilisent des outils de transferts, par exemple, via des clauses contractuelles types (CCT) ou des règles d'entreprise contraignantes (BCR), ont l’obligation de mener au préalable une analyse d’impact des transferts de données (AITD) afin d’évaluer :

• le niveau de protection dans les pays tiers de destination ;
• la nécessité de mettre en place des garanties supplémentaires.

Pour aider les exportateurs à mener à bien cette analyse, la CNIL a publié à leur attention un guide pratique enrichi des dernières consultations publiques.

La CNIL rappelle ainsi qu’une AITD doit être réalisée par l’exportateur soumis au RGPD, qu’il soit responsable de traitement ou sous-traitant, avec l’assistance de l’importateur, en amont du transfert des données vers un pays hors de l’EEE.

Notez qu’il existe 2 exceptions à cette obligation :

• lorsque le pays de destination est couvert par une décision d’adéquation de la Commission européenne ;
• lorsque le transfert est effectué sur la base d’une des dérogations prévues par le RGPD, notamment pour des motifs importants d'intérêt public, pour l’exercice de la justice, pour la sauvegarde des intérêts vitaux d’une personne qui est dans l’incapacité de donner son consentement, etc.

Notez enfin que l’utilisation de ce guide n’est pas obligatoire. Il constitue néanmoins une ressource intéressante d’accompagnement pour déterminer si et comment une telle analyse doit bien être menée.

CSE : plafond d’exonération revalorisé depuis le 1^er janvier 2025

Pour mémoire, le Code du travail prévoit la possibilité pour l'employeur ou le comité social et économique (CSE) de verser une aide financière aux salariés, qui permet de :

• faciliter l'accès aux activités entrant dans le champ des services à la personne ;
• financer des activités de services à la personne ou de garde d'enfant en dehors du domicile du salarié ;
• financer des prestations directement liées à la gestion et au fonctionnement du chèque emploi-service (CESU).

Cette aide peut se matérialiser par :

• le versement direct d'une aide financière au salarié ;
• ou sous la forme d'un CESU préfinancé.

Pour être exonéré de cotisations sociales, le montant de cette aide financière ne doit pas excéder le coût du service supporté par le bénéficiaire.

En plus de cette condition, cette exonération est également subordonnée à un plafond d’exonération, revalorisé chaque année.

Depuis le 1^er janvier 2025, le montant maximum de cette aide exonérée de cotisation sociale est fixé à 2 540 € par bénéficiaire et par année civile (contre 2 421€ en 2024).

Publication de l’index égalité professionnelle avant le 1^er mars 2025

Comme chaque année, les entreprises et unités économiques et sociales (UES) employant au moins 50 salariés doivent publier sur leur site internet, au plus tard le 1^er mars, la note globale de l’Index égalité professionnelle obtenue (sur 100), ainsi que les différentes notes obtenues aux indicateurs qui la composent.

Concrètement, ces notes, ainsi que le détail de chaque indicateur, doivent être :

• publiés sur le site internet de l’entreprise, consultable par le public ;
• communiqués au CSE (comité sociale et économique), via la Base de données économiques, sociales et environnementales (BDESE) ;
• transmis à l’inspection du travail, via la plateforme Egapro.

Toujours au 1^er mars 2025 au plus tard, les entreprises qui ont obtenu une note globale inférieure à 85 sur 100 doivent fixer et publier des objectifs de progression pour chacun des indicateurs pour lesquels elles n’ont pas atteint la note maximale.

Si la note est inférieure à 75 sur 100, en plus des objectifs de progression, les entreprises devront également entamer des négociations avec les partenaires sociaux pour définir des mesures adéquates de rattrapage.

À défaut d’accord collectif, notez que l’employeur pourra fixer unilatéralement les objectifs de progression et les mesures de correction. En tout état de cause, les objectifs de progression et les mesures de correction doivent faire l’objet des mêmes modalités de publication et de communication.

À toutes fins utiles, notez que l’autorité administrative met à disposition un simulateur-calculateur qui facilite l’obtention de vos résultats pour chaque indicateur, ainsi que pour la note globale.

Rappelons également que l’absence de publication des résultats et / ou d’application des mesures de correction ou des objectifs de progression, le cas échéant, est passible d’une pénalité financière qui peut s’élever jusqu’à 1 % de la masse salariale globale.

Enfin, en plus de la publication de l’index d’égalité professionnelle, les entreprises embauchant au moins 1000 salariés pour le 3^e exercice consécutif ont également jusqu’au 1^er mars 2025 pour publier les proportions de femmes et d’hommes aux postes de direction, au titre de l’année 2024.

Relevé de frais généraux : du nouveau pour 2025

Pour rappel, les entreprises exerçant une activité industrielle ou commerciale et soumises à l'impôt sur le revenu d'après leur bénéfice réel ou à l'impôt sur les sociétés sont tenues de fournir, à l'appui de la déclaration de leurs résultats de chaque exercice, le relevé détaillé des catégories des frais généraux engagés au cours de l’exercice dès lors que ces frais excèdent, pour une ou plusieurs desdites catégories, l'un des chiffres suivants :

• 300 000 € ou 150 000 € pour l'ensemble des rémunérations directes ou indirectes versées aux 10 ou 5 personnes les mieux rémunérées, suivant que l'effectif du personnel dépasse ou non 200 salariés, ou 50 000 € pour l'une d'entre elles prise individuellement ;
• 15 000 € pour les frais de voyage et de déplacement exposés par ces personnes ;
• 30 000 € pour le total, d'une part, des dépenses et charges afférentes aux véhicules et autres biens dont elles peuvent disposer en dehors des locaux professionnels et, d'autre part, des dépenses et charges de toute nature afférentes aux immeubles qui ne sont pas affectés à l'exploitation ;
• 3 000 € pour les cadeaux de toute nature, à l'exception des objets spécialement conçus pour la publicité et dont la valeur unitaire ne dépasse pas 73 €, toutes taxes comprises, par bénéficiaire ;
• 6 100 € pour les frais de réception, y compris les frais de restaurant et de spectacles.

À compter du 2 février 2025, les seuils applicables à la 1^re catégorie de frais généraux sont revalorisés, passant à 540 000 € (contre 300 000 € jusqu’à cette date) et 270 000 € (contre 150 000 € jusqu’à cette date) pour l'ensemble des rémunérations directes ou indirectes versées aux 10 ou 5 personnes les mieux rémunérées, suivant que l'effectif du personnel dépasse ou non 200 salariés, ou 50 000 € pour l'une d'entre elles prise individuellement.

Prime d’objectif et arrêt maladie : due ou pas due ?

Pour rappel, l’employeur qui fait dépendre le versement d’une prime de la réalisation d’objectifs doit obligatoirement communiquer de façon transparente et claire sur les objectifs à atteindre.

À défaut, le salarié peut prétendre au versement de l’intégralité de la prime, comme si le salarié avait réalisé tous les objectifs.

Dans une récente affaire, à la suite d’un accident du travail, une salariée est placée en arrêt maladie entre 2017 et 2019 avant d’être finalement licenciée pour inaptitude.

Sauf que cette salariée demande le bénéfice d’une prime d’objectifs, versée tous les 6 mois en fonction d’objectifs communiqués par l’entreprise : pour elle, cette prime lui est due, car rien n’était prévu pour les salariés dont les contrats étaient suspendus.

Et, parce qu’aucun objectif ne lui a été fixé ou communiqué durant la durée de cet arrêt maladie, l’employeur doit lui verser le montant maximum de cette prime.

Ce que conteste l’employeur qui refuse de verser la prime ! Il rappelle que la salariée était en arrêt maladie : son contrat de travail était donc suspendu.

En l’absence de clause prévoyant le contraire, la prime d’objectifs versée en contrepartie de l’activité professionnelle ne peut pas être versée à la salariée dont le contrat est suspendu.

Ce que confirme le juge, qui donne raison à l’employeur : parce qu’aucune clause conventionnelle ne prévoit le contraire, l’employeur n’a pas à verser à la salariée absente depuis 3 ans une prime d’objectifs, dans la mesure où son contrat est suspendu.

Domicile fiscal : précisions sur la notion de centre des intérêts économiques

Parce qu’ils sont partis vivre de manière permanente pendant 2 ans en Hongrie, un couple estime que sa résidence fiscale est située non plus en France, mais en Hongrie. Il ne déclare donc pas en France les gains, appelés plus-values, réalisés à l’occasion de la vente de ses comptes-titres détenus au sein de banques françaises.

Ce que l’administration fiscale conteste : elle estime que la résidence fiscale du couple est située non pas en Hongrie, comme il l’affirme, mais en France, et lui réclame donc un supplément d’impôt sur le revenu.

Pour appuyer ses dires, elle indique, en effet, que l’ensemble de la rémunération de l’épouse, détachée en Hongrie, provient d’une société française dont le siège est situé en France et est, par voie de conséquence, de source française.

Par ailleurs, ajoute l’administration, le couple a conservé son appartement situé à Paris pour lequel il continue de payer la taxe foncière.

Partant de là, le centre des intérêts économiques du couple, et donc son domicile fiscal, se trouve en France : il doit donc être imposé en France au titre des plus-values réalisées.

Ce que le couple conteste à son tour, rappelant que :

• l’activité de l’épouse à l’origine des rémunérations qu’elle perçoit est exercée en Hongrie ;
• les salaires versés sont crédités sur un compte bancaire qui n’est pas situé en France.

Des arguments insuffisants pour le juge, qui donne raison à l’administration : tout prouve ici que le centre des intérêts économiques du couple se situe en France, de sorte qu’il doit être regardé comme ayant conservé son domicile fiscal en France.

Données personnelles collectées par un tiers : s’assurer de la légalité de la ressource

Pour se constituer des bases de données, les responsables de traitement peuvent procéder eux-mêmes à une collecte de données auprès des personnes concernées.

Mais il est également possible d’accéder à des bases de données déjà constituées soit en les acquérant auprès de tiers, comme les courtiers en données, soit en utilisant des bases de données librement accessibles en ligne.

Ces méthodes peuvent représenter un risque puisque le responsable de traitement ne peut alors être totalement certain du bon respect de la réglementation en vigueur lors de la constitution de ces bases de données.

La Commission nationale de l’informatique et des libertés (CNIL) propose dès lors un rappel des précautions qu’il faut observer lors de la réutilisation de bases de données afin de s’assurer une utilisation respectueuse du Règlement général sur la protection des données (RGPD).

Ainsi, plusieurs points sont à vérifier dans le contenu des données :

• la source des données est bien mentionnée ;
• la constitution ou la diffusion de la base de données ne relèvent pas manifestement d’un crime ou d’un délit ;
• l’origine des données est bien documentée ;
• la base ne contient pas de données sensibles (relatives à la religion, la santé, l’orientation sexuelle, les opinions politiques, etc.) ou concernant des infractions pénales.

En plus de ces précautions, et lorsque la base de données a été fournie par un tiers, la CNIL recommande également d’encadrer la mise à disposition de cette base par un contrat.

Les parties peuvent ainsi matérialiser clairement les informations permettant d’établir la légalité de la constitution de cette base de données.

Virement non autorisé de la banque et négligence du client : partage de responsabilité ?

Une société signe avec sa banque un contrat permettant de transmettre par internet des ordres d’opération de paiement authentifiés par un certificat numérique.

La banque reçoit plusieurs demandes de virements de la part de la société pour plusieurs centaines de milliers d’euros. Ordres de virements qu’elle exécute, mais manifestement à tort puisque que ces demandes n’émanaient pas de la société, victime d’une escroquerie bancaire.

Des virements dont la société réclame le remboursement à la banque qui a exécuté des ordres de virement non-autorisés et qui, dans ce cas, est dans l’obligation de rembourser à son client le montant de l'opération non autorisée.

Sauf que la situation est légèrement différente, selon la banque qui rappelle que la société a fait preuve de négligence grave et que c’est justement son comportement qui a rendu possible l’escroquerie.

En effet, c’est parce que la société a ouvert des mails manifestement frauduleux que l’escroc a pu installer un cheval de Troie sur ses ordinateurs et envoyer des demandes de virements en se faisant passer pour elle.

Dans ces conditions, la banque estime donc ne rien devoir rembourser.

La société se défend en listant, de son côté, tous les manquements de sa banque qui n’a pris en compte ni les alertes envoyées par le Centre d'alerte et de réaction aux attaques informatiques, ni les centaines de tentatives de connexion venant des ordinateurs de sa cliente, ce qui pouvait pourtant laisser imaginer facilement une fraude.

Ainsi la banque a, toujours selon la société, manqué à son obligation de vigilance.

Une vision que ne partage pas le juge : la négligence grave de la société qui a ouvert des mails manifestement frauduleux l’empêche de réclamer à la banque un remboursement total ou partiel des sommes perdues, puisque c’est cette négligence qui a rendu possible l’escroquerie !

Campagne de vaccination contre la grippe : ça continue en février !

Lancée le 15 octobre 2024, la campagne de vaccination contre la grippe devait initialement prendre fin le 31 janvier 2025.

Cependant, la grippe circule encore beaucoup sur l’ensemble du territoire français. Cette année se caractérise, en effet, par la co-circulation de 3 virus grippaux qui ont chacun des effets différents sur les personnes en fonction de leur âge.

Dans ce contexte, les pouvoirs publics ont prolongé la campagne de vaccination d’un mois, c’est-à-dire jusqu’au 28 février 2025.

Pour rappel, le vaccin antigrippal est entièrement remboursé par l'Assurance maladie pour :

• les personnes âgées de 65 ans et plus ;
• les personnes de moins de 65 ans souffrant de certaines maladies chroniques ;
• les femmes enceintes ;
• les personnes souffrant d’obésité ;
• l’entourage des nourrissons à risque de grippe grave et des personnes immunodéprimées ;
• les aides à domicile des particuliers employeurs vulnérables bénéficiaires d’exonérations ;
• les professionnels exposés aux virus influenza aviaires et porcins.

Les personnes ne faisant pas partie de ces catégories dites prioritaires peuvent bien entendu se faire vacciner, mais sans prise en charge par l’Assurance maladie.

Peuvent réaliser la vaccination les médecins, les infirmiers, les sages-femmes (pour les femmes enceintes et l'entourage des nourrissons à risque) et les pharmaciens.