Publication d’un outil pour accompagner la création des BCR

Les données à caractère personnel des Européens font l’objet d’une protection exigeante depuis l’entrée en vigueur du Règlement général sur la protection des données (RGPD) en 2018.

Ce texte impose des obligations à toutes les entités traitant ces données sur le territoire de l’Union européenne (UE), mais également dans des États tiers, dès lors que les données traitées sont relatives à des résidents européens.

Ainsi, lorsqu’une entreprise souhaite transférer des données vers une entité établie dans un État tiers à l’UE, elle se doit de vérifier le niveau de protection garanti dans cet État.

S’il est jugé insuffisant, le transfert n’est pas pour autant impossible, mais des précautions supplémentaires doivent être mises en place par l’entreprise.

Une des méthodes pouvant être employées est celle des règles d’entreprise contraignantes (abrégées en BCR pour Binding Corporate Rules). Elle s’adresse aux groupes d’entreprises implantés dans plusieurs États et prend la forme d’un référentiel qui engage toutes les entreprises du groupe concernant le traitement des données personnelles.

Une fois approuvées par les autorités nationales et européennes, les BCR permettent aux entreprises du groupe de transférer entre elles des données personnelles, peu importe leur situation géographique.

La Commission nationale de l’informatique et des libertés (CNIL) propose un nouvel outil pour permettre aux entreprises souhaitant soumettre un dossier d’approbation de BCR d’évaluer la recevabilité et la maturité de leur projet.

Violation des données personnelles : rappel de la marche à suivre

Pour permettre à tous les professionnels de comprendre et de prévenir les risques d’accès à des données personnelles par des tiers, la CNIL a publié un exemple pratique à travers un vol de supports et détournements de services dans le cadre scolaire.

Au-delà de l’illustration pratique, voici la démarche à suivre pour tout entrepreneur victime d’une violation de données.

La violation des données doit être remontée au délégué à la protection des données, le cas échéant, qui doit être notifiée à la CNIL dans les 72 heures qui suivent sa découverte.

Une plainte auprès des forces de l’ordre est également à effectuer.

Les informations collectées à propos de la violation doivent être documentées, notamment à l’aide des prestataires informatiques.

C’est à cette étape que la violation des données auprès de la CNIL est formellement réalisée.

Cette notification est faite grâce aux procédures internes de gestion des incidents.

Il faut rétablir les données si vous disposez de sauvegarde ou d’une journalisation des actions effectuées sur l’espace victime d’une cyberattaque.

Dans certaines situations, il va falloir communiquer auprès des personnes concernées que leurs données personnelles font l’objet d’une violation.

Pour cela, il faut rédiger un message rappelant des informations obligatoires : les circonstances de l’incident, la nature des données concernées, le point de contact pour avoir des informations supplémentaires, les mesures déjà prises et envisagées et les conséquences possibles pour les personnes concernées.

Il faut réunir les collaborateurs pour leur faire part de la situation et les sensibiliser à la protection des données.

Le cas échéant, il faut faire une notification complémentaire auprès de la CNIL pour lui transmettre les nouveaux éléments : la mise à jour du nombre de personnes concernées par la violation, le nombre de personnes informées et un modèle non nominatif du message adressé à ces dernières.

Une fois ces étapes achevées, il va falloir mettre en place des actions de bonnes pratiques (si ce n’est pas déjà fait) pour éviter que la situation se reproduise :

• sensibiliser régulièrement vos clients et vos collaborateurs aux bonnes pratiques ;
• mettre en place des procédures de gestion des incidents ;
• s’assurer qu’une journalisation fine des accès et des actions est mise en place sur vos applications ;
• proposer une authentification multi-facteur ;
• etc.

Vente d’actifs numériques : conditions et conséquences de l’option pour le barème de l’IR

Pour rappel, les gains (appelés « plus-values ») réalisés à titre occasionnel par les particuliers domiciliés fiscalement en France lors de la vente d’actifs numériques (cryptomonnaies par exemple) sont soumis à un prélèvement forfaitaire unique (PFU), aussi appelé « flat tax », calculé au taux de 30 %.

À titre dérogatoire, pour les ventes d’actifs numériques réalisées depuis le 1^er janvier 2023, les particuliers peuvent opter pour une taxation au titre du barème progressif de l’impôt sur le revenu (IR) en lieu et place du PFU.

L’administration fiscale vient d’apporter des précisions dans sa documentation concernant les modalités d’exercice de cette option et ses conséquences.

Opter pour l’imposition suivant le barème progressif de l’IR : comment ?

Dans ce cadre, l’option pour l’application du barème progressif de l’IR :

• doit être formulée de manière expresse sur la déclaration d’ensemble des revenus 2042 C, au plus tard avant l’expiration de la date limite de déclaration (case 3 CN à cocher) ;
• est exercée de manière globale pour l’ensemble des gains de cession d’actifs numériques réalisés au cours d’une même année ;
• est irrévocable. Aucune modification ne peut être apportée après la date limite de dépôt de la déclaration d’ensemble des revenus.

Notez que cette option est indépendante de celle prévue pour la taxation des revenus de capitaux mobiliers et des gains sur cession de droits sociaux.

Retenez également qu’en l’absence d’option, les plus-values sont automatiquement soumises au PFU.

Pour finir, l’obligation de déclarer les références des comptes d’actifs numériques ouverts, détenus, utilisés ou clos auprès d’entreprises, de personnes morales, d’institutions ou d’organismes établis à l’étranger ne concerne plus uniquement les particuliers depuis le 1^er janvier 2024, mais aussi toutes personnes et entités juridiques domiciliées en France.

Opter pour le barème progressif : quelles conséquences ?

L’exercice de l’option pour le barème progressif de l’IR entraîne les conséquences suivantes :

• les particuliers domiciliés dans les DOM bénéficient d’un abattement appliqué sur le montant brut de l’impôt calculé par application du barème progressif (abattement de 30 % pour ceux domiciliés en Guadeloupe, Martinique ou Réunion et 40 % pour ceux domiciliés en Guyane ou à Mayotte) ;
• une fraction de 6,8 % de la CSG payée est déductible du revenu global de l’année de son paiement.

Location d’un appartement de luxe : une dépense professionnelle ?

Au cours d’un contrôle fiscal, l’administration constate qu’une société qui exerce une activité de vente et de location de matériel de construction paie des loyers pour un appartement luxueux de 130 m² au cœur de Paris.

Des dépenses « personnelles » qui n’ont rien à voir avec l’activité de la société, estime l’administration, qui refuse la déduction de cette charge…

Des dépenses personnelles « en apparence », mais en réalité « professionnelles », conteste la société : l’appartement permet d’organiser des réunions et de rencontrer des clients. Et s’il est utilisé pour des soirées de détente, c’est pour développer des liens plus étroits avec certains clients ou fournisseurs.

Et ce bien immobilier de luxe permet d’avoir une adresse plus prestigieuse et sert également de showroom, insiste la société, photos à l’appui.

Des photos qui ne prouvent rien au contraire, conteste l’administration, sachant qu’elles ne sont pas datées et qu’elles ne présentent que des espaces très restreints.

À l’inverse, tout prouve que l’appartement est destiné à des besoins personnels. Et prouve preuve :

• la présence d’une télévision ;
• une ligne téléphonique ouverte au nom du gérant ;
• des témoignages de salariés qui n’ont jamais fréquenté ce lieu.

Sauf que l’appartement a bel et bien été loué dans le cadre d’un bail commercial le destinant à un usage de bureau, que les loyers ont été soumis à la TVA et qu’elle a payé les taxes réservées aux locaux professionnels, rétorque la société.

« Sans incidence », tranche le juge qui valide le redressement fiscal : rien ne prouve ici que l’appartement est utilisé à des fins professionnelles.

Contrat de professionnalisation et aide exceptionnelle : c’est fini !

Pour mémoire, les pouvoirs publics avaient mis en place une aide exceptionnelle de 6000 € versée lors de la première année d’un contrat de professionnalisation pour les employeurs embauchant les jeunes de moins de 30 ans.

Étaient concernés les contrats suivants :

• les contrats visant la préparation d’un diplôme ou d’un titre à finalité professionnelle équivalent au plus à BAC +5 ;
• les contrats expérimentaux visant à favoriser l’accès à la certification et à l’insertion professionnelle dans les secteurs rencontrant des difficultés particulières de recrutement ;
• les contrats préparant à un certificat de qualification professionnelle.

Les entreprises de 250 salariés et plus devaient, en plus, atteindre un quota d’alternants à l’effectif pour en bénéficier.

Initialement, cette aide avait été prolongée pour les contrats conclus jusqu’au 31 décembre 2024.

Finalement et contrairement à ce qui avait été prévu, cette aide prendra fin de manière anticipée dès le 1^er mai 2024.

Ainsi, seuls les contrats conclus jusqu’au 30 avril 2024 continueront d’ouvrir droit à l’aide dans les conditions actuelles.

Notez toutefois que cette fin anticipée ne concerne pas les aides versées à l’occasion de la conclusion du contrat d’apprentissage qui perdurent jusqu’au 31 décembre 2024.

Fractionnement de la prime de valeur : une clarification bienvenue !

Pour mémoire, dans son régime initial, la loi prévoyait que l’employeur ne pouvait verser qu’une seule PPV avec possibilité de la payer en plusieurs fois, dans la limite de 4 fractions (une par trimestre).

Depuis le 1^er décembre, il est désormais possible pour les employeurs de verser 2 PPV au titre d’une même année civile et dans la limite d’un versement par trimestre en cas de fractionnement.

Cette possibilité de doublement de la prime partage de la valeur ne s’accompagne toutefois pas d’un rehaussement du plafond d’exonération jusqu’alors applicable.

En d’autres termes, leurs montants cumulés sont exonérés de cotisations sociales et fiscales dans une limite globale de 3 000 € ou 6 000 € par an, selon les cas.

Certains employeurs souhaitant verser plusieurs PPV fractionnées se posaient donc la question de savoir s’il était possible de verser deux fractions au cours d’un même trimestre (une au titre de chaque PPV) ou si le versement fractionné de 2 PPV ne devait pas conduire à plus d’un versement par trimestre, en l’état des textes.

Un accompagnement des entreprises durant l’organisation des JO :

Pour minimiser les conséquences des JO 2024 sur les entreprises tout en assurant la continuité de l’activité, le ministère du Travail invite les entreprises à adapter leur organisation de travail.

Parmi les mesures proposées, il recommande notamment d’adapter les horaires de travail en fonction des pics d’affluence dans les transports en proposant aux salariés de venir travailler sur des plages horaires décalées, à l’instar des mesures mises en place pendant les périodes de canicule.

Le ministère préconise également de faire en sorte, autant que possible, de permettre aux salariés de bénéficier des jours de repos (RTT, congés payés…) durant toute la durée des JO afin de limiter les déplacements physiques des salariés.

Dans le même esprit, il est également rappelé la possibilité de recourir au télétravail de façon exceptionnelle en recourant ou mobilisant les éventuelles souplesses prévues conventionnellement à cet effet.

Enfin, il est également rappelé l’ensemble des règles d’ordre public s’agissant de la durée maximale de travail pour les entreprises directement impliquées dans la mise en place et la tenue de ces JO.

Pour tous ces éléments intéressant l’organisation de travail, le ministère rappelle les modalités conventionnelles à respecter ainsi que l’obligation de consultation des instances représentatives du personnel lorsqu’elles existent.

D’ores et déjà, les entreprises sont donc invitées à organiser des concertations avec les acteurs dédiés pour répondre au mieux aux situations.

Pas assez de choix lors de l’installation des cookies sur internet ?

Le Règlement général sur la protection des données (RGPD) prévoit que tout traitement de données à caractère personnel ne peut être fait qu’en vertu d’une liste limitative de bases légales.

Parmi celles-ci se trouve le consentement au traitement des données de la personne concernée.

C’est notamment la base légale qui est utilisée lorsque le visiteur d’un site internet consent à l’installation de cookies sur son appareil.

Mais plusieurs autorités nationales européennes s’interrogent sur la validité de ce consentement face au développement d’une nouvelle pratique des sites proposant l’installation de cookies.

Certains sites proposent ainsi deux options :

• consentir à l’installation des cookies et au traitement de ses données ;
• refuser l’installation des cookies en souscrivant à une option payante.

Pour les autorités nationales, il y a ici de quoi remettre en question la validité du consentement donné par les visiteurs.

C’est pourquoi elles ont sollicité l’avis du Comité européen de la protection des données (CEPD) sur cette pratique.

Pour le Comité, il apparaît effectivement qu’un doute existe sur la validité du consentement donné, notamment lorsque le tarif de l’option payante est élevé et fait donc apparaitre l’acceptation des cookies comme une option par défaut.

Le Comité recommande l’adoption d’une troisième alternative gratuite et sans traitement de données personnelles, avec par exemple la présence de publicités non ciblées.

Le CEPD indique qu’il publiera prochainement des lignes directrices plus élaborées pour proposer des alternatives au choix binaire du « Consentir ou payer ».

Simple erreur de plume = mise en demeure régulière ?

Parce qu’il n’a pas déposé ses déclarations d’ensemble de revenus, un entrepreneur reçoit une mise en demeure de régulariser la situation, ce que l’entrepreneur n’a pas fait et ce qui lui vaut un redressement fiscal assorti d’une majoration pour défaut de dépôt de déclaration.

Sauf qu’après lecture attentive de la mise en demeure, l’entrepreneur relève une anomalie rendant, selon lui, la procédure de redressement irrégulière…

Ici, l’entrepreneur constate la présence d’une faute sur la date à laquelle les déclarations auraient dû être déposées, ce qui suffit, estime-t-il, à rendre la procédure irrégulière : la mise en demeure indique, par erreur, une date limite de déclaration qui est celle de la déclaration des bénéfices industriels et commerciaux, et non celle de la déclaration de revenu global.

Une simple erreur de plume qui n’affecte en rien la régularité de la procédure, conteste l’administration, d’autant que la mise en demeure mentionne expressément qu’elle concerne la déclaration de revenu global, et non la déclaration des bénéfices industriels et commerciaux.

Ce que confirme le juge : la mise en demeure faisant bien référence à la déclaration de revenu global, elle a effectivement permis à l’entrepreneur d’avoir connaissance de la nature de la déclaration litigieuse. La procédure de redressement n’est donc pas irrégulière !

Déclaration d’emploi des travailleurs handicapés pour 2024 : rappels utiles

Les entreprises d’au moins 20 salariés ont l’obligation d’embaucher des travailleurs handicapés (OETH) à hauteur de 6% de leur effectif annuel moyen.

Pour s’assurer du respect de cette obligation, les entreprises éligibles sont tenues de déclarer annuellement à la caisse de cotisations sociales dont elles dépendent le nombre de salariés reconnus comme tels.

Pour 2024, cette déclaration devra se faire via la DSN d’avril le 6 ou le 15 mai.

Notez que l’URSSAF a d’ores et déjà envoyé aux entreprises l’ensemble des informations utiles à cette déclaration.

Ainsi, pour vous accompagner dans vos démarches, l’Urssaf et l’Agefiph s’associent pour vous proposer un outil d’e-learnig, à retrouver sur le site de l’AGEFIPH.