Contrôles de la Cnil 2024 : 4 points de vigilance

Chaque début d’année, la Commission nationale de l’informatique et des libertés (Cnil) publie la liste des sujets dont elle fera une priorité lors de ses contrôles auprès des entités traitant des données à caractère personnel.

La Commission vient de publier ses objectifs pour l’année 2024. Elle concentrera son attention sur 4 sujets qui représenteront au minimum 30 % des contrôles effectués par ses soins.

La Cnil annonce qu’à cette occasion, elle sera particulièrement vigilante aux mesures mises en place pour assurer la sécurité de l’évènement, notamment en ce qui concerne :

La Commission ajoute qu’elle se penchera également sur l’aspect commercial des Jeux. En effet, le volume extrêmement important de données qui seront échangées, ne serait-ce que par le biais des services de billetterie, justifie une vigilance toute particulière.

La Cnil indique que les contrôles liés aux données collectées en ligne et concernant des mineurs seront également renforcés. Elle s’intéressera tout particulièrement aux réseaux sociaux prisés des jeunes, afin de garantir que leurs droits sont respectés et que l’utilisation faite de leurs données est conforme.

La Commission s’intéressera aux pratiques de la grande distribution, c’est-à-dire aux :

• programmes de fidélité qui permettent aux professionnels d’obtenir beaucoup d’informations sur les habitudes de consommation de leurs clients ;
• données traitées à l’occasion de la transmission de tickets de caisse dématérialisés.

En coopération avec les autres autorités nationales de l’Union européenne et le Comité européen pour la protection des données (CEPD), la Cnil sera amenée à participer à une campagne globale visant à analyser les pratiques en matière de droit d’accès des personnes à leurs données détenues par des responsables de traitement. Par cette action, l’ensemble des autorités locales entendent améliorer leur coopération et harmoniser leurs pratiques.

Télécharger votre permis de conduire sur France Identité : mode d’emploi

Depuis le 14 février 2024, il est possible d’enregistrer votre permis de conduire dans l'application France Identité et de le présenter dans sa version dématérialisée lors d’un contrôle routier. L’objectif affiché est ici de simplifier les usages de la route.

Il sera aussi possible prochainement d’utiliser ce permis de conduire digital pour les démarches en ligne ou comme pièce justificative dans le cadre d’une location de véhicule.

Pour rappel, France Identité est un service gratuit (et facultatif), ouvert aux personnes majeures, qui permet de prouver son d’identité et qui fonctionne grâce à la nouvelle carte d’identité (ce qui implique donc d’être titulaire de cette carte d’identité au format carte bancaire, délivrée depuis 2021).

Le téléchargement de cette application est possible sur Android et iOS, mais suppose d’utiliser un téléphone Android 8 minimum et disposant de la technologie NFC ou d’un iPhone iOS 16 minimum.

Pour importer votre permis de conduire dans votre smartphone, il faut :

• installer l’application France Identité ;
• numériser votre carte d’identité au format carte bancaire ;
• télécharger le relevé d’information restreint (RIR) depuis le site Mes Points Permis ;
• scanner le QR code du RIR depuis l’application : le permis est alors importé dans l’application.

Il est utile de préciser que l’accès à ce permis de conduire digital est possible pour les 2 types de permis aujourd’hui en circulation, à savoir le permis rose à 3 volets (encore valable jusqu’au 19 janvier 2033) ou le permis en format carte bancaire.

Résolution du plan de continuité et liquidation judiciaire : comment ça marche ?

Pour rappel, le redressement judiciaire est une procédure collective qui permet à une société ou à un entrepreneur de poursuivre son activité malgré son état de cessation des paiements, c’est-à-dire son impossibilité de payer ses dettes exigibles avec son actif disponible.

La situation est alors grave, mais pas irrémédiable… Si de bonnes raisons laissent penser qu’elle peut être redressée, le juge met en place un plan de redressement judiciaire, aussi appelé plan de continuation.

L’objet de ce plan ? Maintenir l’activité tout en payant au fur et à mesure les dettes. Pour cela il peut par exemple prévoir des remises de dettes ou des délais de paiement consentis par les créanciers. Il contient également les mesures que le débiteur doit mettre en place : cesser une branche d’activité pour se concentrer sur une autre, plus prometteuse, réorienter sa stratégie commerciale, licencier certains salariés, etc.

Bien entendu, le dirigeant doit rendre compte de la bonne application du plan auprès d’un mandataire désigné par le juge. Mais que se passe-t-il s’il n’applique pas correctement le plan ? C’est la question qui s’est posée dans une affaire récente.

Une société est mise en redressement judiciaire et un plan de continuité de l’activité est élaboré. Mais parce que la société n’applique pas le plan, le mandataire, chargé de veiller à sa bonne exécution, demande au juge la résolution du plan, autrement dit d’y mettre fin… et de placer la société en liquidation judiciaire !

« Pourquoi ? », s’étonne la société qui ne comprend ni la demande de résolution du plan, ni la mise sous liquidation judiciaire.

« Simple ! », répond le mandataire : la société n’a pas respecté le plan et n’est pas en mesure de payer ses dettes.

Dernier point qui serait faux, selon la société, qui explique avoir les fonds nécessaires pour payer ce qu’elle doit.

« Fonds très hypothétiques… », doute le mandataire.

Mais l’argument du mandataire est insuffisant aux yeux du juge. Ce n’est pas parce que le plan n’a pas été respecté que la liquidation judiciaire doit être enclenchée : encore faut-il caractériser l’état de cessation des paiements, ce qui n’est pas le cas ici !

En revanche, parce que la société n’a pas respecté les règles du plan de redressement, ce dernier doit bien être résolu !

Durée de conservation des données : un besoin de cohérence

Afin de veiller au bon respect de la réglementation en matière de protection des données à caractère personnel, la Commission nationale de l’informatique et des libertés (Cnil) est habilitée, après des plaintes ou de sa propre initiative, à effectuer des contrôles auprès d’entités traitant des données.

Dans ce contexte, elle a effectué plusieurs contrôles auprès d’une société exploitant un site internet permettant aux particuliers de publier et de consulter des annonces immobilières.

Lors de ces contrôles, plusieurs manquements sont constatés, mais l’un en particulier mérite d’être détaillé : il s’agit d’une problématique liée à la durée de conservation des données.

En effet le site indiquait garder en archive les données personnelles pendant 10 ans pour les clients utilisant des services payants, et pendant 5 ans pour ceux utilisant les services gratuits.

D’une part, il a été constaté que les durées de conservations annoncées n’étaient pas respectées. D’autre part, la Commission rappelle qu’au-delà de devoir informer les utilisateurs sur la durée de conservation, il faut également que cette durée soit justifiée au regard de l’utilisation qui est faite des données.

Or ici, la durée annoncée de 10 ans ne reposait sur aucune justification cohérente.

Résultat : une amende de 100 000 € a été prononcée à l’encontre de la société !

Évaluation des risques : un outil simple, interactif, gratuit et personnalisé !

Si la loi n’impose aucun formalisme particulier, toutes les entreprises doivent se doter d’un document unique d’évaluation des risques professionnels.

Pour faciliter sa conception, le site de l’Assurance Maladie ainsi que l’Institut national de recherche et de sécurité (INRS) proposent gratuitement un outil d’évaluation des risques professionnels adapté à chaque secteur d’activité.

Cet outil, qui prend la forme d’un questionnaire anonyme, est structuré à partir des situations les plus récurrentes dans une trentaine de secteurs d’activité différents.

Après avoir renseigné une adresse électronique ainsi qu’un mot de passe, cet outil vous permettra d’identifier et d’estimer chaque situation de risque professionnel et d’y associer un niveau de priorité, notamment au regard de la récurrence ou d’une éventuelle récurrence du risque.

Ensuite, il vous permettra d’établir un plan d’action afin de définir des solutions de prévention adaptées pour chaque risque professionnel.

Enfin, vous pourrez télécharger et imprimer 4 types de rapport :

• un rapport texte récapitulant les situations de risques et mesures de prévention associées ;
• un plan d’action reclassant par ordre de priorité toutes les mesures de prévention programmées ;
• une vue d’ensemble des risques listant tous les risques identifiés, pour contrôler si les risques et mesures sont gérés correctement ;
• une vue d’ensemble des mesures permettant de lister l’ensemble des mesures à mettre en œuvre afin d’assurer le suivi du plan d’action dans les 3 prochains mois.

Méthode sommaire : ça reste à prouver !

Une société espagnole fait l’objet d’un contrôle fiscal à l’occasion duquel l’administration s’aperçoit que son activité d’achat-vente de champignons exercée en France n’a pas été déclarée, ce qui lui permet de lui réclamer le paiement d’un supplément de TVA.

Un supplément qu’elle calcule après avoir reconstitué le chiffre d’affaires de la société. Mais la méthode utilisée par l’administration va être sujette à discussion…

L'administration se fonde, notamment, sur les recettes figurant sur les comptes bancaires de la société, sur les factures émises par ses clients (qui n’apparaissaient pas sur lesdits comptes) et sur le compte de résultats espagnol de la société.

Mais la société conteste cette méthode qu’elle juge trop « sommaire » : l’administration se contente de retenir soit les recettes, soit les charges de telle ou telle année de la comptabilité espagnole. En outre, la circonstance que l’administration ai choisi d’appliquer, suite aux observations émises par la société, un coefficient d’achat-revente inférieur à celui retenu initialement est de nature à prouver qu’elle a elle-même reconnu le caractère sommaire de sa méthode.

« Insuffisant », tranche le juge qui donne raison à l’administration. Rien ne prouve ici le caractère « sommaire » de la méthode de reconstitution du chiffre d’affaires retenue par l’administration.

Le redressement fiscal est donc parfaitement justifié.

DOETH : le calendrier de l’Urssaf dévoilé

Pour mémoire, les entreprises qui comptent plus de 20 salariés et qui n’embauchent pas de travailleurs handicapés à hauteur d’au moins 6 % de leur effectif sont redevables d’une contribution financière à l’Urssaf.

Ainsi, pour établir la déclaration relative à l’emploi des travailleurs handicapés (DOETH), les Urssaf et la MSA transmettent au plus tard le 15 mars de l’année suivant celle de l’obligation d’emploi (OETH) les informations utiles.

Parmi ces informations on retrouve :

• l’effectif d’assujettissement ;
• le nombre de personnes devant être employées au titre de l’OETH ;
• le nombre de personnes employées à ce titre (hors salariés mis à disposition et groupements d’employeurs) ;
• le nombre de salariés relevant d’un emploi exigeant des conditions d’aptitudes particulières.

Et justement ! Cette année l’Urssaf annonce qu’elle notifiera :

• les effectifs de travailleurs handicapés 2023, nécessaires à l’établissement de la DOETH, le 15 mars 2024 ;
• les effectifs de contrats favorisant l’insertion professionnelle de l’année 2023, pour les entreprises de 250 salariés et plus assujetties à la contribution supplémentaire à l’apprentissage, le 29 février 2024.

Cela signifie concrètement que la DOETH 2023 et le paiement de la contribution financière éventuellement due devront être réalisés via la DSN d’avril 2024.