Taxe GAFA : pour quoi ?

Mise à disposition d’une interface numérique. Est visée par la taxe GAFA la mise à disposition, par voie de communications électroniques, d'une interface numérique qui permet aux utilisateurs d'entrer en contact avec d'autres utilisateurs et d'interagir avec eux, notamment en vue de la livraison de biens ou de la fourniture de services directement entre ces utilisateurs.

Toutefois, la mise à disposition d'une interface numérique n'est pas un service taxable :

• dès lors que les interactions entre les utilisateurs de l’interface présentent un caractère accessoire par rapport à la fourniture, au moyen de l’interface, par le gestionnaire de cette dernière, d’un ou de plusieurs des éléments suivants : 
  • contenus numériques, sans préjudice de l’assujettissement de ces contenus à la taxe lorsqu’ils constituent par eux-mêmes une interface numérique distincte de celle au moyen de laquelle ils sont fournis ; 
  • services de communications ; 
  • services de paiement ; 
• lorsque l'interface numérique est utilisée pour gérer les systèmes et services suivants : 
  • les systèmes de règlements interbancaires ou de règlement et de livraison d'instruments financiers ;
  • les plateformes de négociation ou les systèmes de négociation des internalisateurs systématiques ; 
  • les activités de conseil en investissements participatifs, et, s'ils facilitent l'octroi de prêts, les services d'intermédiation en financement participatif ;
  • les autres systèmes de mise en relation, dont l'activité est soumise à autorisation et l'exécution des prestations soumise à la surveillance d'une autorité de régulation en vue d'assurer la sécurité, la qualité et la transparence de transactions portant sur des instruments financiers, des produits d'épargne ou d'autres actifs financiers ; 
• lorsque l'interface numérique a pour objet de permettre l'achat ou la vente de prestations visant à placer des messages publicitaires.

Les services publicitaires. Sont également visés les services publicitaires commercialisés auprès des annonceurs, ou de leurs mandataires, visant à placer sur une interface numérique des messages publicitaires ciblés en fonction de données relatives à l'utilisateur qui la consulte et collectées ou générées à l'occasion de la consultation de telles interfaces.

Exemples. Ces services peuvent notamment comprendre les services d'achat, de stockage et de diffusion de messages publicitaires, de contrôle publicitaire et de mesures de performance ainsi que les services de gestion et de transmission de données relatives aux utilisateurs.

Taxe GAFA : pour qui ?

Des seuils. Sont visées les entreprises, quel que soit leur lieu d'établissement, pour lesquelles le montant des sommes encaissées en contrepartie des services taxables lors de l'année civile précédente excède les 2 seuils suivants :

• 750 millions d'euros au titre des services fournis au niveau mondial ;
• 25 millions d'euros au titre des services fournis en France.

La France s'entend du territoire national, à l'exception des collectivités d’Outre-mer, de la Nouvelle-Calédonie, des Terres australes et antarctiques françaises et de l'île de Clipperton.

Taxe GAFA : combien ?

Quand ? La taxe devient exigible à l'achèvement de l'année civile au cours de laquelle l'entreprise a encaissé des sommes en contrepartie de la fourniture en France de services taxables.

Quel taux ? La taxe prévue est calculée au taux de 3 % sur la base du montant, hors taxe, des sommes encaissées par le redevable lors de l'année au cours de laquelle la taxe devient exigible, en contrepartie d'un service taxable fourni en France.

Déclaration et paiement. La taxe est déclarée et payée selon les mêmes modalités que la TVA, sous forme d’acomptes : un 1er acompte est versé lors de la déclaration de la taxe devenue exigible l’année précédente, le 2nd acompte est versé, pour les redevables relevant du régime réel normal, en même temps que le TVA due au titre du mois de septembre et, pour les autres redevables, au plus tard le 25 octobre.

Plateforme web : une définition

Qu’est-ce qu’une plateforme web ? Pour mémoire, la Loi définit comme opérateur de plateforme web « toute personne physique ou morale proposant, à titre professionnel, de manière rémunérée ou non, un service de communication au public en ligne ».

2 types de plateforme web. Il existe 2 types de plateforme, à savoir :

• la 1ère propose un service de communication au public en ligne reposant sur le classement ou le référencement, au moyen d'algorithmes informatiques, de contenus, de biens ou de services proposés ou mis en ligne par des tiers ;
• la 2nde propose un service de communication au public en ligne reposant sur la mise en relation de plusieurs parties en vue de la vente d'un bien, de la fourniture d'un service ou de l'échange ou du partage d'un contenu, d'un bien ou d'un service.

Plateforme web : des obligations à l’égard des travailleurs indépendants

Une responsabilité « sociale ». Une plateforme de mise en relation qui détermine les caractéristiques de la prestation de service fournie, ou du bien vendu, et qui en fixe le prix est tenue à une responsabilité sociale à l’égard des travailleurs indépendants qui recourent à ses services.

Prise en charge de cotisations… A cet égard, le travailleur indépendant qui réalise un chiffre d’affaires au moins égal à 13 % du plafond annuel de la sécurité sociale (soit 6027.84 € pour l’année 2024) bénéficie de la prise en charge, par la plateforme de mise en relation :

• d’une partie de sa cotisation à l’assurance couvrant les risques d’accident de travail, à moins que la plateforme de mise en relation propose au travailleur un contrat comportant les mêmes garanties ; le taux de cette contribution dépendra du risque d’accident de l’activité ;
• des frais d’accompagnement à la validation des acquis de l’expérience (dans la limite de 3 % du PASS, , soit 1391.04 € pour l’année 2024) et d’une indemnité au titre de la participation à sa formation (dans la limite de 24 Smic horaires, soit 279.6 pour l'année 2024).

… sur demande du travailleur. Afin de bénéficier de la prise en charge de ces frais, le travailleur indépendant doit adresser à la plateforme de mise en relation une demande de remboursement. Il doit alors justifier des dépenses qu’il a exposées et du chiffre d’affaires total réalisé. Cette demande est gratuite et peut être effectuée par voie électronique. Les plateformes de mise en relation doivent informer leurs travailleurs indépendants de cette possibilité.

Un risque à connaître. L’administration sociale peut vous demander de communiquer des informations sur les travailleurs indépendants qui recourent à vos services (notamment concernant leur chiffre d’affaires). Le refus de communiquer les pièces réclamées est alors sanctionné par une pénalité de 5 000 €, qui s’applique pour chaque refus de communiquer ou pour chaque communication incomplète.

Obligation de transparence. De nouvelles obligations de transparence s’imposent, à compter du 1er janvier 2020, à ces plateformes vis-à-vis des travailleurs indépendants lorsque le chiffre d’affaires réalisés par un travailleur indépendant via la plateforme excède un certain seuil (à définir par Décret), la plateforme devra abonder son compte personnel de formation.

Obligations spécifiques aux plateformes de mobilité. Depuis le 1er mars 2021, les plateformes de VTC et de livraison de marchandises doivent communiquer préalablement aux travailleurs, lorsqu’elles leur proposent une prestation (et donc une opération de transport), la distance couverte par cette prestation, la destination et le prix minimal garanti dont ils bénéficieront, déduction faite des frais de commission et, à cet égard, publier sur leur site Internet des indicateurs relatifs à la durée d'activité et au revenu d'activité au titre des activités des travailleurs en lien avec la plateforme, au cours de l'année civile précédente (indicateurs qui seront définis par Décret).

Distance à mentionner (plateformes de mobilité). La distance qu’elle doit indiquer correspond à la longueur indicative en kilomètres de l'itinéraire routier le plus direct entre l'adresse du lieu de prise en charge de la personne ou de la marchandise à transporter ou les coordonnées GPS de ce lieu, et l'adresse de destination ou ses coordonnées GPS.

Prix minimal garanti (plateformes de mobilité). Le prix minimal garanti correspond au montant minimal, exprimé en euros, garanti par la plateforme au travailleur en contrepartie de la prestation de transport effectuée, déduction faite des frais de commission, lorsque la plateforme en prélève sur le prix payé par le consommateur.

Prix minimal garanti (plateformes de mobilité) : précisions. Lorsque la plateforme ne prélève pas de frais de commission au titre de sa prestation d'intermédiation, mais commande une prestation de transport au conducteur, le « prix minimal garanti » est le montant minimal, exprimé en euros, que la plateforme lui garantit s'il exécute cette prestation. La plateforme doit préciser si ce prix minimal inclut ou non la taxe sur la valeur ajoutée due, le cas échéant, par le conducteur au titre de sa prestation de transport.

Communication des informations. Ces informations doivent être présentées de manière loyale ; elles doivent être lisibles, claires, non-équivoques et facilement accessibles par le travailleur et lui sont communiquées par tout moyen permettant de conférer date certaine au travailleur.

Droits des travailleurs inscrits sur les plateformes de mobilité. Les travailleurs peuvent refuser une proposition de prestation sans faire l'objet d'une quelconque pénalité (la plateforme ne peut pas, notamment, suspendre ou mettre fin à la relation contractuelle dans ce cas).

Obligations des plateformes. Jusqu’ici, il était indiqué que les travailleurs choisissaient leurs plages horaires d'activité et leurs périodes d'inactivité et pouvaient se déconnecter durant ces plages horaires, sans que les plateformes ne puissent mettre fin à leur relation contractuelle pour cette raison. Cette indication à destination des travailleurs s’est, depuis le 8 avril 2022, transformée en obligation pour les plateformes qui doivent assurer ces droits aux travailleurs. De plus :

• l'utilisation d'un matériel ou d'un équipement déterminé ne peut plus être imposée à un travailleur indépendant (sous réserve des obligations légales relatives, notamment, à la santé, la sécurité et la préservation de l'environnement) ;
• les travailleurs indépendants peuvent, désormais, recourir simultanément à plusieurs intermédiaires ou acteurs de mise en relation avec des clients, afin de réaliser des prestations ou de commercialiser les services de transport qu'ils exécutent ;
• les travailleurs indépendants déterminent librement leur itinéraire en fonction, notamment, des conditions de circulation, de l'itinéraire proposé par la plateforme et du choix du client.

Absence de sanction. Il est prévu que les plateformes ne puissent ni suspendre, ni mettre fin à leur relation contractuelle avec les travailleurs qui exerceraient ces droits. De plus, elles ne peuvent pas non plus, pour ce motif, engager leur responsabilité contractuelle ou mettre en place des mesures de nature à les pénaliser.

Une charte spécifique. Par ailleurs, les plateformes de VTC et de livraison de marchandises peuvent, dans le cadre de leur responsabilité sociale à l'égard des travailleurs, établir une charte définissant leurs droits et obligations ainsi que ceux des travailleurs avec lesquels elles sont en relation. Cette charte doit alors préciser notamment :

• les conditions d’exercice de l’activité professionnelle des travailleurs (mise en relation avec les utilisateurs, régulation du nombre de connexions simultanées, etc.) qui garantiront le caractère non exclusif de la relation entre les travailleurs et la plateforme et la liberté pour les travailleurs d’y avoir recours et de se connecter ou se déconnecter, sans que soient imposées des plages horaires d’activité ;
• les modalités permettant aux travailleurs d’obtenir un prix décent pour leur prestation de services  ;
• les modalités de développement des compétences professionnelles et de sécurisation des parcours professionnels ;
• les mesures visant à améliorer les conditions de travail et à prévenir les risques professionnels auxquels les travailleurs peuvent être exposés en raison de leur activité, ainsi que les dommages causés à des tiers ;
• les règles de partage d’informations entre la plateforme et les travailleurs sur les conditions d’exercice de leur activité professionnelle ;
• les modalités selon lesquelles les travailleurs sont informés de tout changement relatif aux conditions d’exercice de leur activité professionnelle ;
• la qualité de service attendue, les modalités de contrôle par la plateforme de l’activité et de sa réalisation et les circonstances qui peuvent conduire à une rupture des relations commerciales, ainsi que les garanties dont le travailleur bénéficie dans ce cas ;
• le cas échéant, les garanties de protection sociale complémentaire négociées par la plateforme et dont les travailleurs peuvent bénéficier.

A noter. Cette charte, si elle est mise en place, doit :

• faire l’objet d’une consultation des travailleurs indépendants puis d’une homologation par la direction générale du travail (DGT), via le site : https://demarches-simplifiees.fr ;
• être publiée sur le site Internet de la plateforme ;
• être annexée aux contrats ou aux conditions générales d’utilisation qui la lient aux travailleurs indépendants.

Homologation de la charte. La DGT doit notifier à la plateforme sa décision d'homologation ou son refus dans un délai de 4 mois à compter de la réception de la charte. A défaut de réponse dans ce délai, la charte est réputée homologuée.

Une formule à publier ! Lorsque la charte de responsabilité sociale est homologuée, la plateforme le mentionne, sur son site internet et sur la charte annexée aux contrats ou aux conditions générales d'utilisation qui la lient aux travailleurs, selon la formule suivante : « En application de l'article L. 7342-9 du code du travail, la présente charte de responsabilité sociale a été homologuée par décision administrative du [date]. »

En cas de litige. Les litiges relatifs à la validité de la charte, à son homologation ou au refus d’homologation ne peuvent être portés que devant le tribunal judiciaire de Paris.

Attention, pour information. Une plateforme web a été reconnue comme employeur d’un coursier qui exerçait pourtant en qualité de travailleur indépendant : elle donnait effectivement de directives, pouvait en contrôler l’exécution via le dispositif de géolocalisation des livreurs et sanctionner leurs manquements en appliquant des pénalités, voire en résiliant le contrat.

Concrètement. Un chauffeur qui ne constitue aucune clientèle propre, ne fixe pas librement ses tarifs ni les conditions d’exercice de sa prestation de transport, qui sont entièrement régis par la plateforme Web, n’a pas la qualité de travailleur indépendant. Mais, s’il a intégré un service de prestation de transport créé et entièrement organisé par la plateforme Web, il en est salarié.

Protection sociale. Certains travailleurs indépendants bénéficient, depuis 2021, d’une protection supplémentaire avec l’organisation d’un dialogue social dans les secteurs :

• de conduite d'une voiture de transport avec chauffeur ;
• de livraison de marchandises au moyen d'un véhicule à 2 ou 3 roues, motorisé ou non.

Depuis le 1er janvier 2023. Il est prévu que les plateformes Web peuvent, depuis le 1er janvier 2023, proposer aux indépendants qui ont recours à leur service des prestations de protection sociale complémentaires :

• couverture du risque décès ;
• couverture des risques portant atteinte à l'intégrité physique de la personne ou liés à la maternité ;
• couverture des risques d'incapacité de travail ou d'invalidité ;
• couverture des risques d’inaptitude et du risque chômage ;
• constitution d'avantages sous forme de pensions de retraite, d'indemnités ou de primes de départ en retraite ou de fin de carrière.

Les modalités. Ces prestations devront bénéficier à titre collectif à l’ensemble des travailleurs de la plateforme et seront versées par :

• les mutuelles et unions pratiquant des opérations d'assurance, de réassurance et de capitalisation ;
• certaines institutions de prévoyance ;
• des entreprises pouvant pratiquer des opérations d’assurance directe.

Choix d’affiliation. Les travailleurs indépendants pourront opter pour une affiliation au régime général de la sécurité sociale dans les mêmes conditions et limites que celles prévues pour les particuliers exerçant une très petite activité (revente de biens artisanaux et prestations de services ponctuelles) dont les recettes ne dépassent pas 1 500 € par an.

Dialogue social. Dorénavant, les travailleurs indépendants bénéficient d’une protection supplémentaire avec l’organisation d’un dialogue social de secteur.

Pour quelles activités ? Un dialogue social est organisé entre les plateformes et les travailleurs indépendants qui y recourent, au niveau de chacun des secteurs d'activité suivants :

• activités de conduite d'une voiture de transport avec chauffeur ;
• activités de livraison de marchandises au moyen d'un véhicule à deux ou trois roues, motorisé ou non.

Plateforme web : travailleurs indépendants et données personnelles

Bon à savoir. Les travailleurs indépendants recourant aux plateformes Web pour être mis en relation avec des clients vont bénéficier d’un droit d’accès à l’ensemble des données récoltées dans le cadre de leur activité.

Quelles données ? (1) Les données personnelles pouvant être transférées doivent impérativement se rapporter à l’activité professionnelle du travailleur indépendant utilisant ces plateformes web. Elles doivent provenir de sources déterminées. Ainsi, il peut s’agir de données :

• communiquées par le travailleur ou engendrées par l’activité du travailleur au sein de la plateforme ;
• fournies par des tiers ;
• créées par la plateforme à partir des données communiquées ou fournies afin de les rendre lisibles, par exemple en les présentant sous forme de moyennes.

Quelles données ? (2) Les différents types de données personnelles pouvant être transférées par les travailleurs indépendants sont également limitées. Il doit uniquement s’agir de données relatives :

• à l’immatriculation ou l’inscription du travailleur en tant que travailleur indépendant ;
• à la date à laquelle le travailleur est entré en relation avec la plateforme ;
• aux prestations effectuées par le travailleur par l’intermédiaire de la plateforme : nature, nombre et, le cas échéant, lorsque la nature des prestations le justifie, durée, plage horaire, secteur géographique, distance moyenne ;
• au montant des revenus d’activité versé en contrepartie des prestations (déduction faite des frais de commissions) ;
• le cas échéant, aux évaluations des prestations effectuées au cours des 12 derniers mois ;
• le cas échéant, aux données personnelles détenues par la plateforme attachées à l’exercice de la responsabilité sociale qui lui incombe :
  • montant de la contribution à la formation professionnelle pris en charge par la plateforme au cours de la dernière année civile écoulée ;
  • montant cumulé des contributions prises en charge par la plateforme au titre des années précédant la dernière année écoulée ;
  • intitulé des actions permettant de faire valider les acquis de l’expérience auxquelles le travailleur a participé au cours de la dernière année civile écoulée et intitulé des formations suivies ;
  • montant de l’abondement au compte personnel de formation.

Format des données. Le travailleur indépendant a le droit de recevoir et de transférer les données personnelles le concernant dans un format structuré (c’est-à-dire qu’une autre application peut reconnaître et extraire les données), couramment utilisé et lisible par machine (c’est-à-dire qu’un logiciel peut extraire les données encodées dans les fichiers). Notez que ces formats sont principalement le JSON, ou encore le XML ou le CSV.

Transmission des données. Le travailleur indépendant doit également pouvoir transmettre ces données à un tiers sans que la plateforme y fasse obstacle. L’exercice de ce droit ne doit pas porter atteinte aux droits et libertés des tiers. Il a également le droit d’obtenir que ces données soient transmises directement d’une plateforme à une autre, lorsque cela est possible.

Rôle de la plateforme-web. La plateforme de mise en relation par voie électronique a la qualité de responsable du traitement des données, c’est à dire que c’est notamment elle qui détermine les finalités des données personnelles.

Précisions. A ce titre, elle doit permettre au travailleur de demander et d’obtenir, par requête unique, l’ensemble des données le concernant. Cette demande devra être effectuée par voie électronique, par un moyen permettant de conférer date certaine à sa réception par la plateforme.

Un délai ? Notez que la plateforme doit impérativement fournir les données demandées par le travailleur indépendant dans un délai d’un mois à compter de la réception de la demande.

Dispositions transitoires. Pour finir, à titre provisoire et pour permettre à l’ensemble des plateformes de se mettre en conformité, un délai est accordé : elles devront répondre à la demande de réception et de transfert des données personnelles du travailleur indépendant au plus tard le 18 octobre 2021.

Plateforme web : vers une représentation des travailleurs indépendants recourant aux plateformes ?

Création d’une nouvelle autorité. Le gouvernement vient de créer l’autorité des relations sociales des plateformes d’emploi (ARPE), un établissement public dédié notamment à la régulation des relations sociales entre plateformes et travailleurs indépendants qui recourent aux plateformes, ainsi qu’à la diffusion d’informations et à la concertation.

Missions. Les missions de cet organisme sont les suivantes :

• fixer, la liste des organisations représentatives des travailleurs en organisant, à cette fin, le scrutin ;
• assurer le financement des formations et l'indemnisation des jours de formation et des heures de délégation ;
• promouvoir auprès des représentants des travailleurs et des plateformes le développement du dialogue social et les accompagner dans l'organisation des cycles électoraux ;
• autoriser la rupture des relations commerciales entre les plateformes et les travailleurs disposant d'un mandat de représentation ;
• jouer un rôle d’observatoire de l’activité des plateformes numériques d’emploi ;
• assurer le paiement des indemnités versées aux travailleurs indépendants pour compenser la perte de chiffre d’affaires liée à l’exercice de leur mandat ;
• jouer un rôle médiation, sous conditions dans le cadre de différends relatifs à la mise en œuvre d’un accord collectif de secteur (en proposant un processus structuré afin de parvenir à un accord).

Organisation de l’Autorité. L'Autorité des relations sociales des plateformes d'emploi est administrée par un conseil d'administration et dirigée par un directeur général. Le conseil d'administration comprend, outre son président, des représentants de l'Etat, un député et un sénateur, des représentants des organisations de travailleurs représentatives au niveau des secteurs et des représentants des plateformes. Il comprend également des personnalités qualifiées désignées en raison de leur compétence en matière d'économie numérique, de dialogue social et de droit commercial.

Compétences de l’ARPE. Pour l'accomplissement des missions qui lui sont confiées, l'Autorité peut :

• demander à se faire communiquer tout document en possession des plateformes, nécessaire à l'exercice de ses missions, notamment pour l'examen des demandes d'autorisation de rupture du contrat commercial ;
• demander l'audition de toute personne susceptible de contribuer à son information.

Quel financement ? Le financement des missions exercées par l'ARPE est assuré par une taxe acquittée par les plateformes.

Obligation de publication d'indicateurs

Une obligation conditionnée. Certaines plateformes Web doivent publier sur leur site internet des indicateurs relatifs à la durée et au revenu d’activité des travailleurs (généralement indépendants) ayant eu recours à leurs services au cours de l’année civile précédente. Cette publication doit être faite de manière loyale, claire et transparente, avant le 1er mars de chaque année. Exceptionnellement, la publication au 1er mars 2022 couvrira la période comprise entre le 1er septembre 2021 et le 31 décembre 2021.

Pour qui ? Les plateformes concernées par cette obligation sont celles qui permettent aux travailleurs d’exercer une activité :

• de conduite d’une voiture de transport avec chauffeur ;
• de livraison de marchandises au moyen d’un véhicule à 2 ou 3 roues, motorisé ou non.

Des indicateurs précis. La durée d'activité et le revenu d'activité comprennent 7 indicateurs qui peuvent varier en fonction des plages horaires et jours concernés, mais également selon les catégories de travailleurs. Vous pouvez retrouver le détail complet de ces indicateurs, ainsi que leurs modalités de calcul, ici.

Des sanctions. Les plateformes n’ayant pas publié ces indicateurs s’exposent au paiement d’une amende d’un montant pouvant aller jusqu’à 38 € pour chaque travailleur auquel il est proposé une prestation.

Certification des plateformes de résolution des litiges en ligne : pourquoi ?

Les plateformes de résolution des litiges en ligne peuvent obtenir une certification, qui a pour but d’installer un climat de confiance pour ceux qui veulent utiliser ces plateformes.

Information du ministère de la Justice. Les organismes certificateurs doivent informer sans délai le ministère de la Justice de la délivrance, de la suspension ou du retrait de la certification.

La liste actualisée des plateformes de résolution des litiges certifiées est publiée sur le site justice.fr.

Logo. Les plateformes de résolution des litiges dont le certificat est en cours de validité peuvent apposer sur leur site Web le logo attestant de leur certification.

Certification des plateformes de résolution des litiges en ligne : comment ?

Qui délivre la certification ? La certification est délivrée par un organisme certificateur.

Pour obtenir la certification, les plateformes de résolution des litiges en ligne doivent s’adresser à un organisme certificateur par tout moyen de communication de nature à donner date certaine à leur saisine (une lettre recommandée avec accusé de réception, par exemple).

Traitement de la demande. L'organisme certificateur doit informer le demandeur du délai prévisible de traitement de sa demande et des modalités de l'audit mis en œuvre en vue de la certification.

RGPD : une guide pratique évolutif pour les développeurs

Pour qui ? Le guide élaboré par la CNIL s’adresse principalement aux développeurs travaillant seuls ou en équipe, aux chefs d’équipe, aux prestataires, mais également à toute personne s’intéressant au développement web ou applicatif.

Pour quoi ? Il comporte des conseils et des bonnes pratiques destinés aux développeurs et offre ainsi des clés de compréhension du Règlement Général sur la Protection des Données (RGPD).

Où le trouver ? Le guide est disponible en 2 versions :

• une version sur le site de la CNIL ;
• une version GitHub, qui offre la possibilité à tous d’y contribuer.

Une contribution possible… Il est possible de contribuer à l’enrichissement de ce guide. Pour cela, il faut s’inscrire sur la plateforme Github. Sur la page web consacrée au guide il faut :

• utiliser l’onglet « Issue » pour ouvrir des commentaires ou participer à la discussion ;
• utiliser l'option « Fork » pour faire vos propres modifications et proposer leur inclusion via le bouton « Pull Requests ».

Examen de la contribution. La proposition de contribution au guide est examinée par la CNIL pour validation.

RGPD : quel est le contenu du guide pour les développeurs

Un contenu décomposé en fiches pratiques. Le guide pour les développeurs comporte 17 fiches pratiques qui couvrent la plupart des besoins des développeurs pour les accompagner à chaque étape de leur projet, de la préparation du développement à la mesure de l’audience.

Quels sont les thèmes des 17 fiches pratiques ? Les thèmes des fiches pratiques sont les suivants :

• Développer en conformité avec le RGPD

Il s’agit d’une fiche générale rappelant les principes du RGPD.

• Identifier les données personnelles

Cette fiche donne des exemples de données personnelles (nom, prénom, adresse IP, photos, etc.) et rappelle l’existence des processus d’« anonymisation » et de « pseudonymisation » des données pour les protéger.

• Préparer son développement

Cette fiche rappelle que, selon la méthodologie de développement retenue, il faut penser à intégrer des processus de sécurité pour s’assurer de la bonne protection des données personnelles.

L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) a publié un guide intitulé « AGILITÉ & SÉCURITÉ NUMÉRIQUES » à ce sujet.

• Sécuriser son environnement de développement

Cette fiche s’intéresse à la sécurité des serveurs de production, de développement, d'intégration continue, ainsi que des postes de travail des développeurs.

• Gérer son code source

Cette fiche rappelle qu’il est recommandé d’utiliser des outils de gestion de code source pour suivre dans le temps les différentes versions du site Web ou de l’application (par exemple, Subversion, Git ou Mercurial).

• Faire un choix éclairé de son architecture

Cette fiche évoque la conception de l'architecture du site Web ou de l’application. A cette étape, le développeur doit identifier les données personnelles qui seront collectées et définir un parcours et un cycle de vie pour chacune d'entre elles.

Le choix des supports de données (stockage local, serveur, service cloud) est une étape cruciale, qui doit être adaptée aux besoins du développeur, mais aussi à ses connaissances techniques. Le registre des activités de traitement et une analyse d'impact peuvent l’accompagner dans ce choix.

• Sécuriser vos sites web, vos applications et vos serveurs

Cette fiche donne des exemples de sécurisation des communications du site Web ou de l’application développé (par exemple, par LetsEncrypt).

Elle donne aussi des exemples de sécurisation des authentifications (via des mots de passe complexes) et des infrastructures (sauvegarde régulière, outil de gestion des vulnérabilités, accès restreints aux outils de développement, etc.).

• Minimiser les données collectées

Cette fiche rappelle que les développeurs, comme toutes personnes amenées à collecter des données personnelles, ne doit collecter que les données personnelles qui sont pertinentes et nécessaires.

• Gérer les utilisateurs

Cette fiche rappelle qu’il faut définir différents profils d'accès et d’habilitation afin que chaque personne ne puisse accéder qu'aux seules données dont elle a effectivement besoin.

• Maîtriser vos bibliothèques et vos SDK

Cette fiche évoque les kits de développement (« software development kits » ou « SDK » en anglais), et donne quelques conseils pour intégrer ces outils tout en gardant la maîtrise du développement du site Web ou de l’application.

• Veiller à la qualité de votre code et sa documentation

Cette fiche rappelle qu’il faut documenter le code et l’architecture du site Web ou de l’application afin de réduire la charge de maintenance une fois que le projet est terminé ainsi que réduire les bugs.

• Tester vos applications

Cette fiche rappelle que tester son produit permet de réduire les risques d’atteinte aux données personnelles. En outre, les données de test doivent elles aussi être protégées.

• Informer les personnes

Cette fiche rappelle le principe de transparence du RGPD qui exige que toute information ou communication relative au traitement de données à caractère personnel soit concise, transparente, compréhensible et aisément accessible en des termes simples et clairs.

• Préparer l'exercice des droits des personnes

Cette fiche rappelle que, pour qu’une personne dont des données collectées puisse utiliser l’un de ses droits (droit à l’effacement, droit d’opposition, droit à la portabilité de ses données, etc.), il faut que le développeur ait préalablement créé les outils qui lui permette d’en user.

• Gérer la durée de conservation des données

Le développeur doit prévoir la mise en place d’un outil de conservation et de suppression des données.

À titre d’exemple, les données relatives à la gestion de la paie ou au contrôle des horaires des salariés peuvent être conservées pendant 5 ans, les données figurant dans un dossier médical doivent être conservées 20 ans, les coordonnées d’un prospect ne répondant à aucune sollicitation peuvent être conservées pendant 3 ans, etc.

• Prendre en compte les bases légales dans l’implémentation technique

Cette fiche rappelle que pour pouvoir mettre en œuvre un traitement de données personnelles, il faut se référer à l’une des « bases légales » mentionnées par le RGPD.

La base légale d’un traitement est en quelque sorte la justification de l'existence même du traitement.

À titre d’exemple, pour le développement d’un site e-commerce, la base légale est le contrat conclu entre le client et le commerçant.

• Mesurer la fréquentation des sites web et des applications.

Cette fiche rappelle que les outils de mesures d’audience sont utilisés afin d’obtenir des informations sur la navigation des visiteurs sur un site Web ou une application mobile.

Utilisant des cookies, ils sont soumis à la règle du consentement. Notez que cette réglementation doit être renforcée dans les mois à venir.

Prestataires de services à la personne : de quelles prestations parle-t-on ?

2 types de prestataires à domicile. Concrètement, il existe 2 types de prestataires de services à la personne : ceux de « confort » à domicile (ménage ou garde d’enfant) et ceux d’accompagnement à domicile de personnes dépendantes (SAAD).

3 modalités d’intervention. Un prestataire de services peut intervenir de 3 manières, à savoir :

• le mode « prestataire » : un particulier fait appel à un organisme qui emploie des intervenants à domicile ; il est le client de l’organisme et non du prestataire ;
• le mode « mandataire » : le prestataire est un salarié du particulier ; les formalités administratives liées au droit social sont confiées à un organisme tiers ;
• le mode « mise à disposition » : un organisme recrute un intervenant à domicile qui est mis à la disposition des particuliers à titre onéreux ; en pratique, il s’agit d’un mode d’insertion professionnelle, rarement utilisé.

Prestataires de services à la personne : quelle réglementation ?

Plusieurs réglementations ? Comme il existe de multiples types de prestations de services à la personne, il existe plusieurs réglementations. Malgré tout, certaines obligations sont communes à tous les prestataires de services à la personne.

La réglementation commune. Les prestataires de services à la personne sont tenus par une obligation d’information précontractuelle. Concrètement, plusieurs informations doivent être mises à la disposition des clients sur le lieu d’accueil du public dans l’entreprise de prestation et sur le site Internet le cas échéant. Ces informations concernent le contenu des prestations proposées et le mode d’intervention du prestataire.

     =>  Pour en savoir plus, consultez notre fiche « Services à la personne : des informations précontractuelles obligatoires »

Les réglementations spécifiques. Les réglementations spécifiques concernent les SAAD. Concrètement, il existe 2 types de réglementations :

• l’une pour les SAAD habilités à intervenir auprès de personnes bénéficiaires de l’aide sociale ;
• l’autre pour les SAAD non habilités à intervenir auprès des personnes bénéficiaires de l’aide sociale.

SAAD habilités à intervenir auprès d’une personne bénéficiant de l’aide sociale. Un contrat doit être obligatoirement signé avec le particulier, appelé « document individuel de prise en charge » (DIPEC). Il définit notamment les objectifs et la nature de la prise en charge, contient la liste des prestations offertes, le tarif des prestations et les modalités de résiliation du contrat.

Autres documents obligatoires. En plus du DIPEC, les documents suivants doivent être fournis au particulier :

• le livret d’accueil de la structure ;
• la charte des droits et des libertés de la personne accueillie ;
• le règlement et le fonctionnement de la structure d’accueil.

Tarifs. Pour mémoire, les tarifs des prestations sont fixés, chaque année, par le Président du conseil départemental du lieu où est située la structure d’accueil.

SAAD non habilités à intervenir auprès d’une personne bénéficiant de l’aide sociale. Un contrat doit ici aussi être signé avec le particulier. Il est conclu pour une durée indéterminée et doit prévoir les conditions et les modalités de sa résiliation.

Tarifs. Les tarifs sont librement fixés à la signature du contrat. Toutefois, ils sont encadrés : ils varient, en effet, dans la limite d'un pourcentage fixé par le Gouvernement, tenant compte de l'évolution des salaires et du coût des services

En 2023. En 2023, les prix des prestations ne pourront pas augmenter de plus de 7,36 % par rapport à 2022.

Plateforme web : une obligation générale

Qu’est-ce qu’une plateforme web ? Pour mémoire, la Loi définit comme opérateur de plateforme web « toute personne physique ou morale proposant, à titre professionnel, de manière rémunérée ou non, un service de communication au public en ligne ».

2 types de plateforme web. Il existe 2 types de plateforme, à savoir :

• la 1ère propose un service de communication au public en ligne reposant sur le classement ou le référencement, au moyen d'algorithmes informatiques, de contenus, de biens ou de services proposés ou mis en ligne par des tiers ;
• la 2nde propose un service de communication au public en ligne reposant sur la mise en relation de plusieurs parties en vue de la vente d'un bien, de la fourniture d'un service ou de l'échange ou du partage d'un contenu, d'un bien ou d'un service.

De nombreuses obligations. Ces plateformes web doivent respecter de nombreuses obligations afin d’assurer que l’information donnée à l’utilisateur du site est délivrée de manière loyale, claire et transparente. La 1ère que vous devez connaître est générale et vaut pour toutes les plateformes web.

Obligation générale. Cette obligation générale oblige les opérateurs de plateforme web à préciser, dans une rubrique spécifique, les modalités de référencement, déférencement et de classement.

Une rubrique accessible. Cette rubrique, qui doit être directement et aisément accessible à partir de toutes les pages du site, comporte les informations suivantes :

• les conditions de référencement et de déréférencement des contenus et des offres de biens et services, notamment les règles applicables pour être référencé et les obligations dont le non-respect conduit à être déréférencé ;
• les critères de classement par défaut des contenus et des offres de biens et services, ainsi que leurs principaux paramètres ;
• le cas échéant, l'existence d'un lien capitalistique ou d'une rémunération entre l'opérateur de plateforme et les offreurs référencés dès lors que ce lien ou que cette rémunération exercent une influence sur le référencement ou le classement des contenus, des biens ou des services proposés ou mis en ligne.

À chaque résultat de classement. Pour chaque résultat de classement, à proximité de l'offre ou du contenu classé, tout opérateur de plateforme web doit faire apparaître, par tout moyen distinguant ce résultat, l'information selon laquelle son classement a été influencé par l'existence d'une relation contractuelle, d'un lien capitalistique ou d'une rémunération entre l'opérateur de plateforme et l'offreur référencé.

À chaque page de résultats. En outre, tout opérateur de plateforme web doit faire apparaître, de manière lisible et aisément accessible, sur chaque page de résultats, le critère de classement utilisé ainsi que la définition de ce critère, y compris par renvoi à la rubrique évoquée ci-dessus.

Plateforme web : une obligation spécifique

Qui est concerné par l’obligation spécifique ? La 2ème obligation ne concerne que les opérateurs de plateforme web qui proposent un service de communication au public en ligne reposant sur la mise en relation de plusieurs parties en vue de la vente d'un bien, de la fourniture d'un service ou de l'échange ou du partage d'un contenu, d'un bien ou d'un service.

Quelle est le contenu de cette obligation spécifique ? Ces opérateurs de plateforme web doivent préciser dans une rubrique directement et aisément accessible à partir de toutes les pages du site, sans que l'utilisateur n’ait besoin de s'identifier, les informations suivantes :

• la qualité des personnes autorisées à déposer une offre de biens et de services, et notamment leur statut de professionnel ou de consommateur ;
• le descriptif du service de mise en relation, ainsi que la nature et l'objet des contrats dont il permet la conclusion ;
• le cas échéant, le prix du service de mise en relation ou le mode de calcul de ce prix, ainsi que le prix de tout service additionnel payant, lorsqu'ils sont mis à la charge du consommateur ;
• le cas échéant, les modalités de paiement et le mode de gestion, opéré directement ou par un tiers, de la transaction financière ;
• le cas échéant, les assurances et garanties proposées par l'opérateur de plateforme ;
• les modalités de règlement des litiges et, le cas échéant, le rôle de l'opérateur de plateforme dans ce règlement.

Plateforme web : une obligation pour protéger les clients non professionnels

3ème obligation. La 3ème obligation vaut pour les opérateurs de plateforme qui mettent en relation des consommateurs ou des non-professionnels entre eux, à titre principal ou accessoire. Ces plateformes doivent indiquer de manière lisible et compréhensible :

• la qualité de l'offreur, selon que l'offre est proposée par un professionnel ou par un consommateur ou non-professionnel, en fonction du statut déclaré par celui-ci ;
• si l'offre est proposée par un consommateur ou un non-professionnel :
  • préalablement au dépôt de l'offre, les sanctions encourues par l'offreur s'il agit à titre professionnel alors qu'il se présente comme un consommateur ou un non-professionnel ;
  • pour chaque offre :
    • le prix total des biens ou des services proposés, y compris, le cas échéant, les frais de mise en relation et tous les frais supplémentaires exigibles, sur la base du prix déclaré par l'offreur ;
    • le droit de rétractation lorsque les parties au contrat l'ont prévu, ou, à défaut, l'absence de droit de rétractation pour l'acheteur ;
    • l'absence de garantie légale de conformité des biens ;
    • les dispositions du Code civil relatives au droit des obligations et de la responsabilité civile applicables à la relation contractuelle, par l'affichage d'un lien hypertexte.

Plateformes web : une obligation d’information précontractuelle

Une obligation d’information précontractuelle... Les opérateurs de plateforme en ligne doivent, lorsqu'ils mettent en relation des professionnels avec des consommateurs et permettent la conclusion d'un contrat de vente ou de prestation de service, respecter une obligation d’information précontractuelle. Quel est son contenu ?

Quel est le contenu de l’obligation d’information ? Concrètement, les opérateurs de plateforme doivent transmettre, de manière lisible et compréhensible :

• les informations relatives aux caractéristiques du service proposé ;
• le prix du service proposé ;
• en l'absence d'exécution immédiate du contrat, la date ou le délai auquel le professionnel s'engage à livrer le bien ou à exécuter le service ;
• les informations relatives à son identité, à ses coordonnées postales, téléphoniques et électroniques et à ses activités, pour autant qu'elles ne ressortent pas du contexte ;
• s'il y a lieu, les informations relatives aux garanties légales, aux fonctionnalités du contenu numérique et, le cas échéant, à son interopérabilité, à l'existence et aux modalités de mise en œuvre des garanties et aux autres conditions contractuelles ;
• la possibilité de recourir à un médiateur de la consommation ;
• lorsque le droit de rétractation existe, toutes les informations nécessaires à sa mise en œuvre (délai et les modalités d'exercice, formulaire type de rétractation, etc.).

Plateformes web : un seuil de connexion à connaître

4ème obligation.  Les opérateurs de plateformes web doivent élaborer et diffuser leurs bonnes pratiques en matière de clarté, de transparence et de loyauté de l’information donnée à l’utilisateur du site, dès lors qu’elles atteignent un certain nombre de connexions.

Quel est ce seuil ? Ce seuil a été fixé à 5 millions de visiteurs uniques par mois, par plateforme, et est calculé sur la base de la dernière année civile.

Une fois ce seuil atteint. Dès lors qu’un opérateur de plateforme web dépasse ce seuil, il a 6 mois pour se mettre en conformité avec la Loi.

Plateforme web : une assurance obligatoire

Une obligation pour certaines plateformes. Toutes les plateformes proposant des opérations de dons sont soumises au statut « d'intermédiaire en financement participatif ».

2 conséquences. Concrètement, cela a 2 conséquences :

• les plateformes sont tenues de s'immatriculer sur le « registre unique des intermédiaires en assurance, banque et finance » ;
• les plateformes doivent justifier de l'existence d'un contrat d'assurance les couvrant contre les conséquences pécuniaires de leur responsabilité civile professionnelle en cas de manquement à leurs obligations.

Quelles sont les garanties minimales ? Le contrat d'assurance en responsabilité civile professionnelle doit obligatoirement comprendre des garanties dont le montant minimum est de 100 000 € par sinistre et de 200 000 € par année d’assurance.

Plateforme web : des obligations pour lutter contre les « fake news »

Quelles obligations ? Pendant les 3 mois précédant le 1er jour du mois d'élections générales et jusqu'à la date du tour de scrutin où celles-ci sont acquises, les opérateurs de plateforme en ligne sont tenus :

• de fournir au lecteur une information loyale, claire et transparente sur l'identité de la personne ou de la société qui verse à la plateforme des rémunérations en contrepartie de la promotion de contenus d'information se rattachant à un débat d'intérêt général ;
• de fournir au lecteur une information loyale, claire et transparente sur l'utilisation de ses données personnelles dans le cadre de la promotion d'un contenu d'information se rattachant à un débat d'intérêt général ;
• de rendre public le montant des rémunérations reçues en contrepartie de la promotion de tels contenus d'information lorsque leur montant est supérieur à un seuil fixé à 100 HT pour chaque contenu d’information se rattachant à un débat d’intérêt général.

Quelles sont les plateformes concernées ? Seuls les opérateurs de plateformes Web dont l’activité dépasse un seuil fixé à 5 millions de visiteurs uniques par mois, par plateforme, calculé sur la base de la dernière année civile sont concernées par ces obligations.

Tenez un registre ! Toutes ces informations sont agrégées au sein d'un registre mis à la disposition du public par voie électronique, dans un format ouvert, et régulièrement mis à jour au cours de la période précitée. Ce registre doit être directement et aisément accessible à partir de toutes les pages du site qui comportent des informations se rattachant à un débat d'intérêt général.

Attention ! Le dispositif mis en place doit être facilement accessible et visible pour permettre aux utilisateurs et lecteurs de signaler de telles informations, notamment lorsque celles-ci sont issues de contenus promus pour le compte d'un tiers.

Des obligations complémentaires... Les opérateurs de plateforme en ligne doivent également mettre en œuvre des mesures complémentaires pouvant notamment porter sur :

• la transparence de leurs algorithmes ;
• la promotion des contenus issus d'entreprises et d'agences de presse et de services de communication audiovisuelle ;
• la lutte contre les comptes propageant massivement de fausses informations ;
• l'information des utilisateurs et lecteurs sur l'identité des personnes ou des sociétés leur versant des rémunérations en contrepartie de la promotion de contenus d'information se rattachant à un débat d'intérêt général ;
• l'information des utilisateurs et lecteurs sur la nature, l'origine et les modalités de diffusion des contenus ;
• l'éducation aux médias et à l'information.

… publiques ! Ces mesures, ainsi que les moyens qu'ils y consacrent, doivent être rendues publiques. En outre, chaque opérateur adresse chaque année au Conseil supérieur de l'audiovisuel (CSA) une déclaration dans laquelle sont précisées les modalités de mise en œuvre desdites mesures.

Focus sur les algorithmes de recommandation. Sachez également que les opérateurs de plateforme en ligne qui recourent à des algorithmes de recommandation, de classement ou de référencement de contenus d'information se rattachant à un débat d'intérêt général doivent publier des statistiques sur leur fonctionnement. Sont mentionnées pour chaque contenu :

• la part d'accès direct, sans recours aux algorithmes de recommandation, de classement ou de référencement ;
• les parts d'accès indirects imputables, d'une part, à l'algorithme du moteur de recherche interne de la plateforme, le cas échéant et, d'autre part, aux autres algorithmes de recommandation, de classement ou de référencement de la plateforme qui sont intervenus dans l'accès aux contenus.

À noter. Ces statistiques sont publiées en ligne et accessibles à tous, dans un format libre et ouvert.

Recommandations du CSA. Par ailleurs, le CSA peut faire des recommandations aux opérateurs de plateforme en ligne afin de lutter contre la manipulation de l’information. Les opérateurs de plateforme en ligne ont l’obligation de suivre ces recommandations.

Un interlocuteur référent à désigner ! Enfin, les opérateurs de plateforme en ligne doivent désigner un interlocuteur référent sur le territoire français dans le cadre de la lutte contre les « fakes news ».

Des obligations renforcées. Les plateformes Web sont soumises à des obligations renforcées en matière de lutte contre la diffusion publique de « fake news » ou de contenus illicites dès lors qu’elles atteignent un seuil de connexion fixé à 10 millions de visiteurs uniques par mois depuis le territoire français. Ces plateformes ont notamment l'obligation de conserver les données 6 mois à compter du retrait des contenus litigieux afin de permettre la recherche, le constat et la poursuite d'infractions pénales.

Des obligations supplémentaires. Elles sont également soumises à des obligations supplémentaires d’évaluation et d’atténuation des risques dès lors qu’elles atteignent un seuil de connexion fixé à 15 millions de visiteurs uniques par mois depuis le territoire français.

Ces 2 seuils sont calculés sur la base de la dernière année civile.

Plateformes et droits d’auteur : quelles nouveautés ?

Le contexte. Les règles européennes applicables en matière de droits d’auteur et droits voisins sont désormais partiellement applicables en France.

Quel contenu ? Elles visent notamment :

• à contraindre les plateformes de partage de contenus en ligne (de type Facebook, Amazon, etc.) à rémunérer les titulaires de droits d’auteurs dont elles diffusent massivement les œuvres ; dans ce cadre, il est prévu :
  • que les plateformes soient contraintes de conclure des accords de licence avec les sociétés de perception et de répartition des droits ;
  • que des mesures préventives efficaces puissent être appliquées afin de garantir l’indisponibilité des œuvres non autorisées ; il est prévu, dans ce cadre, que les plateformes soient désormais dans l’obligation de prouver qu’elles ont déployé l’ensemble des moyens à leur disposition pour opérer un filtre des contenus diffusés ;
• à renforcer la protection des droits des auteurs et des artistes-interprètes dans le cadre des relations qu’ils entretiennent avec les exploitants de leurs œuvres.

Dans le cadre de ces dispositions, on parle de « fournisseur d’un service de partage de contenus en ligne » pour désigner la personne qui fournit un service de communication au public en ligne dont l’un des objectifs principaux est de stocker et de donner accès à une quantité « importante » d’œuvres ou d’autres objets protégés téléversés par les utilisateurs, qu’elle organise et promeut en vue d’en tirer un profit.

Des précisions ! Les modalités d’appréciation de la notion de « quantité importante » d’œuvres ou d’objets protégés sont désormais précisées : celles-ci prévoient notamment la possible prise en compte du franchissement d’un seuil d’audience fixé à 400 000 visiteurs uniques en France par mois par service de communication au public en ligne, calculé sur la base de la dernière année civile.

Sont par ailleurs définies les règles de procédure qui s’appliquent lorsque la Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet est saisie par un utilisateur ou un titulaire de droits d'auteur ou de droits voisins en raison d’un litige sur les suites données, par un fournisseur de service de partage de contenus en ligne, à la plainte d'un utilisateur relative aux situations de blocage ou de retrait d'œuvres téléversées.

Notez enfin que de nouvelles dispositions de lutte contre le piratage des programmes audiovisuels culturels et sportifs sont également parues, et prévoient notamment :

• la mise en place d’un mécanisme de « listes noires » de sites internet de streaming, de téléchargement direct ou de référencement qui tirent profit de la mise en ligne d’œuvres en violation des droits des créateurs ;
• la création d’une nouvelle autorité de régulation à savoir l’Autorité de Régulation de la communication audiovisuelle et numérique (ARCOM).

Un Cyberscore pour certaines plateformes Web !

De plus en plus de médias se font l’écho de failles de sécurité et d’affaires de vol de données personnelles sur internet.

Pour permettre aux internautes de mieux connaître la sécurité des sites Web qu’ils fréquentent, un « Cyberscore » (construit sur le modèle du Nutriscore) va être mis en place à partir du 1er octobre 2023.

Concrètement, les opérateurs de plateformes web concernés vont devoir réaliser un audit de cybersécurité de leurs sites et, au vu des résultats, devront afficher un visuel « Cyberscore ».

Cet audit doit être effectué par des prestataires qualifiés par l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Notez qu’un décret à venir viendra prochainement lister les plateformes, réseaux sociaux et sites de visioconférence concernés par le « Cyberscore ». De même, des précisions concernant les critères pris en compte par l'audit de sécurité seront bientôt publiées. À suivre…