RGPD : le DPO doit être en mesure d’exercer sa mission !

Pour rappel, la procédure simplifiée permet à la CNIL de sanctionner les organismes qui ne sont pas en conformité avec le Règlement Général sur la Protection des Données (RGPD) d’une amende d’un montant maximum de 20 000 €.

Depuis janvier 2024, la CNIL a prononcé 15 amendes au titre de cette procédure, contre 24 pour la totalité de l’année 2023… L’occasion de revenir sur 2 erreurs à ne pas commettre pour les organismes qui ont nommé un délégué à la protection des données (DPO) et qui consistent à :

• ne pas associer cette personne aux réunions intéressant la protection des données et la sécurité des systèmes d’information ;
• ne pas laisser cette personne avoir accès à la messagerie du site internet de l’organisme permettant aux personnes concernées par le traitement de données d’exercer leurs droits.

Des situations problématiques parce que les DPO ont notamment pour mission d’informer et conseiller le responsable de traitement sur ses obligations légales et d’en contrôler le respect.

À ce titre, ils doivent être associés aux échanges qui concernent la protection des données personnelles.

RGPD : rappel des bases

Lors de ses visites sur des sites internet, une personne peut rencontrer des publicités qui seront adaptées à ses habitudes et ses besoins.

Ces publicités que l’on qualifie de « ciblées » font l’objet, en arrière-plan, d’une enchère entre les annonceurs qui souhaitent acquérir cet espace publicitaire.

Mais avant que la publicité ciblée puisse être affichée, il est nécessaire que l’utilisateur ait donné son consentement au traitement de ses données personnelles pour une telle finalité.

C’est dans cette optique qu’une association belge a développé un outil permettant de recueillir le consentement des utilisateurs avant de compiler en une suite de caractères un code qui permet de savoir à quoi une personne consent ou non.

Cet outil, nommé le TC String (Transparency and Consent String) était ensuite mis à la disposition de courtiers en données et de plateformes publicitaires qui, en le combinant à l’adresse IP d’un utilisateur, pouvaient être informés sur son consentement.

L’association pensait ainsi avoir créé un outil conforme aux attentes du RGPD permettant de communiquer anonymement les préférences des internautes.

Mais ça n’est pas l’avis de l’autorité de contrôle belge qui a décidé d’interroger le juge européen.

Ce dernier va confirmer les doutes de l’autorité.

Il rappelle qu’est une donnée personnelle au sens du RGPD « toute information se rapportant à une personne physique identifiée ou identifiable ».

Pour lui, le TC String doit être considéré comme une donnée personnelle, puisqu’une fois rapproché de l’adresse IP d’une personne il permet d’établir un profil utilisateur qui n’est pas anonyme.

De ce fait, comme pour toute donnée personnelle, cette ligne de code ne peut pas s’échanger librement sans le consentement de la personne concernée.

Messages tendancieux : vie privée ou faute grave ?

Une salariée utilise la messagerie professionnelle de son entreprise pour envoyer des messages à caractère raciste et xénophobe à au moins 2 autres de ses collègues, également salariés.

Lorsqu’il découvre ces messages en raison d’une erreur d’envoi, l’employeur décide de prononcer son licenciement pour faute grave.

Pour ce faire, il rappelle que le règlement intérieur de l’entreprise et la charte d’utilisation de la messagerie électronique interdisent tout propos raciste ou discriminatoire.

Sauf que la salariée conteste ce licenciement : les 9 messages en question, envoyés sur une période de 11 mois, relèvent de sa vie personnelle parce qu’ils étaient diffusés à un cercle restreint de collègues et n’avaient pas pour objet d’être publiés.

Leur volume ne permet d’ailleurs pas de caractériser un quelconque manquement au règlement intérieur, qui admet une utilisation personnelle de la messagerie professionnelle par les salariés, sauf abus.

Elle rappelle qu’un motif tiré de sa vie personnelle ne peut pas justifier un licenciement pour motif disciplinaire sauf s’il constitue un manquement à une obligation découlant de son contrat de travail : or pour elle, ces messages n’ont aucune incidence sur son emploi ou ses relations avec les usagers ou collègues.

Ce qui emporte la conviction du juge : un salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée.

Parce que ces messages s’inscrivent dans le cadre d’échanges privés à l’intérieur d’un groupe restreint et que l’employeur en a pris connaissance uniquement à la suite d’une erreur d’envoi, il ne peut pas se fonder sur cet élément pour licencier la salariée pour faute grave.

PACS + séparation de biens + absence de vie commune = déclaration séparée !

Parce qu’il est lié par un pacte civil de solidarité (PACS) sous le régime de la séparation de biens, un particulier, qui réside à Mayotte, souscrit sa déclaration d’impôt sur le revenu en incluant au sein du foyer fiscal sa partenaire et leur fille.

Sauf qu’au titre de la même année, cette partenaire, qui réside en métropole, dépose de son côté une déclaration d’impôt sur le revenu en tant que parent isolé.

Une situation qui interroge l’administration fiscale, qui rappelle que si les partenaires liés par un PACS doivent souscrire une déclaration d’impôt sur le revenu commune, il en va autrement lorsque, séparés de biens, ils ne vivent pas sous le même toit.

Ce qui est le cas ici, constate l’administration qui, en conséquence, considère le particulier comme célibataire sans enfant à charge. Un statut qui lui fait perdre des parts de quotient familial et qui permet à l’administration de lui réclamer un supplément d’impôt… qu’il refuse de payer.

Et pour cause ! S’ils sont bel et bien liés par un PACS sous le régime de la séparation de biens et si sa partenaire et sa fille sont restées en métropole alors que lui-même réside à Mayotte, c’est seulement pour des raisons professionnelles.

Ce qui reste à prouver, maintient l’administration : aucun élément ne permet de justifier que l’absence de communauté de vie est temporaire et serait seulement liée à l’activité professionnelle du particulier. D’autant que le PACS a finalement été dissous l’année où les déclarations litigieuses ont été déposées.

Partant de là, les deux partenaires qui étaient séparés de biens et ne vivaient pas sous le même toit devaient souscrire 2 déclarations individuelles. Ce que confirme le juge.

Sauf qu’il reste encore à régler le problème de la charge de l’enfant, souligne le particulier, qui prétend assumer :

• les frais d'électricité et d'eau se rattachant à l'appartement qui lui appartient et dans lequel sa partenaire et leur fille vivent ;
• le coût des travaux réalisés dans cet appartement ;
• la redevance assainissement ;
• les frais de demi-pension à l'école de sa fille et l'assurance civile de celle-ci.

Insuffisant, selon le juge : ces éléments ne suffisent pas à établir que le particulier assume à titre principal l'entretien de sa fille qui réside avec sa mère en métropole tandis que lui réside à Mayotte.

C'est donc à bon droit que l'administration fiscale a rectifié l'avis d'imposition du particulier en refusant le rattachement de sa fille à son foyer fiscal.

Passeport de prévention reporté = obligations déclaratives reportées ?

Pour rappel, le « Passeport de prévention » est un dispositif numérique nominatif permettant de garantir, fiabiliser et regrouper en un seul lieu sécurisé toutes les données concernant les formations et qualifications en santé et sécurité au travail d’un travailleur ou demandeur d’emploi.

Selon les cas, la loi prévoit que le Passeport soit renseigné par l’employeur, le salarié détenteur ou l’organisme de formation.

Depuis mai 2023, ce dispositif est disponible uniquement pour les salariés via la plateforme « Mon compte formation » dans une version « bêta ».

Initialement prévue pour 2024, l’ouverture de l’espace déclaratif dédié aux employeurs et organismes de formation ne sera finalement effective qu’à partir de 2025.

Par conséquent, les employeurs et organismes de formations voient leurs obligations déclaratives reportées.

Ainsi seules les formations délivrées aux travailleurs à partir de l’ouverture de l’espace de déclaration en 2025 devront être déclarées.

Les formations réalisées avant 2025 ne devront pas être déclarées ultérieurement.

Notez enfin que le Ministère précise qu’un simulateur sera mis à disposition des employeurs et organismes de formation avant l’ouverture de l’espace déclaratif associé au Passeport, afin de les aider à anticiper les éventuelles difficultés.

Un remboursement, mais pas tout le temps !

Pour rappel, les véhicules de tourisme peuvent faire l’objet d’un malus écologique lors de leur 1^re immatriculation en France. Ce malus se compose :

• d’une taxe calculée sur les émissions de dioxyde de carbone ;
• d’une taxe sur la masse en ordre de marche (ce que l’on appelle le « malus au poids »).

Il existe des cas permettant d’obtenir une réduction de ces taxes, voire une exonération. Ainsi, les familles assumant la charge effective et permanente d’au moins 3 enfants peuvent, toutes conditions remplies, bénéficier des abattements suivants :

• concernant la taxe CO2 :
  • 20 grammes par kilomètre par enfant pour les émissions de dioxyde de carbone ;
  • 1 cheval administratif par enfant pour la puissance administrative ;
• concernant le malus au poids : 200 kilogrammes par enfant.

Ces avantages s'appliquent dans la limite d'un seul véhicule d'au moins 5 places par foyer.

En outre, ils sont limités à une fois par période de 2 ans, sauf si le véhicule est détruit ou devenu inutilisable à cause :

• d’un accident, d’une catastrophe naturelle ou d’intempéries ;
• d’un vol ou d’une dégradation commise par un tiers ;
• de tout autre cas de force majeure.