Prêt à moyen ou long terme : pour qui ?

Quel est l’objectif du prêt à moyen ou long terme ? L’objectif du prêt à moyen ou long terme est de financer les investissements des entreprises.

Qui est concerné par le dispositif ? Toutes les entreprises ayant des besoins de développement sont potentiellement concernées par ce dispositif.

Prêt à moyen ou long terme : pour quoi ?

Quel est le montant du prêt ? Le prêt à moyen ou long terme représente 50 % des besoins de l’entreprise. Les 50 % restant sont financés par une banque.

Quelles sont les opérations éligibles ? Pour être éligible à un prêt à moyen ou long terme, il faut que le prêt soit en rapport avec l’un des investissements suivants :

• l’achat de terrains ;
• l’achat d’immeubles ;
• la construction, l’aménagement, la modernisation et l’agrandissement d’un immeuble ;
• le transfert d’une activité ;
• la reprise d’une entreprise.

Qui délivre le prêt ? Le prêt à moyen ou long terme est délivré par Bpifrance.

Modalités du crédit. Le crédit est amortissable, avec une durée qui varie en fonction du profil du programme financé. Son taux peut être fixe ou variable.

Bénéficier du Prêt éco-énergie : pour qui ?

Quel est l’objectif du prêt éco-énergie ? L’objectif du prêt éco-énergie (PEE) est de favoriser la compétitivité des entreprises via l’efficacité énergétique. Pour bénéficier de l’aide financière, il est nécessaire que l’entreprise ait un projet d’investissement prenant en compte les enjeux de protection de l’environnement d’économie d’énergie.

Qui est concerné par le dispositif ? Sont éligibles au PEE, les microentreprises, les TPE et les PME en affaire personnelle ou sous forme de société, créées depuis plus de 3 ans et financièrement saines.

Bénéficier du Prêt éco-énergie : pour quoi ?

Quel est le montant de l’aide ? Le montant du prêt est compris entre 10 000 € et 500 000 € à taux fixe bonifié. Il est d’une durée de 5 ans avec différé d’amortissement d’un an du capital.

Plafonnement du prêt. Le montant des prêts est plafonné au montant des fonds propres ou quasi-fonds propres de l’emprunteur.

Aide selon la règlementation européenne. Le PEE bénéficie d’une aide de l’État, dite « de minimis » (c’est-à-dire limitée à 200 000 € sur 3 exercices comptables consécutifs), grâce à la bonification par l’État.

Qui délivre le prêt ? Le PEE est délivré par Bpifrance.

Une garantie est-elle nécessaire ? Le prêt est délivré sans qu’aucune garantie ne soit exigée sur les actifs de l’entreprise ni sur le patrimoine du dirigeant.

À noter. Il peut être proposé la conclusion d’une assurance décès-invalidité au dirigeant de l’entreprise concernée.

Quelles sont les opérations éligibles ? Les opérations éligibles au PEE doivent porter sur les investissements suivants :

• l’éclairage :
  • luminaire avec ballast électronique pour tubes fluorescents T5 ou T8 ou luminaire pour lampe sodium ou iodure métallique céramique ;
  • détecteur de présence sur un dispositif d’éclairage ;
  • dispositif de contrôle utilisant la variation de lumière ;
• le froid :
  • meuble frigorifique de type vertical avec uniquement éclairage en fronton ;
• le chauffage et la climatisation :
  • pompe à chaleur, y compris à double flux électrique de COP supérieur à 3,4 et à absorption gaz ou m à moteur gaz de COP supérieur à 1,3
  • chaudière à condensation ;
  • micro-cogénération dont l’électricité produite ne fait pas l’objet d’une obligation d’achat ;
• la motorisation électrique :
  • moteur haut rendement IE2 ou IE3 ;
  • système de variation électronique de vitesse sur moteur asynchrone ;
  • moto-variateur synchrone à aimants permanents.

Crédit Librement Utilisable : pour qui ?

Quel est l’objectif du Crédit Librement Utilisable ? L’objectif du Crédit Librement Utilisable (CLUB) est de faire face à des besoins en fonds de roulement ponctuels ou de saisir rapidement une opportunité de développement.

Qui peut en bénéficier ? Peuvent profiter du CLUB toutes les entreprises créées depuis plus de 3 ans.

Crédit Librement Utilisable : pour quoi ?

Quel est le montant du Crédit Librement Utilisable ? Le montant du crédit délivré est de 300 000 € minimum, à taux variable. Le crédit est remboursable sur une période de 3 à 10 ans.

Qui délivre le Crédit Librement Utilisable ? Le CLUB est délivré par Bpifrance.

Une garantie. Une garantie est à fournir pour obtenir le CLUB. Elle est négociée au cas par cas.

Quelles sont les opérations éligibles ? Sont notamment éligibles au CLUB les opérations suivantes :

• les besoins en fonds de roulement ponctuels ;
• les investissements corporels ou incorporels ;
• les prises de participation ;
• la recherche de croissance externe.

Contrat de développement transmission : pour qui ?

Quel est l’objectif du contrat de développement transmission ? L’objectif du prêt « contrat de développement transmission » est de faciliter le financement de la reprise par crédit bancaire en diminuant la charge de remboursement de la dette d’acquisition.

Qui peut en bénéficier ? Peuvent profiter du contrat de développement les PME faisant l’objet d’une reprise. Attention : les reprises d’affaires en difficulté ne peuvent pas bénéficier de ce dispositif.

Quelles sont les activités éligibles ? En principe, tous les secteurs d’activité à caractère industriel et commercial et les services aux entreprises peuvent bénéficier du contrat de développement transmission. Toutefois, sachez que les Conseils régionaux, partenaires de ce dispositif, peuvent prévoir certaines restrictions d’activité.

Contrat de développement transmission : pour quoi ?

Quel est le montant du prêt « contrat de développement transmission » ? Le montant du prêt délivré est compris entre 40 000 € et 650 000 €. Le prêt est d’une durée de 7 ans maximum avec un allègement du remboursement les 2 premières années.

Qui délivre le prêt ? Le prêt est délivré par Bpifrance.

Un cofinancement. Le prêt est obligatoirement associé à un financement bancaire d’une durée minimum de 5 ans.

Quelles sont les reprises éligibles ? Sont éligibles au prêt « contrat de développement transmission » les reprises de PME :

• soit au titre d’une 1re transmission par une société holding constituée par des personnes physiques pour la reprise ;
• soit par des entreprises existantes réalisant une croissance externe.

Quelles sont les dépenses éligibles ? Peuvent bénéficier du contrat de développement transmission les dépenses suivantes :

• l’achat majoritaire de parts ou d’actions ;
• l’achat de fonds de commerce ;
• les frais d’acquisition ;
• le remboursement de comptes courants ;
• le renforcement du fonds de roulement.

Contrat de développement investissement : pour qui ?

Quel est l’objectif du contrat de développement investissement ? L’objectif du prêt « contrat de développement investissement » est de faciliter le financement des investissements immatériels liés à un programme d’investissement.

Qui peut en bénéficier ? Peuvent profiter du contrat de développement investissement les PME constituées en société qui ont plus de 3 ans et qui sont bénéficiaires. Les PME doivent réaliser un programme d’investissement immobilier ou matériel qui nécessite que soient engagées des dépenses immatérielles.

Contrat de développement : pour quoi ?

Quel est le montant du prêt « contrat de développement investissement » ? Le montant du prêt délivré est compris entre 40 000 € et 600 000 €. Le prêt est d’une durée de 6 ans avec un allègement du remboursement la 1ère année. Notez que le prêt est délivré dans la limite des fonds propres et quasi fonds propres de l’entreprise.

Qui délivre le prêt ? Le prêt est délivré par Bpifrance.

Un cofinancement. Le prêt est obligatoirement associé à un financement bancaire d’un montant au moins égal à celui octroyé par Bpifrance.

Quelles sont les opérations éligibles ? Sont éligibles au prêt « contrat de développement investissement » les opérations suivantes :

• les investissements immatériels tels que les frais de recrutement et de formation, les opérations de communication, marketing et les coûts d’adaptation aux normes et au respect de l’environnement ;
• les équipements à faible valeur de revente tels que les matériels conçus et réalisés par l’entreprise pour ses propres besoins et les travaux d’aménagements ;
• l’augmentation du besoin en fonds de roulement généré par le projet.

CIRI et CODEFI : pour qui ?

Qui peut bénéficier du CODEFI ? Le Comité départemental d’examen des difficultés de financement des entreprises (CODEFI) a pour objectif d’aider les entreprises en difficulté à élaborer et mettre en œuvre des solutions pour assurer leur pérennité et leur développement. Le CODEFI bénéficie aux entreprises de moins de 400 salariés.

Qui peut bénéficier du CIRI ? Le Comité interministériel de restructuration industrielle (CIRI) a exactement la même mission que le CODEFI. La seule différence est qu’il vient en aide aux entreprises d’au moins 400 salariés.

Concrètement, le CODEFI et le CIRI visent au maintien ou à la création d’emplois durables. Ils prennent en compte la seule défense des intérêts de l’entreprise, parfois différents de ceux des actionnaires clients et créanciers de l’entreprise.

CIRI et CODEFI : quelles aides ?

CODEFI : l'audit. Le premier outil consiste en la réalisation d’un audit afin d’établir un diagnostic de la situation de l’entreprise et de valider les hypothèses de redressement économique et financier ou encore d’établir une situation de trésorerie et un prévisionnel.

CODEFI : les prêts. Le 2nd outil est l’octroi de prêts du fonds de développement économique et social (FDES) qui peuvent être accordés dans le cadre d’un plan de restructuration.

Attention ! Pour être éligible à l’aide financière, l’entreprise ne doit pas être en état de cessation des paiements et ne pas se trouver dans une situation manifestement compromise et sans perspective de redressement.

Conditions. Les conditions d’octroi des aides sont confidentielles et sont propres à chaque dossier étudié.

Aide du CIRI. Le but du CIRI est d’accompagner les grandes entreprises en difficultés, afin de mettre en œuvre les actions pour assurer leur pérennité et leur développement.

Rôle de coordinateur. Le CIRI devient le coordinateur de l’ensemble des acteurs financiers privés ou publics pouvant agir sur la situation de difficulté de l’entreprise. Son but est de traiter les problèmes financiers et opérationnels de l’entreprises.

Expertise préliminaire. Le CIRI qui est contacté par une entreprise réalise au préalable une expertise de ses difficultés. Il peut orienter vers une autre structure de soutien aux entreprises en difficultés s’il l’estime plus approprié (exemple : la Médiation du crédit).

Prêt d’honneur : le principe

Prêt d’honneur : qu’est-ce que c’est ? Les prêts d’honneur sont des prêts consentis au créateur ou repreneur d’une entreprise qu’il s’engage à rembourser « sur l’honneur ». En principe, ces prêts sont consentis à un taux d’intérêt faible, voire nul.

Prêt d’honneur : qui l’octroie ? Ces prêts sont octroyés par des réseaux professionnels, sous réserve du respect de certaines conditions, qui varient en fonction de l’organisme qui les consent.

Prêt d’honneur solidaire : les caractéristiques

Prêt d’honneur solidaire : pour qui ? Ce nouveau prêt, octroyé par Bpifrance, bénéficie au créateur ou repreneur d’une entreprise depuis moins de 3 ans, qui se trouve dans l’une des situations suivantes :

• il est bénéficiaire de l'allocation d'aide au retour à l'emploi (ARE) ou de l'allocation de sécurisation professionnelle (ASP) ;
• il est demandeur d'emploi, non indemnisé, inscrit à Pôle emploi depuis plus de 6 mois au cours des 18 derniers mois ;
• il est bénéficiaire du RSA ou de l'Allocation de solidarité spécifique (ASS) ;
• il est âgé de 18 à 25 ans révolus (ou 29 ans révolus s'il est en situation de handicap) ;
• il est demandeur d’emploi de moins de 30 ans, et ne remplit pas les conditions d'activité antérieure pour bénéficier de l'indemnisation chômage ;
• il reprend une entreprise et est salarié ou licencié d'une entreprise placée sous sauvegarde de justice, en redressement judiciaire ou en liquidation judiciaire ;
• il est sans emploi et titulaire d'un contrat d'appui au projet d'entreprise (Cape) ;
• il crée ou reprend une entreprise dans un Quartier prioritaire de la politique de la ville (QPPV) ;
• il est bénéficiaire de la prestation partagée d'éducation de l'enfant.

Un prêt gratuit ? Le prêt d’honneur solidaire est consenti à un taux d’intérêt nul.

Mais aussi. Par ailleurs, il n’entraîne pas de frais de dossier, et est octroyé sans garantie sur les actifs de l’entreprise ou du dirigeant, donc sans caution personnelle.

Durée du prêt. La durée du prêt oscille entre 1 et 5 ans, avec un différé d’amortissement automatique de 6 mois.

Prêt d’honneur solidaire : combien ? Le montant du prêt octroyé va de 1 000 à 8 000 €.

Conditions à remplir. Pour bénéficier du prêt d’honneur, le créateur ou repreneur d’entreprise doit remplir les 2 conditions suivantes :

• être accompagné par un opérateur désigné par sa région ;
• obtenir un prêt complémentaire au moins égal et d’une durée de remboursement au moins équivalente ; notez que ce que prêt n’a pas à être assorti d’une caution personnelle portant sur plus de la moitié de son montant (frais et accessoires compris).

Qui contacter ? Pour obtenir le prêt d’honneur solidaire, le créateur ou repreneur d’entreprise doit contacter l’un des organismes suivants :

• le réseau Adie ;
• le réseau France Active ;
• le réseau Initiative France.

À noter. Pour trouver l’interlocuteur qui convient, Bpifrance propose un questionnaire d’orientation disponible ici.

Des conditions à remplir

Un délai. Si vous souhaitez vous opposer à l’enregistrement d’une marque, vous devez former une opposition devant le directeur général de l’Institut national de la propriété industrielle (INPI) dans un délai de 2 mois suivant la publication de la demande d’enregistrement.

Une atteinte à vos droits. Pour pouvoir former cette opposition, vous devez justifier d’une atteinte à vos droits antérieurs produisant leurs effets en France, concernant :

• une marque antérieure ;
• une marque antérieure jouissant d'une renommée ;
• une dénomination ou une raison sociale, s'il existe un risque de confusion dans l'esprit du public ;
• un nom commercial, une enseigne ou un nom de domaine, dont la portée n'est pas seulement locale, s'il existe un risque de confusion dans l'esprit du public ;
• une indication géographique enregistrée ou une demande d'indication géographique, sous réserve de l'homologation de son cahier des charges et de son enregistrement ultérieur ;
• le nom, l'image ou la renommée d'une collectivité territoriale ou d'un établissement public de coopération intercommunale ;
• le nom d'une entité publique, s'il existe un risque de confusion dans l'esprit du public ;
• une marque protégée dans un État partie à la convention de Paris pour la protection de la propriété industrielle.

Qui peut s’opposer ? Bien évidemment, le titulaire d’une marque antérieure peut former cette opposition. Mais ce n’est pas le seul… Peuvent aussi engager cette procédure :

• le mandataire spécialement désigné par le titulaire de la marque ;
• le bénéficiaire d’un droit exclusif d’exploitation ;
• le titulaire d’un nom de domaine ;
• etc.

Attention. Le recours à un mandataire pour former une opposition à l’enregistrement d’une marque est obligatoire dans les cas suivants :

• l’opposition est formée sur la base d’une marque appartenant à plusieurs propriétaires ;
• l’opposant n’est ni établi, ni domicilié dans un État membre de l’Union européenne ou dans un État partie à l’Espace économique européen.

Une procédure à suivre

Comment. L’opposition à l’enregistrement d’une marque se fait par écrit, directement sur le site internet de l’INPI.

Des justificatifs. À l’appui de votre demande, vous devez fournir les justificatifs suivants :

• l'identité de l'opposant, ainsi que les indications propres à établir l'existence, la nature, l'origine et la portée de ses droits ;
• les références de la demande d'enregistrement contre laquelle est formée l'opposition, ainsi que l'indication des produits ou services visés par l'opposition ;
• l'exposé des moyens sur lesquels repose l'opposition ;
• la justification du paiement de la redevance ;
• le cas échéant, le pouvoir du mandataire, sauf lorsqu'il a la qualité de conseil en propriété industrielle ou d'avocat.

Un coût. Le fait de former une opposition à l’enregistrement d’une marque n’est pas gratuit. Vous devrez vous acquitter de la somme de 400 € pour une opposition fondée sur un seul droit, auxquels s’ajoutent 150 € par droit antérieur supplémentaire. Le paiement s’effectue par voie électronique.

Une procédure en 2 temps. La procédure d’opposition à l’enregistrement d’une marque suit 2 étapes :

• une phase écrite, dite « phase d’instruction », pendant laquelle les parties vont pouvoir échanger leurs arguments ; cette phase peut durer de 6 mois à 1 an ;
• une décision : à l’issue de la phase d’instruction, en effet, le directeur de l’INPI dispose d’un délai de 3 mois pour rendre sa décision.

Création d’un code de conduite : pourquoi ? Pour qui ?

Code de conduite : c’est quoi ? Un « code de conduite » est un document élaboré par une organisation représentative d’un secteur d’activité (association, fédération professionnelle, etc.) pour accompagner les professionnels de ce secteur et faciliter leur mise en conformité au règlement général sur la protection des données (RGPD).

Pour mémoire. Le RGPD est un règlement européen encadrant le traitement des données personnelles (collecte, enregistrement, conservation, etc.) sur le territoire de l’Union européenne.

Un outil de conformité. Le code de conduite fait partie des 9 outils prévus par le RGPD permettant aux entreprises et organismes de gérer leur conformité et de démontrer qu’ils respectent la réglementation.

Un outil adapté. Le RGPD étant un règlement général applicable à tous les secteurs d’activité, le code de conduite permet de l’adapter à un secteur donné. Il s’agit donc d’un socle commun de bonnes pratiques prenant en compte les exigences d’une profession en particulier tout en respectant la réglementation.

Une démarche volontaire. L’élaboration d’un code de conduite relève d’une démarche volontaire de l’organisation qui en est à l’origine, ainsi que des professionnels qui décident, ou non, d’y adhérer.

Pourquoi élaborer un code de conduite ? Les apports d’un code de conduite sont multiples :

• il permet aux professionnels de démontrer leur conformité au RGPD ;
• il homogénéise les pratiques d’un secteur d’activité ;
• il facilite la mise en conformité des petites entreprises qui n’ont pas forcément les moyens de faire appel à des professionnels compétents en matière de règlementation sur la protection des données.

Pour qui ? Un code de conduite est élaboré pour les professionnels du secteur d’activité concerné, notamment pour les micro-entreprises (effectif inférieur à 10 personnes et chiffre d'affaires ou total du bilan annuel n'excédant pas 2 M€) et les petites et moyennes entreprises (effectif inférieur à 250 personnes et chiffre d’affaires annuel n'excédant pas 50 M€ ou total de bilan n'excédant pas 43 M€).

Code de conduite national ou européen ? Un code de conduite peut avoir une portée soit nationale et ainsi s’appliquer uniquement dans le pays concerné, soit européenne et ainsi s’appliquer dans l’ensemble des états membres de l’Union européenne.

Qui intervient dans la création d’un code de conduite ?

Un porteur. Le porteur du code de conduite est l’organisation représentative d’un secteur d’activité qui est à l’initiative de son élaboration.

Une autorité de contrôle. Les autorités de contrôle sont les organismes chargés de surveiller l’application du RGPD dans chaque état membre de l’Union européenne. En France, il s’agit de la Commission nationale de l’informatique et des libertés (CNIL). Cette autorité accompagne le porteur pendant l’élaboration du code et l’approuve une fois qu’il est terminé.

Un organisme de contrôle. L’organisme de contrôle est désigné par le porteur du code de conduite. Il a pour mission de vérifier la bonne application de ce code par les adhérents.

Au niveau européen. Lorsqu’il s’agit d’un code de conduite européen, une procédure d’approbation spécifique est mise en place faisant intervenir le Comité européen de la protection des données (CEPD) ainsi que la Commission européenne.

Quelles sont les étapes clés de l’élaboration d’un code de conduite ?

La rédaction du document. Tout code de conduite est destiné à retranscrire les dispositions du RGPD dans des termes clairs et compréhensibles pour faciliter leur application par les professionnels.

Des exigences à respecter. Pour que le code de conduite soit conforme et puisse être approuvé par la CNIL, l’organisme qui l’élabore doit impérativement respecter certaines exigences. Le document doit donc notamment :

• contenir des réponses aux questions qui se posent pour un secteur en matière de protection des données ; le contenu peut être large ou ciblé, c’est-à-dire qu’il peut s’attacher à un type d’opération de traitement particulier ;
• avoir un format facilitant sa compréhension ;
• contenir des solutions concrètes applicables par les adhérents ;
• contenir des garanties permettant de limiter les risques liés aux traitements de données personnelles par les professionnels du secteur (bonnes pratiques en matière de mesures de sécurité par exemple) ;
• établir des mécanismes de contrôle de la bonne application des dispositions qu’il contient par les adhérents ;
• inclure dans le projet une introduction présentant ses objectifs, son champ d’application et la manière dont il faciliterait l’application effective des dispositions du RGPD ;
• démontrer que l’organisation à l’origine du code représente bien le secteur d’activité concerné (précision du nombre d’adhérents par exemple) ;
• définir le champ d’application matériel (les traitements de données concernés) et territorial (l’État ou les États dans lequel ou lesquels il sera en vigueur) ;
• préciser s’il s’agit d’un code de conduite européen ou national ;
• désigner l’autorité de contrôle compétente (la CNIL) ;
• préciser les modalités d’application du code (modalité d’adhésion, processus de mise à jour, critères de sélection de l’organisme de contrôle, etc.) ;
• désigner l’organisme de contrôle chargé de vérifier la bonne application du code par les adhérents) ;
• etc.

Choix de l’organisme de contrôle. Ce choix s’effectue dès le début de l’élaboration du code de conduite et devra apparaître dans le projet du document.

L’approbation. Une fois que le code de conduite est rédigé, il doit être transmis à la CNIL pour être enregistré puis analysé par leur service. Débute alors une phase d’échanges entre le porteur du code et la CNIL pour effectuer des éventuelles modifications. A l’issue de cette phase, le code est ensuite approuvé.

À noter. La procédure d’approbation d’un code de conduite dure de 8 à 14 mois en moyenne.

Les missions de l’organisme de contrôle

Par qui ? L’organisme de contrôle ne doit pas être confondu avec l’autorité de contrôle (la CNIL par exemple) et ses missions ne doivent pas interférer avec celles de cette autorité.

Ses missions. L’organisme de contrôle est chargé de veiller à la bonne application du code de conduite dans lequel sont décrits les mécanismes lui permettant :

• d’organiser le suivi du code après son approbation ;
• d’effectuer les audits préalables à l’adhésion au code de conduite ;
• de traiter les réclamations relatives aux violations du code et de prendre, le cas échéant, les mesures appropriées ;
• de participer à sa mise à jour.

Elaboration d’un code de conduite : besoin d’aide ?

La CNIL vous accompagne. Lorsque vous souhaitez établir un code de conduite, la CNIL peut vous accompagner dès le début et pendant toute la durée d’élaboration du projet. De plus, un formulaire de contact est disponible ici pour vous permettre de poser toutes les questions concernant la procédure ou la méthodologie à respecter.

À noter. Le CEPD a publié des lignes directrices pour aider les organismes à appréhender les exigences de forme et de fond qu’il est nécessaire de respecter lors de l’élaboration d’un code de conduite.

      => Consultez ici les lignes directrices du CEPD.

Les codes de conduite approuvés. La CNIL référence ici l’ensemble des codes de conduite approuvés.

Transmission de documents à l’administration : le point sur la notion de « tiers autorisé » et de « RGPD »

Qu’est-ce qu’un tiers autorisé ? Un « tiers autorisé » est un organisme qui peut accéder à certaines données contenues dans des fichiers publics ou privés parce qu'une Loi l'y autorise expressément.

Exemples. Il peut s’agir de l’administration fiscale, des organismes de sécurité sociale, des administrations de la justice, de la police et de la gendarmerie ou encore des huissiers de justice.

Conditions requises. Pour qu’un « tiers autorisé » puisse obtenir les informations réclamées, il doit respecter les conditions suivantes :

• sa demande doit être écrite et préciser les références du texte législatif qui la justifie ;
• sa demande doit viser des personnes nommément identifiées ou identifiables (il ne peut pas avoir accès à l'intégralité d'un fichier) ;
• sa demande doit être ponctuelle ;
• sa demande doit préciser les catégories de données auxquelles il souhaite accéder.

Qu’est-ce que le RGPD ? Le Règlement Général sur la Protection des Données (RGPD) est le texte législatif, issue de l’Union Européenne (UE), qui protège les données à caractère personnel.

Transmission de documents à l’administration : la protection du RGPD

Tiers autorisé + RGPD : quelles conséquences ? Lorsqu’un « tiers autorisé » sollicite la communication d’un document, il va prendre connaissance de données à caractère personnel protégées par le RGPD. Dans ce cas, au regard de cette règlementation particulière, de quoi faut-il s’assurer ?

Réponse de la CNIL. Pour répondre à cette question, la CNIL a publié un guide pratique, consultable à l’adresse suivante : https://www.cnil.fr/sites/default/files/atoms/files/guide_tiers_autorises.pdf.

Quel objectif ? Au regard du RGPD, l’enjeu principal pour le responsable de traitement de l’entreprise recevant une demande d’un tiers autorisé est de veiller à se conformer aux demandes prévues par les dispositions légales et de garantir la sécurité des données à caractère personnel traitées.

Les étapes à respecter. Pour atteindre son objectif de protection des données à caractère personnel, le responsable de traitement doit respecter 3 étapes :

• étape 1 : identifier une demande de « tiers autorisé » ;
• étape 2 : vérifier la source et le périmètre de la demande ;
• étape 3 : veiller à sécuriser la communication.

Étape 1. 2 scenarii sont ici possibles :

• si la demande mentionne une référence légale ou réglementaire précise, alors le responsable de traitement doit vérifier la réalité des dispositions mentionnées ;
• si la demande ne mentionne aucune disposition particulière, alors le responsable de traitement doit demander au « tiers autorisé » s’il agit en application d’un texte et de préciser la référence légale afin que la vérification précitée puisse être menée.

Attention ! Si le responsable de traitement adresse des données à caractère personnel à un « tiers autorisé » sans qu’une telle vérification n’ait été réalisée, il s’expose à des sanctions de la CNIL.

Quelles sanctions ? Pour rappel, le non-respect de la réglementation sur la protection des données peut être sanctionné d’une amende pouvant aller jusqu’à 4 % du chiffre d’affaires annuel de l’entreprise ou 20 millions d'euros.

Étape 2. À cette étape, le responsable de traitement doit vérifier que l’émetteur de la demande de communication de documents provient effectivement de l’organisme mentionné dans la demande.

Exemples. Il s’agit, par exemple, pour le responsable de traitement d’effectuer un contre-appel en utilisant le numéro de contact diffusé par l’administration sur son site web (il ne faut pas utiliser le numéro fourni par le demandeur) ou de vérifier que l’adresse postale communiquée correspond à celle diffusée par le « tiers autorisé » sur son site web.

Bon à savoir. Si un responsable de traitement réalise a posteriori que des données à caractère personnel ont été transmises « à tort », il doit aussitôt envisager de notifier une violation de données à la CNIL.

Vérification juridique. À cette 2^e étape, le responsable de traitement doit aussi vérifier que la demande est effectivement autorisée par la disposition légale invoquée. Ainsi, il doit s’assurer que :

• les informations transmises sont effectivement visées par les dispositions invoquées par le « tiers autorisé » ;
• les informations réunies, avant transmission, ne contiennent pas de données à caractère personnel « en trop », c’est-à-dire non demandées par le « tiers autorisé » dans sa requête.

Bon à savoir. Lorsque le « tiers autorisé » sollicite la communication des noms et prénoms des salariés d’un service, le responsable de traitement peut, par commodité, transmettre la copie de l’organigramme correspondant, à condition de masquer les informations « en trop » (photo, adresse de messagerie et numéro de téléphone).

Le point sur le secret professionnel. Le secret professionnel doit être opposé par le responsable de traitement seulement si aucune disposition ne prévoit sa levée. Mais, en pratique, il est rarement possible d’opposer le secret professionnel à un « tiers autorisé » comme l’administration fiscale, par exemple…

Étape 3. Dans cette dernière étape, va se poser la question de la détermination du canal de transmission des informations. Le responsable de traitement doit, à ce titre, privilégier dans la mesure du possible les modalités de communication offrant un niveau de sécurité adapté.

Conseil. Le choix par le « tiers autorisé » de modalités d’échanges jugées peu sûres par le responsable de traitement ne peut pas, en principe l’autoriser à s’opposer à la transmission. Il est cependant conseillé au responsable de traitement d’adresser cette observation à l’organisme tiers autorisé et de conserver tout échange et élément jugé utile sur ce point.

Transmission de documents à l’administration : quelles procédures ?

Un recueil des procédures « tiers autorisés ». La CNIL a rassemblé les procédures « tiers autorisés » en raison de leur fréquence d’utilisation dans un document consultable à l’adresse suivante : https://www.cnil.fr/sites/default/files/atoms/files/recueil-procedures-tiers-autorises.pdf.

Découpage du recueil. Le recueil est découpé selon le champ d’intervention du « tiers autorisé », à savoir :

• enquêtes juridictionnelles ;
• enquêtes administratives ;
• enquêtes économiques ;
• enquêtes sociales, travail et santé.