Violation des données personnelles : rappel de la marche à suivre

Pour permettre à tous les professionnels de comprendre et de prévenir les risques d’accès à des données personnelles par des tiers, la CNIL a publié un exemple pratique à travers un vol de supports et détournements de services dans le cadre scolaire.

Au-delà de l’illustration pratique, voici la démarche à suivre pour tout entrepreneur victime d’une violation de données.

La violation des données doit être remontée au délégué à la protection des données, le cas échéant, qui doit être notifiée à la CNIL dans les 72 heures qui suivent sa découverte.

Une plainte auprès des forces de l’ordre est également à effectuer.

Les informations collectées à propos de la violation doivent être documentées, notamment à l’aide des prestataires informatiques.

C’est à cette étape que la violation des données auprès de la CNIL est formellement réalisée.

Cette notification est faite grâce aux procédures internes de gestion des incidents.

Il faut rétablir les données si vous disposez de sauvegarde ou d’une journalisation des actions effectuées sur l’espace victime d’une cyberattaque.

Dans certaines situations, il va falloir communiquer auprès des personnes concernées que leurs données personnelles font l’objet d’une violation.

Pour cela, il faut rédiger un message rappelant des informations obligatoires : les circonstances de l’incident, la nature des données concernées, le point de contact pour avoir des informations supplémentaires, les mesures déjà prises et envisagées et les conséquences possibles pour les personnes concernées.

Il faut réunir les collaborateurs pour leur faire part de la situation et les sensibiliser à la protection des données.

Le cas échéant, il faut faire une notification complémentaire auprès de la CNIL pour lui transmettre les nouveaux éléments : la mise à jour du nombre de personnes concernées par la violation, le nombre de personnes informées et un modèle non nominatif du message adressé à ces dernières.

Une fois ces étapes achevées, il va falloir mettre en place des actions de bonnes pratiques (si ce n’est pas déjà fait) pour éviter que la situation se reproduise :

• sensibiliser régulièrement vos clients et vos collaborateurs aux bonnes pratiques ;
• mettre en place des procédures de gestion des incidents ;
• s’assurer qu’une journalisation fine des accès et des actions est mise en place sur vos applications ;
• proposer une authentification multi-facteur ;
• etc.

Impôt sur les bénéfices : de nouvelles obligations déclaratives

Une nouvelle obligation déclarative relative à la publication par les entreprises multinationales d’un rapport sur les impôts sur les bénéfices payés dans les pays où elles réalisent des opérations est introduite en France.

Elle s’applique pour la 1^re fois aux exercices ouverts à compter du 22 juin 2024 et concerne les entreprises suivantes :

• les entreprises françaises ayant un établissement stable à l’étranger et dont le chiffre d’affaires est supérieur à 750 M€ ;
• les sociétés dont le siège est établi en dehors de l’Union Européenne (UE) ou de l’espace économique européen (EEE) et qui disposent d’une succursale en France dont le chiffre d’affaires excède 12 M€ ;
• les sociétés consolidantes dont le chiffre d’affaires excède 750 M€ et qui disposent d’un établissement stable à l’étranger.

Cette mesure est mise en place pour informer le public de l’impôt sur les bénéfices payé par les multinationales qui exercent une activité au sein de l’UE, ainsi que sa répartition État par État.

Schématiquement, les entreprises soumises à cette obligation devront déposer un rapport au greffe du tribunal de commerce dans les 12 mois qui suivent la date de clôture de leur bilan.

Le rapport comporte des informations relatives à l’impôt sur les bénéfices du dernier exercice clos de la structure, et notamment :

• le nom de la société ;
• une brève description de la nature des activités ;
• le nombre de salariés employés en équivalent temps plein ;
• le chiffre d'affaires ;
• le montant du bénéfice ou des pertes avant impôt sur les bénéfices ;
• le montant de l'impôt sur les bénéfices dû ;
• le montant de l'impôt sur les bénéfices acquitté sur la base des règlements effectifs ;
• le montant des bénéfices non distribués.

Notez qu’une procédure d’injonction spéciale est mise en place. Dans ce cadre, toute personne pourra demander au président du tribunal d’enjoindre aux dirigeants d’une entreprise d’établir, de publier ou de mettre à disposition le rapport relatif à l’impôt sur les bénéfices.

Vente d’actifs numériques : conditions et conséquences de l’option pour le barème de l’IR

Pour rappel, les gains (appelés « plus-values ») réalisés à titre occasionnel par les particuliers domiciliés fiscalement en France lors de la vente d’actifs numériques (cryptomonnaies par exemple) sont soumis à un prélèvement forfaitaire unique (PFU), aussi appelé « flat tax », calculé au taux de 30 %.

À titre dérogatoire, pour les ventes d’actifs numériques réalisées depuis le 1^er janvier 2023, les particuliers peuvent opter pour une taxation au titre du barème progressif de l’impôt sur le revenu (IR) en lieu et place du PFU.

L’administration fiscale vient d’apporter des précisions dans sa documentation concernant les modalités d’exercice de cette option et ses conséquences.

Opter pour l’imposition suivant le barème progressif de l’IR : comment ?

Dans ce cadre, l’option pour l’application du barème progressif de l’IR :

• doit être formulée de manière expresse sur la déclaration d’ensemble des revenus 2042 C, au plus tard avant l’expiration de la date limite de déclaration (case 3 CN à cocher) ;
• est exercée de manière globale pour l’ensemble des gains de cession d’actifs numériques réalisés au cours d’une même année ;
• est irrévocable. Aucune modification ne peut être apportée après la date limite de dépôt de la déclaration d’ensemble des revenus.

Notez que cette option est indépendante de celle prévue pour la taxation des revenus de capitaux mobiliers et des gains sur cession de droits sociaux.

Retenez également qu’en l’absence d’option, les plus-values sont automatiquement soumises au PFU.

Pour finir, l’obligation de déclarer les références des comptes d’actifs numériques ouverts, détenus, utilisés ou clos auprès d’entreprises, de personnes morales, d’institutions ou d’organismes établis à l’étranger ne concerne plus uniquement les particuliers depuis le 1^er janvier 2024, mais aussi toutes personnes et entités juridiques domiciliées en France.

Opter pour le barème progressif : quelles conséquences ?

L’exercice de l’option pour le barème progressif de l’IR entraîne les conséquences suivantes :

• les particuliers domiciliés dans les DOM bénéficient d’un abattement appliqué sur le montant brut de l’impôt calculé par application du barème progressif (abattement de 30 % pour ceux domiciliés en Guadeloupe, Martinique ou Réunion et 40 % pour ceux domiciliés en Guyane ou à Mayotte) ;
• une fraction de 6,8 % de la CSG payée est déductible du revenu global de l’année de son paiement.