RGPD : le DPO doit être en mesure d’exercer sa mission !

Pour rappel, la procédure simplifiée permet à la CNIL de sanctionner les organismes qui ne sont pas en conformité avec le Règlement Général sur la Protection des Données (RGPD) d’une amende d’un montant maximum de 20 000 €.

Depuis janvier 2024, la CNIL a prononcé 15 amendes au titre de cette procédure, contre 24 pour la totalité de l’année 2023… L’occasion de revenir sur 2 erreurs à ne pas commettre pour les organismes qui ont nommé un délégué à la protection des données (DPO) et qui consistent à :

• ne pas associer cette personne aux réunions intéressant la protection des données et la sécurité des systèmes d’information ;
• ne pas laisser cette personne avoir accès à la messagerie du site internet de l’organisme permettant aux personnes concernées par le traitement de données d’exercer leurs droits.

Des situations problématiques parce que les DPO ont notamment pour mission d’informer et conseiller le responsable de traitement sur ses obligations légales et d’en contrôler le respect.

À ce titre, ils doivent être associés aux échanges qui concernent la protection des données personnelles.

RGPD : rappel des bases

Lors de ses visites sur des sites internet, une personne peut rencontrer des publicités qui seront adaptées à ses habitudes et ses besoins.

Ces publicités que l’on qualifie de « ciblées » font l’objet, en arrière-plan, d’une enchère entre les annonceurs qui souhaitent acquérir cet espace publicitaire.

Mais avant que la publicité ciblée puisse être affichée, il est nécessaire que l’utilisateur ait donné son consentement au traitement de ses données personnelles pour une telle finalité.

C’est dans cette optique qu’une association belge a développé un outil permettant de recueillir le consentement des utilisateurs avant de compiler en une suite de caractères un code qui permet de savoir à quoi une personne consent ou non.

Cet outil, nommé le TC String (Transparency and Consent String) était ensuite mis à la disposition de courtiers en données et de plateformes publicitaires qui, en le combinant à l’adresse IP d’un utilisateur, pouvaient être informés sur son consentement.

L’association pensait ainsi avoir créé un outil conforme aux attentes du RGPD permettant de communiquer anonymement les préférences des internautes.

Mais ça n’est pas l’avis de l’autorité de contrôle belge qui a décidé d’interroger le juge européen.

Ce dernier va confirmer les doutes de l’autorité.

Il rappelle qu’est une donnée personnelle au sens du RGPD « toute information se rapportant à une personne physique identifiée ou identifiable ».

Pour lui, le TC String doit être considéré comme une donnée personnelle, puisqu’une fois rapproché de l’adresse IP d’une personne il permet d’établir un profil utilisateur qui n’est pas anonyme.

De ce fait, comme pour toute donnée personnelle, cette ligne de code ne peut pas s’échanger librement sans le consentement de la personne concernée.

PACS + séparation de biens + absence de vie commune = déclaration séparée !

Parce qu’il est lié par un pacte civil de solidarité (PACS) sous le régime de la séparation de biens, un particulier, qui réside à Mayotte, souscrit sa déclaration d’impôt sur le revenu en incluant au sein du foyer fiscal sa partenaire et leur fille.

Sauf qu’au titre de la même année, cette partenaire, qui réside en métropole, dépose de son côté une déclaration d’impôt sur le revenu en tant que parent isolé.

Une situation qui interroge l’administration fiscale, qui rappelle que si les partenaires liés par un PACS doivent souscrire une déclaration d’impôt sur le revenu commune, il en va autrement lorsque, séparés de biens, ils ne vivent pas sous le même toit.

Ce qui est le cas ici, constate l’administration qui, en conséquence, considère le particulier comme célibataire sans enfant à charge. Un statut qui lui fait perdre des parts de quotient familial et qui permet à l’administration de lui réclamer un supplément d’impôt… qu’il refuse de payer.

Et pour cause ! S’ils sont bel et bien liés par un PACS sous le régime de la séparation de biens et si sa partenaire et sa fille sont restées en métropole alors que lui-même réside à Mayotte, c’est seulement pour des raisons professionnelles.

Ce qui reste à prouver, maintient l’administration : aucun élément ne permet de justifier que l’absence de communauté de vie est temporaire et serait seulement liée à l’activité professionnelle du particulier. D’autant que le PACS a finalement été dissous l’année où les déclarations litigieuses ont été déposées.

Partant de là, les deux partenaires qui étaient séparés de biens et ne vivaient pas sous le même toit devaient souscrire 2 déclarations individuelles. Ce que confirme le juge.

Sauf qu’il reste encore à régler le problème de la charge de l’enfant, souligne le particulier, qui prétend assumer :

• les frais d'électricité et d'eau se rattachant à l'appartement qui lui appartient et dans lequel sa partenaire et leur fille vivent ;
• le coût des travaux réalisés dans cet appartement ;
• la redevance assainissement ;
• les frais de demi-pension à l'école de sa fille et l'assurance civile de celle-ci.

Insuffisant, selon le juge : ces éléments ne suffisent pas à établir que le particulier assume à titre principal l'entretien de sa fille qui réside avec sa mère en métropole tandis que lui réside à Mayotte.

C'est donc à bon droit que l'administration fiscale a rectifié l'avis d'imposition du particulier en refusant le rattachement de sa fille à son foyer fiscal.