Actualités

• Oui
• Non

À travers une illustration pratique, la CNIL vient récemment de rappeler les actions à mener lorsque des données personnelles ont fait l'objet d'une violation. Voici la réaction appropriée à suivre, si cela devait vous arriver…

Violation des données personnelles : rappel de la marche à suivre

Pour permettre à tous les professionnels de comprendre et de prévenir les risques d'accès à des données personnelles par des tiers, la CNIL a publié un exemple pratique à travers un vol de supports et détournements de services dans le cadre scolaire.

Au-delà de l'illustration pratique, voici la démarche à suivre pour tout entrepreneur victime d'une violation de données.

• Étape 1 : le signalement 

La violation des données doit être remontée au délégué à la protection des données, le cas échéant, qui doit être notifiée à la CNIL dans les 72 heures qui suivent sa découverte. 

Une plainte auprès des forces de l'ordre est également à effectuer.

• Étape 2 : la documentation 

Les informations collectées à propos de la violation doivent être documentées, notamment à l'aide des prestataires informatiques. 

C'est à cette étape que la violation des données auprès de la CNIL est formellement réalisée. 

Cette notification est faite grâce aux procédures internes de gestion des incidents.

• Étape 3 : rétablissement des données

Il faut rétablir les données si vous disposez de sauvegarde ou d'une journalisation des actions effectuées sur l'espace victime d'une cyberattaque.

• Étape 4 : informer les personnes concernées

Dans certaines situations, il va falloir communiquer auprès des personnes concernées que leurs données personnelles font l'objet d'une violation. 

Pour cela, il faut rédiger un message rappelant des informations obligatoires : les circonstances de l'incident, la nature des données concernées, le point de contact pour avoir des informations supplémentaires, les mesures déjà prises et envisagées et les conséquences possibles pour les personnes concernées.

• Étape 5 : sensibilisation des équipes

Il faut réunir les collaborateurs pour leur faire part de la situation et les sensibiliser à la protection des données.

• Étape 6 : finalisation de la notification à la CNIL

Le cas échéant, il faut faire une notification complémentaire auprès de la CNIL pour lui transmettre les nouveaux éléments : la mise à jour du nombre de personnes concernées par la violation, le nombre de personnes informées et un modèle non nominatif du message adressé à ces dernières.

• Par la suite

Une fois ces étapes achevées, il va falloir mettre en place des actions de bonnes pratiques (si ce n'est pas déjà fait) pour éviter que la situation se reproduise :

• sensibiliser régulièrement vos clients et vos collaborateurs aux bonnes pratiques ;
• mettre en place des procédures de gestion des incidents ;
• s'assurer qu'une journalisation fine des accès et des actions est mise en place sur vos applications ;
• proposer une authentification multi-facteur ;
• etc.

Depuis 2018, les utilisations faites des données personnelles des Européens sont encadrées par le Règlement général sur la protection des données (RGPD). Il impose notamment aux entreprises souhaitant transférer des données à l'étranger de prendre des précautions importantes pour s'assurer que ces données ne courent aucun danger…

Publication d'un outil pour accompagner la création des BCR

Les données à caractère personnel des Européens font l'objet d'une protection exigeante depuis l'entrée en vigueur du Règlement général sur la protection des données (RGPD) en 2018.

Ce texte impose des obligations à toutes les entités traitant ces données sur le territoire de l'Union européenne (UE), mais également dans des États tiers, dès lors que les données traitées sont relatives à des résidents européens.

Ainsi, lorsqu'une entreprise souhaite transférer des données vers une entité établie dans un État tiers à l'UE, elle se doit de vérifier le niveau de protection garanti dans cet État.

S'il est jugé insuffisant, le transfert n'est pas pour autant impossible, mais des précautions supplémentaires doivent être mises en place par l'entreprise.

Une des méthodes pouvant être employées est celle des règles d'entreprise contraignantes (abrégées en BCR pour Binding Corporate Rules). Elle s'adresse aux groupes d'entreprises implantés dans plusieurs États et prend la forme d'un référentiel qui engage toutes les entreprises du groupe concernant le traitement des données personnelles.

Une fois approuvées par les autorités nationales et européennes, les BCR permettent aux entreprises du groupe de transférer entre elles des données personnelles, peu importe leur situation géographique.

La Commission nationale de l'informatique et des libertés (CNIL) propose un nouvel outil pour permettre aux entreprises souhaitant soumettre un dossier d'approbation de BCR d'évaluer la recevabilité et la maturité de leur projet.

RGPD : évaluer ses règles d'entreprise contraignantes (BCR) - © Copyright WebLex

Le juge rappelle régulièrement qu'en cas de nullité d'un licenciement, un salarié peut soit prétendre à sa réintégration dans l'entreprise, soit obtenir une indemnisation. Mais qu'en est-il pour le salarié mis à disposition ? Peut-il à la fois prétendre à l'indemnisation de son préjudice par l'entreprise de travail temporaire et à sa réintégration dans l'entreprise utilisatrice ? Réponse du juge.

Nullité du licenciement d'un intérimaire : réintégration et / ou indemnisation ?

Un salarié, mis à disposition d'une entreprise utilisatrice pendant 2 ans dans le cadre de 25 contrats de travail, saisit le juge d'une demande de requalification de la relation de travail en CDI.

Estimant que la rupture de son dernier contrat de mission est nulle, et outre la requalification en CDI (qu'il obtient), il demande également

• sa réintégration au sein de l'entreprise utilisatrice ;
• le versement, par l'entreprise de travail temporaire (ETT), d'une indemnisation destinée à compenser le préjudice subi.

Ce que l'ETT conteste, estimant que le salarié ne peut pas tout avoir ! Elle rappelle qu'en cas de nullité du licenciement du salarié mis à disposition, celui-ci ne peut pas prétendre cumulativement à sa réintégration et au versement de dommages et intérêts. Il doit faire un choix !

Ce que confirme le juge. Bien que la relation de travail soit requalifiée en CDI, la nullité du licenciement ne peut pas donner lieu à la fois à l'allocation de dommages-intérêts par l'ETT et à la réintégration du salarié dans l'entreprise utilisatrice.

Cela reviendrait à réparer 2 fois le même préjudice… Ce qui n'est pas prévu par la loi !

Intérim : quelle sanction en cas de nullité du licenciement ? - © Copyright WebLex

Une SAS prend indirectement en charge la rémunération d'un salarié mis à disposition par son associée majoritaire pour exercer les fonctions de président de la société. Un « acte anormal de gestion » pour l'administration, qui lui réclame un supplément d'impôt. À tort ou à raison ?

Acte anormal de gestion : à prouver !

Une société par actions simplifiée (SAS) conclu une convention avec son associée majoritaire selon laquelle cette dernière lui met à disposition l'un de ses salariés pour exercer les fonctions de président de la SAS.

Dans ce cadre, l'associée majoritaire facture à la SAS le montant de la rémunération du salarié mis à disposition.

Une situation qui attire l'attention de l'administration fiscale, qui estime que cette prise en charge indirecte de la rémunération du salarié mis à disposition, qui n'a par ailleurs pas été approuvée par l'assemblée générale de la SAS, n'est pas consentie dans l'intérêt de la société et l'assimile, de fait, à un « acte anormal de gestion ». Elle rehausse donc le bénéfice imposable de la SAS.

Pour mémoire, un « acte anormal de gestion » est un acte par lequel une entreprise décide de s'appauvrir à des fins étrangères à son intérêt ce qui, au plan fiscal, est sanctionnable.

Dans cette affaire la SAS conteste la position de l'administration. Elle indique, en effet, que :

• les statuts de la société prévoient que le président est désigné par l'associée majoritaire, qui est également chargée d'en fixer la rémunération ;
• la convention de mise à disposition d'un salarié de l'associée majoritaire prévoit expressément le remboursement, par la SAS, de la rémunération du salarié concerné ;
• des salariés de l'associée majoritaire ont effectivement été détachés auprès de la SAS pour exercer exclusivement leur activité auprès de celle-ci ;
• les sommes facturées au titre de la prise en charge de la rémunération du salarié ne sont pas excessives.

Des arguments suffisants pour convaincre le juge. Puisque l'administration ne prouve pas que la SAS a commis un « acte anormal de gestion », le redressement fiscal est annulé.

Acte anormal de gestion : quand l'administration fiscale voit le mal partout ! - © Copyright WebLex

Très attendue, la loi portant diverses dispositions d'adaptation au droit de l'Union européenne (dite « DDADUE ») a été définitivement adoptée en avril 2024, mettant fin à l'épineuse question de l'acquisition des congés payés pendant les arrêts maladie de « droit commun ». Focus.

Retour sur l'acquisition des congés payés pendant l'arrêt maladie de « droit commun »

Les règles régissant l'acquisition de congés payés durant un arrêt maladie dit de « droit commun », c'est-à-dire non lié à un accident du travail ou une maladie professionnelle, sont modifiées.

Jusqu'alors, la loi excluait du calcul les périodes durant lesquelles le contrat de travail était suspendu en raison d'un arrêt de travail de droit commun.

Ce n'est plus le cas : ces périodes de suspension sont désormais prises en compte dans le cadre de l'acquisition par les salariés de leurs droits à congés payés.

Ainsi, si 1 mois de travail effectif ouvre droit à 2,5 jours ouvrables de congés payés, la loi prévoit qu'1 mois d'arrêt maladie ouvre droit, pour le salarié, à 2 jours ouvrables de congés payés.

La loi traite également le cas du salarié dont le contrat serait suspendu sur toute la durée d'acquisition de droits à congés payés, fixée le plus souvent entre le 1er juin et le 31 mai de l'année suivante.

Dans ce cas, le salarié en arrêt maladie de droit commun pourra acquérir au maximum 24 jours ouvrables de congés payés, soit 4 semaines de congés payés (au lieu des 5 légalement prévues).

Si la loi prévoit une application rétroactive de ces nouvelles dispositions à compter du 1er décembre 2009, elle précise également qu'elles ne peuvent pas conduire les salariés à bénéficier de plus de 24 jours ouvrables de congés payés par année d'acquisition après prise en compte des jours déjà acquis sur la période.

Notez enfin que les salariés sortis des effectifs qui souhaiteraient opposer à leur ex-employeur le bénéfice de ces dispositions nouvelles doivent nécessairement agir dans le délai de 3 ans de prescription des créances salariales applicable aux indemnités de congés payés.

Arrêt maladie de « droit commun » et congés payés : quelles nouveautés ? - © Copyright WebLex

Très attendue, la loi portant diverses dispositions d'adaptation au droit de l'Union européenne (dite « DDADUE ») a été définitivement adoptée en avril 2024, mettant fin à l'épineuse question de l'acquisition des congés payés pendant les arrêts maladie consécutifs à un accident du travail ou une maladie professionnelle (AT / MP). Focus.

Retour sur l'acquisition des congés payés pendant un arrêt maladie consécutif à un AT / MP

Par principe et pour calculer l'acquisition des droits à congés payés du salarié, seules les périodes de travail effectif ou assimilées comme telles comptent.

Et jusqu'alors, la loi assimilait à une période de travail effectif l'arrêt de travail consécutif à un accident du travail ou à une maladie professionnelle (AT / MP) dans la limite d'une année d'absence ininterrompue.

Mais le 13 septembre 2023, le juge en a décidé autrement, considérant que l'ensemble de la période d'absence du salarié victime d'un accident du travail ou d'une maladie professionnelle devait être assimilé à du temps de travail effectif et donc pris en compte au titre des congés payés générés.

Et justement ! La loi dite « DDADUE » d'avril 2024 est venue modifier la législation applicable en ce sens.

Par conséquent, l'acquisition de congés payés se fait désormais sur toute la période de l'arrêt de travail consécutif à un AT / MP, y compris lorsque celui-ci excède 12 mois.

Le salarié qui se trouve dans cette situation continue d'acquérir 2,5 jours ouvrables de congés payés par mois d'arrêt de travail AT / MP. En d'autres termes, il peut acquérir 30 jours ouvrables de congés payés en cas d'arrêt AT / MP sur toute l'année de référence.

Précisons que la loi ne prévoit pas d'application rétroactive au 1er décembre 2009 pour l'application de ces nouvelles dispositions, contrairement à l'acquisition des droits à congés payés pour les salariés en arrêt maladie de droit commun…

Arrêt maladie « professionnel » et congés payés : quelles nouveautés ? - © Copyright WebLex

Très attendue, la loi portant diverses dispositions d'adaptation au droit de l'Union européenne (dite « DDADUE ») a été définitivement adoptée en avril 2024, mettant fin à l'épineuse question du report des congés payés acquis mais non pris en raison d'un arrêt de travail. Focus.

Une période minimale de report de 15 mois

La loi dite « DDADUE » instaure une nouvelle disposition dans le Code du travail visant à régir le cas des congés payés acquis mais non soldés en raison d'un arrêt maladie ou de la suspension du contrat de travail.

Dans cette hypothèse, il est désormais prévu une période de report de 15 mois permettant au salarié de pouvoir solder ses congés lorsqu'il a été dans l'impossibilité de le faire précédemment en raison d'un arrêt de travail (professionnel ou non).

Attention : cette période de 15 mois ne constitue qu'un minimum légal qui pourra être augmenté par la conclusion d'un accord d'entreprise, d'établissement ou, à défaut, par un accord de branche.

Quel point de départ pour cette période de report ?

Le point de départ de cette période de report est conditionné par une information de l'employeur.

La loi indique, en effet, qu'à compter de la reprise du travail du salarié, l'employeur dispose d'un délai de 1 mois pour l'informer :

• du nombre de jours de congés qu'il peut solder ;
• de la date butoir jusqu'à laquelle il peut les poser.

L'employeur doit porter à la connaissance du salarié cette information par tout moyen conférant date certaine à sa réception, notamment au moyen du bulletin de paie.

Notez que la loi prévoit des dispositions particulières concernant le report des congés payés acquis pendant un arrêt de travail longue durée.

Pour finir, précisons que le législateur prévoit une application rétroactive de ces nouvelles règles de report à compter du 1er décembre 2009, sous réserve des décisions passées en force de chose jugée ou des stipulations conventionnelles plus favorables en vigueur à la date d'acquisition des droits à congés payés.

Arrêt maladie et report des congés payés : quelles nouveautés ? - © Copyright WebLex

Pour fluidifier l'exercice de la médecine, les compétences de plusieurs professions paramédicales font l'objet de modifications afin d'être étendues. Une expérimentation qui concerne les infirmiers et qui a commencé début 2024 évolue déjà…

Infirmiers : généralisation de la signature des certificats de décès

Depuis janvier 2024, une expérimentation est en cours, permettant à certains infirmiers de signer des certificats de décès.

Les infirmiers ayant suivi une formation dédiée peuvent alors intervenir, en cas d'indisponibilité d'un médecin, pour constater le décès de patients intervenus à leur domicile ou en EHPAD.

L'expérimentation était initialement menée dans les régions suivantes :

• Auvergne-Rhône-Alpes ;
• Centre-Val de Loire ;
• Ile-de-France ;
• Hauts-de-France ;
• La Réunion ;
• Occitanie.

Dorénavant, elle est étendue à l'ensemble du territoire national et la condition de vérification de l'indisponibilité d'un médecin est supprimée.

Infirmiers : une expérimentation étendue - © Copyright WebLex

À compter du 22 juin 2024, certaines multinationales auront l'obligation de communiquer publiquement des informations relatives aux impôts sur les bénéfices qu'elles paient. Retour sur les règles introduites en France…

Impôt sur les bénéfices : de nouvelles obligations déclaratives

Une nouvelle obligation déclarative relative à la publication par les entreprises multinationales d'un rapport sur les impôts sur les bénéfices payés dans les pays où elles réalisent des opérations est introduite en France.

Elle s'applique pour la 1re fois aux exercices ouverts à compter du 22 juin 2024 et concerne les entreprises suivantes :

• les entreprises françaises ayant un établissement stable à l'étranger et dont le chiffre d'affaires est supérieur à 750 M€ ;
• les sociétés dont le siège est établi en dehors de l'Union Européenne (UE) ou de l'espace économique européen (EEE) et qui disposent d'une succursale en France dont le chiffre d'affaires excède 12 M€ ;
• les sociétés consolidantes dont le chiffre d'affaires excède 750 M€ et qui disposent d'un établissement stable à l'étranger.

Cette mesure est mise en place pour informer le public de l'impôt sur les bénéfices payé par les multinationales qui exercent une activité au sein de l'UE, ainsi que sa répartition État par État.

Schématiquement, les entreprises soumises à cette obligation devront déposer un rapport au greffe du tribunal de commerce dans les 12 mois qui suivent la date de clôture de leur bilan.

Le rapport comporte des informations relatives à l'impôt sur les bénéfices du dernier exercice clos de la structure, et notamment :

• le nom de la société ;
• une brève description de la nature des activités ;
• le nombre de salariés employés en équivalent temps plein ;
• le chiffre d'affaires ;
• le montant du bénéfice ou des pertes avant impôt sur les bénéfices ;
• le montant de l'impôt sur les bénéfices dû ;
• le montant de l'impôt sur les bénéfices acquitté sur la base des règlements effectifs ;
• le montant des bénéfices non distribués.

Notez qu'une procédure d'injonction spéciale est mise en place. Dans ce cadre, toute personne pourra demander au président du tribunal d'enjoindre aux dirigeants d'une entreprise d'établir, de publier ou de mettre à disposition le rapport relatif à l'impôt sur les bénéfices.

Rapport des multinationales relatif aux impôts sur les bénéfices : tic, tac, tic, tac… - © Copyright WebLex