Actualités

La commission nationale de l'informatique et des libertés (CNIL) a récemment sanctionné une entreprise en raison du caractère disproportionné de la surveillance des salariés. Voilà l'occasion de revenir sur les conditions subordonnant la mise en place d'une telle surveillance…

Vidéosurveillance en continu et logiciel de suivi des salariés en télétravail : excessifs ?

À la suite d'un contrôle consécutif à des plaintes, la CNIL a prononcé une amende de 40 000 euros à l'encontre d'une société qui avait installé sur les ordinateurs de certains salariés un logiciel de suivi de leur activité, dans le cadre du télétravail mis en place dans l'entreprise.

Autre point de blocage : la mise en place d'un système de vidéosurveillance dans l'entreprise qui capturait le son et l'image et évaluait les performances, en continu, des salariés.

Pour la CNIL, cette surveillance est excessive s'agissant de la mesure du temps de travail et de la mesure de la performance des salariés.

Concernant la mesure du temps de travail, la CNIL reproche à la société d'avoir paramétré le logiciel de manière à pouvoir mesurer nominativement les temps qu'elle considérait comme des temps d'inactivité.

Ainsi, si le salarié n'effectuait aucune frappe sur le clavier ou mouvement sur la souris pendant un certain temps, ces temps d'inactivité comptabilisés pouvaient faire l'objet d'une retenue sur salarie, à défaut d'être justifiés (ou rattrapés) par les salariés.

Pour la CNIL, un tel dispositif ne permet pas un décompte fiable des heures de travail contrairement à la finalité annoncée, puisque ces temps pouvaient également être consacrés à des réunions ou des appels téléphoniques professionnels par exemple, considérés alors comme du temps de travail effectif.

Concernant la mesure de la performance des salariés, la CNIL constate que le logiciel permet d'effectuer régulièrement des captures d'écran selon une récurrence déterminée individuellement par la société.

Pour la CNIL, ce système est particulièrement intrusif en ce qu'il peut conduire à la capture d'éléments d'ordre privée (mots de passe ou conversation de messagerie instantanée par exemple).

La CNIL en conclut que l'ensemble de ces éléments mis en place contrevient au RGPD et plus particulièrement aux obligations suivantes :

• informer les personnes concernées ;
• assurer la sécurité des données ;
• réaliser une analyse d'impact relative à la protection des données pour les traitements mis en œuvre.

Surveillance des salariés : attention au caractère excessif  ! - © Copyright WebLex

Dès lors que, dans le cadre d'une activité professionnelle, une opération apparaît douteuse et peut potentiellement présenter un risque frauduleux ou illicite, une déclaration de soupçon doit être effectuée auprès des services du traitement du renseignement et d'action contre les circuits financiers clandestins (TRACFIN), selon des modalités qui viennent d'être précisées…

TRACFIN : obligation déclarative précisée

Le dispositif TRACFIN (Traitement du renseignement et action contre les circuits financiers clandestins) vise à démanteler les circuits financiers clandestins relatifs au blanchiment d'argent et au financement du terrorisme.

Le dispositif TRACFIN oblige certains professionnels à collecter et à transmettre aux services spécialisés toutes les informations relatives à des opérations financières qu'ils identifient comme douteuses via une déclaration de soupçon.

Les professionnels concernés par cette obligation de signalement relèvent de secteurs nombreux et variés : il s'agit notamment des banques et établissements de crédit, des assureurs, des intermédiaires immobiliers, mais aussi des commissaires aux comptes (CAC).

Il est précisé que cette déclaration de soupçon s'effectue, sauf dérogation accordée à certains professionnels et situations d'urgence, au moyen d'une plate-forme sécurisée et dématérialisée dénommée « ERMES ».

Depuis le 1er février 2025, l'utilisation de cette plateforme sécurisée est généralisée à l'ensemble des professionnels assujettis.

En cas d'indisponibilité de la plate-forme sécurisée ERMES ou d'une urgence particulière ne permettant pas son utilisation, la déclaration de soupçon doit être effectuée par voie postale ou par courriel, au moyen d'un formulaire dématérialisé, complété de façon dactylographiée.

Lutte contre le blanchiment de capitaux : du nouveau concernant la déclaration de soupçon  - © Copyright WebLex

Après avoir réalisé des travaux, une société, qui n'a pas été payée, assigne un couple en paiement de sa prestation. Mais le couple refuse, estimant que l'action de la société est prescrite. Une analyse que ne partage pas la société. Qu'en pense le juge ?

Contestations du maître d'ouvrage = inachèvement des travaux ?

Faisant construire une maison, un couple fait appel à une société pour poser des pieux de fondation sur le chantier. Les travaux sont réalisés et les factures envoyées au couple, qui ne les paie pas.

Quelque temps après, la société assigne le couple en paiement de sa prestation.

Une demande qui arrive trop tard selon les époux qui rappellent la règle : l'action en paiement des professionnels, pour les biens ou les services qu'ils fournissent aux consommateurs, se prescrit par 2 ans à compter de la date de la connaissance des faits permettant au professionnel d'exercer son action.

Ici, il s'agit de la date d'achèvement des travaux, date qui remonte à plus de 2 ans…

« Justement non ! », conteste la société en indiquant que le couple n'a jamais réceptionné les travaux puisqu'il a rédigé une liste de contestations sur leur conformité, réclamant à la société de réintervenir avant, finalement, d'engager une autre société pour faire les reprises qu'il estimait nécessaires.

Autant d'éléments qui démontrent que la prescription n'a pas pu démarrer à la date d'achèvement des travaux faute, justement, d'achèvement…

« Faux ! », tranche le juge en faveur du couple : la société a bien indiqué dans ses factures la mention « travaux effectués » et n'a pas réalisé d'autre intervention.

De plus, en réponse à la demande du couple de réintervenir, la société a d'ailleurs fourni une étude indiquant qu'il n'y avait pas besoin de faire de reprise des pieux de fondations.

Enfin, la formulation de contestations par le couple ne vaut pas défaut d'achèvement des travaux.

Ainsi, la prescription a bien démarré à la date de l'achèvement des travaux et est à présent acquise au couple. La société ne peut donc pas exiger le paiement de ses factures !  

Quelle prescription pour l'action du professionnel en cas de travaux (in)achevés ? - © Copyright WebLex

Un couple paie un achat via l'IBAN envoyé par le vendeur sur sa boîte mail, mais qu'un escroc a remplacé par le sien. Le couple demande alors à sa banque un remboursement des sommes versées à la mauvaise personne. Cette dernière refuse, estimant qu'elle n'est pas responsable de cette situation. Qu'en pense le juge ?

Responsabilité et obligation de vigilance de la banque…

Dans le cadre d'un achat d'un véhicule, un couple fait enregistrer par sa banque l'IBAN envoyé par le vendeur par mail. Une fois le numéro d'identification enregistré, le couple fait effectuer 2 virements correspondant au prix de vente.

Sauf que le vendeur informe les époux qu'il n'a pas reçu l'argent : le couple se rend compte alors que sa boîte mail a été piratée et qu'un escroc a remplacé l'IBAN du vendeur par le sien.

Résultat : le prix de vente du véhicule a été viré non pas sur le compte du vendeur, mais sur celui de l'escroc.

Le couple se tourne donc vers sa banque pour obtenir le remboursement des sommes ainsi versées.

Remboursement que refuse de faire la banque : selon elle, les règles de responsabilité des prestataires de services de paiement du payeur en raison d'une opération de paiement non autorisée ou mal exécutée ne s'appliquent pas ici.

La banque estime, en effet, avoir correctement fait son travail puisqu'elle a exécuté l'ordre de paiement du couple en utilisant l'identifiant bancaire fourni par ses soins. Ce n'est pas de sa faute si l'IBAN était celui d'un escroc.

« Si ! », assure le couple qui estime que la banque n'a pas respecté son obligation de vigilance. En effet, la banque a enregistré un IBAN qui ne mentionnait pas l'adresse du bénéficiaire ni celle de sa banque et qui avait été envoyé par un simple mail.

« Non ! », tranche le juge en rappelant qu'ici ce ne sont pas les règles relatives à l'obligation de vigilance « classique » qui doivent être appliquées, mais bien celles relatives à la responsabilité des prestataires de services de paiement en cas d'opération de paiement non autorisée ou mal exécutée.

Ainsi, lorsqu'une banque exécute un virement en se basant sur un identifiant fourni par son client, elle n'est pas responsable si l'argent n'est pas envoyé à la personne souhaitée.

La banque n'a donc pas à rembourser les sommes ainsi perdues.

Fraude au RIB ou à l'IBAN : la banque est-elle responsable ? - © Copyright WebLex

À la suite des récentes inondations survenues en régions Bretagne, Pays de la Loire et Normandie, l'URSSAF et le Conseil de protection sociale des travailleurs indépendants (CPSTI), dont la dotation annuelle de gestion administrative vient d'ailleurs d'être dévoilée, activent des mesures d'urgence et de soutien pour les entrepreneurs touchés.

Inondations : mobilisation du CPSTI et de l'Urssaf

Les travailleurs indépendants, dont les locaux ont été touchés par les récentes intempéries en Bretagne, Pays de la Loire et en Normandie, peuvent bénéficier d'un report des échéances de cotisations recouvertes par l'Urssaf, grâce à la mise en place d'un délai de paiement.

Pour ce faire, le travailleur indépendant est invité à se faire connaître via la rubrique « Déclarer une situation exceptionnelle » depuis sa messagerie sécurisée.

Les employeurs peuvent également solliciter un report des échéances de cotisations de la même manière.

Idem du côté de l'auxiliaire praticien médical qui, s'il est touché par les intempéries, pourra également bénéficier d'un report des cotisations et d'une aide d'action sociale en se rapprochant de la caisse de retraite ou de prévoyance dont il dépend.

Le Conseil de la protection sociale des travailleurs indépendants (CPSTI) met, quant à lui, en œuvre un plan d'urgence pour aider les travailleurs indépendants victimes d'inondations, se matérialisant par une aide financière pouvant aller jusqu'à 2 000 €.

Cette aide d'urgence s'inscrit dans la continuité de la publication récente du montant de la dotation pour les dépenses de gestion administrative, s'élevant à 4 520 878 € pour 2025.

Rappelons que cette somme, révisée chaque année, vise à couvrir l'ensemble des dépenses de gestion administrative du CPSTI.

Intempéries : des mesures de soutien et d'aide aux entrepreneurs touchés ! - © Copyright WebLex

Prévue par le projet de loi de finances pour 2025, la création d'un plafond unique à 25 000 € de recettes dans le cadre du régime de la franchise en base de TVA pour les microentreprises est pour le moment suspendue. Le ministre de l'Économie, des Finances et de la Souveraineté industrielle et numérique en a récemment fait l'annonce, tout en ouvrant la voie à de nouvelles évolutions dans ce domaine…

Franchise TVA : un seuil finalement maintenu, temporairement…

Actuellement, les microentreprises bénéficiant du régime de la franchise en base de TVA sont dispensées de collecter cette TVA auprès de leurs clients avec, en contrepartie, l'impossibilité de déduire la TVA qu'elles ont versée à leurs fournisseurs.

Ce régime est ouvert aux microentreprises qui ne déclarent pas plus de 37 500 € ou 85 000 € de recettes annuelles, selon leurs activités.

Dans le cadre du projet de loi de finances pour 2025, et dans la perspective d'améliorer la situation budgétaire de la France, il est prévu d'abaisser ce seuil de recettes à 25 000 € (plafond unique), à compter du 1er mars 2025, ce qui aurait pour conséquence de rendre assujetties à la TVA de plus nombreuses microentreprises, sans compter les nouvelles obligations déclaratives auxquelles elles se verraient contraintes.

Mais face aux réactions que suscite cette mesure, le ministre de l'Économie, des Finances et de la Souveraineté industrielle et numérique a, lors d'une allocution télévisuelle le 6 février 2025, annoncé que cette mesure est pour le moment suspendue, du moins temporairement.

Dans le même temps, il a, en effet, annoncé vouloir lancer une concertation avec les différentes parties prenantes dans l'objectif de trouver des solutions conciliant les contraintes budgétaires et le soutien au développement économique et à la vie entrepreneuriale et d'assurer une mise en œuvre de cette réforme dans les meilleures conditions au cours de l'année 2025.

Affaire à suivre, donc…

TVA et microentreprise : adoption, suspension, concertation ? - © Copyright WebLex

Afin d'être le plus efficace possible dans la protection des données personnelles, le RGPD exige des opérateurs la poursuite de cette protection en cas de transfert de données en dehors de l'Espace économique européen (EEE). Pour cela, une analyse d'impact des transferts des données (AITD) est nécessaire. Comment la mener ?

Transfert de données = ça passe par une AITD !

Pour rappel, le Règlement général sur la protection des données (RGPD) a pour objectif de protéger les données personnelles des européens.

Par conséquent, en cas de transfert de données dans un pays hors de l'Espace économique européen (EEE), une protection équivalente à celle prévue par le RGPD doit être mise en place par les exportateurs et les importateurs desdites données.

De plus, la Cour de justice de l'Union européenne (CJUE) a également précisé que les exportateurs doivent suspendre le transfert, voire résilier le contrat, si l'importateur n'est pas, ou n'est plus, en mesure de respecter ses engagements en matière de protection des données personnelles.

Ainsi, les exportateurs qui utilisent des outils de transferts, par exemple, via des clauses contractuelles types (CCT) ou des règles d'entreprise contraignantes (BCR), ont l'obligation de mener au préalable une analyse d'impact des transferts de données (AITD) afin d'évaluer :

• le niveau de protection dans les pays tiers de destination ;
• la nécessité de mettre en place des garanties supplémentaires.

Pour aider les exportateurs à mener à bien cette analyse, la CNIL a publié à leur attention un guide pratique enrichi des dernières consultations publiques.

La CNIL rappelle ainsi qu'une AITD doit être réalisée par l'exportateur soumis au RGPD, qu'il soit responsable de traitement ou sous-traitant, avec l'assistance de l'importateur, en amont du transfert des données vers un pays hors de l'EEE.

Notez qu'il existe 2 exceptions à cette obligation :

• lorsque le pays de destination est couvert par une décision d'adéquation de la Commission européenne ;
• lorsque le transfert est effectué sur la base d'une des dérogations prévues par le RGPD, notamment pour des motifs importants d'intérêt public, pour l'exercice de la justice, pour la sauvegarde des intérêts vitaux d'une personne qui est dans l'incapacité de donner son consentement, etc.

Notez enfin que l'utilisation de ce guide n'est pas obligatoire. Il constitue néanmoins une ressource intéressante d'accompagnement pour déterminer si et comment une telle analyse doit bien être menée.

Analyse d'impact des transferts des données (AITD) : la CNIL vous guide ! - © Copyright WebLex

La loi autorise l'employeur ou le CSE à offrir aux salariés une aide financière afin de faciliter l'accès à des services à la personne. Cette aide est exonérée de cotisations sociales sous réserve de ne pas excéder un plafond, qui vient de faire l'objet d'une revalorisation. À quelle hauteur ?

CSE : plafond d'exonération revalorisé depuis le 1er janvier 2025

Pour mémoire, le Code du travail prévoit la possibilité pour l'employeur ou le comité social et économique (CSE) de verser une aide financière aux salariés, qui permet de :

• faciliter l'accès aux activités entrant dans le champ des services à la personne ;
• financer des activités de services à la personne ou de garde d'enfant en dehors du domicile du salarié ;
• financer des prestations directement liées à la gestion et au fonctionnement du chèque emploi-service (CESU).

Cette aide peut se matérialiser par :

• le versement direct d'une aide financière au salarié ;
• ou sous la forme d'un CESU préfinancé.

Pour être exonéré de cotisations sociales, le montant de cette aide financière ne doit pas excéder le coût du service supporté par le bénéficiaire.

En plus de cette condition, cette exonération est également subordonnée à un plafond d'exonération, revalorisé chaque année.

Depuis le 1er janvier 2025, le montant maximum de cette aide exonérée de cotisation sociale est fixé à 2 540 € par bénéficiaire et par année civile (contre 2 421€ en 2024).

Aide financière du CSE : nouveau plafond d'exonération pour 2025 ! - © Copyright WebLex