Le Règlement Général pour la Protection des Données (RGPD) est une règlementation européenne qui vise à réformer et renforcer la protection des données personnelles. Il s’agit d’un règlement adopté par le Parlement européen qui est applicable depuis le 25 mai 2018 dans tous les pays de l’Union Européenne.

Depuis cette date, toutes les entreprises doivent être en conformité avec le RGPD sous peine de sanctions.

Dans le cadre du RGPD, les entreprises ont l’obligation de tenir une documentation interne complète sur leurs traitements de données personnelles et doivent s’assurer que ces traitements respectent bien les nouvelles obligations légales. Cette documentation interne se concrétise notamment par la tenue d’un registre de traitement des données, que vous allez devoir renseigner.

Rappel : les traitements correspondent à tout processus de collecte, de stockage, d’utilisation, de partage ou encore de destruction des données personnelles au sein de votre entreprise.

Pour faciliter la tenue de ce registre, la CNIL propose un modèle de registre de base (format ODS) ), destiné à répondre aux besoins les plus courants en matière de traitements de données, en particulier des petites structures (TPE/PME, associations, petites collectivités, etc.). Il permet de satisfaire au socle d’exigences posées par l’article 30 du RGPD.

La CNIL recommande, dans la mesure du possible, d’enrichir le registre de mentions complémentaires afin d’en faire un outil plus global de pilotage de la conformité.

Pour créer cette documentation interne, vous devez au préalable recenser concrètement:

• Les différents traitements de données personnelles

Ex : données personnelles relatives aux salariés pour les fiches de salaire

Ex : données personnelles des clients pour la vente de véhicules

Ex : données personnelles des clients pour l’entretien de leur véhicule

Ex : données personnelles des clients d’une école de conduite

• Les catégories de données personnelles traitées: pour chacun des traitements de données personnelles de l’entreprise (ci-dessus), vous devez détailler les catégories de données récoltées.

Ex : nom, adresse complète, adresse mail, téléphone, …

Précision importante: il ne vous est pas demandé de répertorier chaque client pris individuellement ! Le registre a pour but de donner une vision d’ensemble des données que vous collectez.

Attention : si vous récoltez des données sensibles (données relatives à la santé ou aux infractions) vous devez également l’indiquer. Cependant, les professionnels de l’automobile n’ont a priori pas besoin de collecter ce type de données et nous vous le déconseillons, sauf à pouvoir en justifier des motifs, en cas de contrôle de la CNIL.

• La finalité de cette collecte (pourquoi vous collectez ces données) : chaque traitement de données doit avoir une finalité précise.

Ex : pour les données personnelles relatives aux salariés > finalité > gestion des ressources humaines

Ex : pour les données personnelles relatives aux clients > finalité > gestion commerciale

• Le lieu où ces données personnelles sont hébergées: les données sont-elles hébergées au sein de l’entreprise ? sont-elles transmises à un sous-traitant gestionnaire de ces données ? sont-elles transférées à un pays tiers ? Indiquez précisément ces informations.
• Pour chaque catégorie de données, combien de temps vous les conservez.
• Les mesures de sécurité mises en œuvre par votre entreprise pour minimiser les risques d’accès non autorisés aux données et donc d’impact sur la vie privée des personnes concernées.

Attention : les informations à tenir dans ce registre sont propres à chaque entreprise. Vous devez par conséquent au préalable réfléchir en interne sur l’ensemble des traitements de données personnelles que vous avez mis en œuvre.

Par ailleurs, la CNIL a édité sur son site  une page d’information détaillée sur le registre  qui accompagne la publication de ce modèle. Nous vous conseillons d’en prendre connaissance avant de commencer à renseigner ce registre.

Enfin, dans une vidéo réalisée en étroite collaboration avec la CNIL, le Youtuber Samson Son – alias Cookie Connecté – explique le RGPD aux professionnels encore peu familiarisés avec ce règlement qui entrera en application le 25 mai prochain.

Une 1^ere vidéo explique le RGPD (6 mn) :

https://www.youtube.com/watch?v=u4M5lVYv3UI

Une 2^e vidéo (15 minutes) répond aux principales interrogations posées par les professionnels :

https://www.cnil.fr/fr/video-le-youtubeur-cookie-connecte-repond-vos-questions-sur-larrivee-du-rgpd

Dans le cadre de votre activité professionnelle, vous êtes amenés à collecter des données personnelles, comme par exemple : les coordonnées postales de vos clients, leurs numéros de téléphone, les coordonnées de vos salariés …

QU’EST-CE QU’UNE DONNEE PERSONNELLE ?

Il s’agit de toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;

QU’EST-CE QUE LE RGPD ?

Les entreprises ont déjà l’obligation de respecter un certain nombre d’obligations concernant la protection des données personnelles, dans le cadre de la Loi Informatique et Libertés du 6 janvier 1978.

Le Règlement Général pour la Protection des Données (RGPD) est une nouvelle règlementation européenne qui vise à réformer et renforcer la protection des données personnelles. Il s’agit d’un règlement adopté par le Parlement européen qui sera applicable à partir du 25 mai 2018 dans tous les pays de l’Union Européenne. A cette date, toutes les entreprises devront être en conformité avec le RGPD sous peine de sanctions.

VOTRE ENTREPRISE EST-ELLE CONCERNEE PAR LE RGPD ?

Oui, tous les professionnels sont concernés, quel que soit leur domaine d’activité et quel que soit la taille de leur entreprise dès lors que celle-ci est située dans un pays de l’Union Européenne (UE). Sont aussi concernées les entreprises situées hors de l’UE mais disposant de clients au sein de l’UE.

Prochainement, la CNIL proposera une information adaptée aux petites et moyennes entreprises, que nous ne manquerons pas de vous communiquer.

QUELS SONT LES OBJECTIFS DU RGPD ?

Ce règlement vise à créer un cadre harmonisé au niveau européen de la protection des données en renforçant les droits des personnes. Ainsi, cette règlementation instaure notamment une consolidation des obligations d’information, des restrictions en termes de recueil de consentement, un nouveau droit à la portabilité des données et à l’effacement, la création de dispositions propres aux personnes mineures,…

EN PRATIQUE

Cette nouvelle réglementation implique que chaque entreprise revoit sa politique de protection des données en veillant à ce que les données collectées soient désormais bien conforme à la réglementation.

Les fichiers de données à caractère personnel déjà existants au 25 mai 2018 devront, d’ici là, être mis en conformité avec les dispositions du règlement. Cela signifie qu’il va falloir vérifier chaque traitement de données que vous opérez au sein de votre entreprise : collecte des données de vos salariés, de vos clients, de vos fournisseurs, de vos partenaires commerciaux, …

D’importantes sanctions peuvent être prononcées par la CNIL en cas de non-respect des dispositions du règlement (mise en demeure de l’entreprise, suspension des flux de données, ordre de rectifier, limiter ou effacer les données, amende…).

La CNIL peut notamment :

• Prononcer un avertissement ;
• Mettre en demeure l’entreprise ;
• Limiter temporairement ou définitivement un traitement ;
• Suspendre les flux de données ;
• Ordonner de satisfaire aux demandes d’exercice des droits des personnes ;
• Ordonner la rectification, la limitation ou l’effacement des données.

S’agissant des amendes administratives, elles peuvent s’élever, selon la catégorie de l’infraction, de 10 ou 20 millions d’euros, ou, dans le cas d’une entreprise, de 2% jusqu’à 4% du  chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ces sanctions sont applicables quelle que soit la taille de l’entreprise.

Des informations complémentaires sont disponibles sur le site Internet CNIL.fr, onglet « Règlement européen ».

COMMENT SE METTRE EN CONFORMITE AVEC LE RGPD POUR LE 25 MAI 2018 ?

Source Site Internet CNIL : les étapes ci-dessous reprennent le mode d’emploi de la CNIL que vous retrouverez en version détaillée en PDF ci-joint.

La CNIL a mis en ligne un mode d’emploi pour permettre aux entreprises de se mettre en conformité. Retrouvez ci-dessous les 6 étapes élaborées par la CNIL pour vous mettre en conformité.

Etape 1 : Désigner un pilote, le Délégué à la Protection des Données

Pour piloter la gouvernance des données personnelles de votre structure, vous aurez besoin d’un véritable chef d’orchestre qui exercera une mission d’information, de conseil et de contrôle en interne : le délégué à la protection des données.

Son rôle : Informer, conseiller, sensibiliser l’entreprise et contrôler en interne que l’entreprise respecte ses obligations en matière de protection des données personnelles. C’est également le DPO qui communique avec la CNIL et répond à ses demandes en cas de contrôle de l’entreprise.

• Cette étape n’est pas une obligation lorsque l’entreprise n’a pas une activité de base l’amenant à réaliser un suivi régulier et systématique des personnes à grande échelle ou à traiter à grande échelle des données dites « sensibles » ou relatives à des condamnations pénales et infractions.
• Les professionnels de l’automobile, TPE ou PME ne sont à priori pas concernés par cette obligation. Il peut cependant être utile qu’au sein de votre entreprise une personne soit désignée pour piloter la mise en place et le suivi de l’ensemble de ces obligations.

Etape 2 : recenser de façon précise les traitements de données personnelles que vous mettez en œuvre au sein de votre entreprise (= cartographier)

Les entreprises ont désormais l’obligation de tenir une documentation interne complète sur leurs traitements de données personnelles et doivent s’assurer que ces traitements respectent bien les nouvelles obligations légales.

Les traitements correspondent à tout processus de collecte, de stockage, d’utilisation, de partage ou encore de destruction des données au sein de votre entreprise.

Pour créer cette documentation interne, vous devez recenser concrètement:

• Les différents traitements de données personnelles

Ex : données personnelles relatives aux salariés pour les fiches de salaire

Ex : données personnelles des clients pour la vente de véhicules

Ex : données personnelles des clients pour l’entretien de leur véhicule

Ex : données personnelles des clients d’une école de conduite

• Les catégories de données personnelles traitées: pour chacun des traitements de données personnelles de l’entreprise (ci-dessus), vous devez détailler les catégories de données récoltées.

Ex : nom du client, adresse complète, adresse mail, téléphone, …

Attention : si vous récoltez des données sensibles (données relatives à la santé ou aux infractions) vous devez également l’indiquer. Cependant, les professionnels de l’automobile n’ont a priori pas besoin de collecter ce type de données et nous vous le déconseillons, sauf à pouvoir en justifier des motifs, en cas de contrôle de la CNIL.

• La finalité de cette collecte (pourquoi vous collectez ces données) : chaque traitement de données doit avoir une finalité précise.

Ex : pour les données personnelles relatives aux salariés > finalité > gestion des ressources humaines

Ex : pour les données personnelles relatives aux clients > finalité > gestion commerciale

• Le lieu où ces données sont hébergées: les données sont-elles hébergées au sein de l’entreprise ? sont-elles transmises à un sous-traitant gestionnaire de ces données ? sont-elles transférées à un pays tiers ? Indiquez précisément ces informations.
• Pour chaque catégorie de données, combien de temps vous les conservez.
• Les mesures de sécurité mises en œuvre par votre entreprise pour minimiser les risques d’accès non autorisés aux données et donc d’impact sur la vie privée des personnes concernées.

La CNIL propose un modèle de registre sous format Excel[1]. Ce modèle vous permettra de recenser dans un document l’ensemble des informations décrites ci-dessus. Retrouvez ce registre en annexe.

Attention : les informations à tenir dans ce registre sont propres à chaque entreprise. Vous devez par conséquent au préalable réfléchir en interne sur l’ensemble des traitements de données personnelles que vous avez mis en œuvre.

Etapes 3 : identifier les actions à mener pour vous conformer aux obligations actuelles et à venir

Le registre que vous avez créé vous a permis d’avoir une vision d’ensemble sur la collecte des données personnelles réalisée par votre entreprise. Vous devez maintenant rectifier certaines collectes pour les rendre conformes au RGPD.

• Vous ne devez collecter que les seules les données strictement nécessaires à la poursuite de vos objectifs.

Ex : pour une vente de véhicule, vous ne devez collecter que les informations strictement nécessaires à la finalisation de la vente : collecter des données concernant l’état de santé du client est inutile.

• Actualisez vos mentions d’information afin qu’elles soient conformes aux exigences du règlement.
• Prévoyez vos process internes pour permettre les modalités d’exercice des  droits des personnes concernées (droit d’accès, de rectification, droit à la portabilité, retrait du consentement…) : qui réceptionne ces demandes en interne, comment mettez-vous en œuvre la demande, comment informez-vous la personne à l’origine de la demande, etc. …
• Vérifiez les mesures de sécurité mises en place en interne en cas d’atteinte aux données personnelles (ex : attaque informatique, vol de données personnelles, …)

Etapes 4 : Gérer les risques

Lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

Cette étape n’est nécessaire que si votre entreprise collecte des données présentant un risque élevé pour les droits et libertés des personnes concernées.

Il existe 9 critères permettant de définir un risque élevé pour les droits et libertés des personnes concernées:

1. Evaluation ou notation;
2. Décision automatisée avec effet juridique ou effet similaire significatif;
3. Surveillance systématique ;
4. Données sensibles ou données à caractère hautement personnel ;
5. Données personnelles traitées à grande échelle ;
6. Croisement d’ensembles de données ;
7. Données concernant des personnes vulnérables ;
8. Usage innovant ou application de nouvelles solutions technologiques ou organisationnelles ;
9. Exclusion du bénéfice d’un droit, d’un service ou contrat.

A priori, ce n’est pas le cas des professionnels de l’automobile. Nous vous invitons cependant à vérifier en interne si vous êtes concerné. Si tel est le cas, vous devrez mener en interne une analyse d’impact sur la protection des données (PIA).

Etapes 5 : mettre en place des procédures internes qui garantissent la protection des données à tout moment

Quels sont les procédures internes à mettre en place pour se conformer au règlement ? Vous allez devoir :

• prendre en compte de la protection des données personnelles dès la conception d’une application ou d’un traitement de données :

> Minimiser la collecte de données au regard de la finalité,

> Cookies,

> Durée de conservation,

> Mentions d’information,

> Recueil du consentement

> Sécurité et confidentialité des données

> S’assurer du rôle et de la responsabilité des services de l’entreprise et/ou des sous-traitants impliqués dans la mise en œuvre de traitements de données

–  sensibiliser les collaborateurs en interne

– traiter les réclamations et les demandes de vos clients quant à l’exercice de leurs droits (droits d’accès, de rectification, d’opposition, droit à la portabilité, retrait du consentement) en définissant les acteurs en interne et les modalités (l’exercice des droits doit pouvoir se faire par voie électronique, si les données ont été collectées par ce moyen).

– anticiper les violations de données en prévoyant, dans certains cas, la notification à la CNIL dans les 72 heures et aux personnes concernées (par exemple vos clients et/ ou vos salariés) dans les meilleurs délais.

Etapes 6 : Documenter la conformité de votre entreprise au RGPD

Vous devez conserver au sein de votre entreprise l’ensemble de la documentation prouvant que vous vous êtes mis en conformité avec le RGPD.

Nous vous conseillons de constituer un dossier numérique ou papier comprenant :

• Votre registre des traitements (fichier Excel détaillé à l’Etape 2)
• Les mentions d’information à destination de vos clients (Etape 3)
• ​Les modèles de recueil du consentement des personnes concernées (Etape 3)
• Les procédures mises en place en interne pour l’exercice des droits de vos clients (Etape 3)
• Les contrats avec les sous-traitants
• Les procédures internes en cas de violations de données (Etape 3)
• Les preuves que les personnes concernées ont donné leur consentement lorsque le traitement de leurs données repose sur cette base.

Ce dossier doit être régulièrement mis à jour : soit l’occasion d’une modification dans le traitement de vos données, soit en cas d’ajout d’un nouveau traitement, soit au minimum une fois par an pour vérification.

Ce dossier sera mis à disposition de l’autorité de contrôle (CNIL) en cas de vérification au sein de votre entreprise.

Annexes à la présente note :

• Guide CNIL « Règlement européen : se préparer en 6 étapes », véritable mode d’emploi du RGPD
• Guide CNIL « Sécurité des données personnelles » comportant les précautions élémentaires à mettre en œuvre pour se conformer au règlement européen
• Tableau Excel permettant de créer votre Registre des traitements de données personnelles (proposé par la CNIL)

[1] Cela est lié au principe d’accountability qui fait que l’entreprise doit garantir, à tout moment, que les process en place sont conformes, sécurisés et garantissent la confidentialité des données. Il répond ainsi à un double enjeu de traçabilité et de transparence, essentiels à la confiance.

Dans le cadre de la lutte contre l’évasion fiscale et la transposition de la Directive européenne anti-blanchiment n°2015/849 du 20 mai 2015, la loi Sapin II met à la charge des sociétés commerciales, civiles, groupements et autres entités tenues de s’immatriculer au registre du commerce et des sociétés (RCS) une obligation de déclarer au tribunal de commerce certaines informations relatives aux « bénéficiaires effectifs » de ces entités.

Les entités assujetties doivent déposer en annexe du RCS un document relatif à ce bénéficiaire effectif ainsi qu’aux modalités de contrôle qu’il exerce sur l’entreprise.

QUI EST « BENEFICIAIRE EFFECTIF » ?

⇒ La ou les personnes physiques qui, au sein de la personne morale, contrôle en dernier lieu directement ou indirectement le client, c’est-à-dire la ou les personnes physiques qui :

■ Soit détiennent directement ou indirectement, plus de 25 % du capital ou des droits de vote de la société,

■ Soit exercent, par tout autre moyen, un pouvoir de contrôle sur les organes de gestion, d’administration ou de direction de la société ou sur l’assemblée générale de ses associés.

⇒ La ou les personnes physiques pour laquelle une opération est exécutée ou une activité est exercée.

Uniquement à défaut d’identification selon les deux critères précédents, le ou les représentants légaux de la société déclarante sont les bénéficiaires effectifs.

Toute la difficulté va être de déterminer si au sein de votre société, une ou plusieurs personnes physiques sont susceptibles de répondre à cette définition.

Infogreffe propose un schéma pour vous permettre d’identifier les différents cas de bénéficiaires effectifs. 

Si vous considérez qu’au sein de votre société, une ou plusieurs personnes entrent dans ces cas, il est nécessaire de déposer auprès du greffe du tribunal de commerce, du siège de l’entité,  un document daté et signé par le représentant légal de la société et contenant les informations suivantes :

• S’agissant de la société ou de l’entité juridique, sa dénomination ou raison sociale, sa forme juridique, l’adresse de son siège social et, le cas échéant, son numéro unique d’identification complété par la mention RCS suivie du nom de la ville où se trouve le greffe où elle est immatriculée;
• S’agissant du bénéficiaire effectif: «a) Les nom, nom d’usage, pseudonyme, prénoms, date et lieu de naissance, nationalité, adresse personnelle de la ou des personnes physiques; «b) Les modalités du contrôle exercé sur la société; c) La date à laquelle la ou les personnes physiques sont devenues le bénéficiaire effectif de la société.

Seuls peuvent avoir accès à ce document la société déposante, les autorités compétentes, les personnes assujetties pour les besoins des mesures de vigilances auxquelles elles sont astreintes (banques, …) et les personnes justifiant d’un intérêt légitime et autorisées par un juge.

Après vérification de ces informations par le greffe, les déclarations reçues sont ensuite centralisés à l’Institut National de la Propriété Industrielle (INPI).

Attention :

– Les sociétés immatriculées au RCS avant le 1er août 2017 ont jusqu’au 1er avril 2018 pour procéder au dépôt du document relatif au bénéficiaire actif, au registre tenu par le greffe.

– Pour les nouvelles sociétés (créées à compter du 1^er août 2017), le document relatif au bénéficiaire effectif doit être déposé au greffe du tribunal de commerce lors de la demande d’immatriculation ou, au plus tard, dans les 15 jours de la délivrance du récépissé de dépôt de dossier de création d’entreprise.  

– Un nouveau document devra être déposé dans les 30 jours suivant tout fait ou acte rendant nécessaire une rectification ou un complément d’information.

Toutes ces formalités sont payantes.

SANCTIONS ENCOURUES

Le président du tribunal peut enjoindre, si nécessaire sous astreinte, les sociétés à satisfaire à l’obligation de déclaration des bénéficiaires effectifs.

En cas de manquement ou de déclaration mensongère, les sanctions encourues sont :

• Pour les personnes physiques: amende de 7 500 €, peine de 6 mois d’emprisonnement et peine d’interdiction de gérer et de privation partielle des droits civils et civiques prévues aux articles 131-7et 131-6 du code pénal.
• Pour les personnes morales: amende de 37 500 € et des peines complémentaires prévues à l’article 131-39 du code pénal.

QUI PEUT ACCEDER AUX INFORMATIONS FIGURANT SUR LE REGISTRE DES BENEFICIAIRES EFFECTIFS ?

Depuis le 1er août 2024, seules les personnes pouvant justifier d’un intérêt légitime peuvent avoir accès registre des bénéficiaires effectifs. Jusqu’à cette date, les informations relatives aux bénéficiaires effectifs étaient rendues publiques.

Dans un arrêt rendu en 2022, la Cour de justice de l’Union européenne (CJUE) a jugé que l’accès du grand public au registre est contraire aux articles 7 (respect de la vie privée et familiale) et 8 (protection des données à caractère personnel) de la Charte des droits fondamentaux de l’Union européenne.

Les conditions d’accès au registre devaient donc être modifiées afin de préserver un équilibre entre le respect de la vie privée et la transparence de la vie économique.

Trois catégories d’entités peuvent accéder aux informations figurant sur le registre :

• Les entreprises : elles peuvent, après avoir justifié de leur intérêt légitime, accéder aux informations des bénéficiaires effectifs de leurs éventuels co-contractants ;
• Les autorités compétentes et les professionnels assujettis aux obligations de lutte contre le blanchiment des capitaux et le financement du terrorisme ;
• Les journalistes, chercheurs, et acteurs de la société civile engagés pour la transparence financière.

Ces entités doivent justifier de leur intérêt légitime au moyen d’un formulaire envoyé via l’INPI, accompagné des pièces justificatives.

Depuis le 1^er janvier 2018[1], les assujettis à la TVA qui enregistrent les règlements de leurs clients particuliers au moyen d’un logiciel ou système de caisse, doivent utiliser un logiciel conforme répondant à des conditions d’inaltérabilité, de sécurisation, de conservation et d’archivage des données.

ENTREPRISES CONCERNEES

L’obligation concerne tous les assujettis à la TVA, personnes physiques ou morales, qui enregistrent eux-mêmes les règlements de leurs clients au moyen d’un logiciel de comptabilité ou de gestion ou un système de caisse.

La loi a cependant exclu les assujettis à la TVA qui :
– réalisent exclusivement des opérations commerciales avec d’autres professionnels (en B to B)[2] ;
– réalisent exclusivement des opérations exonérées de TVA ;
– bénéficient de la franchise en base de TVA ;
– bénéficient du régime du remboursement forfaitaire de TVA agricole.

La loi ne créé par l’obligation de s’équiper d’un logiciel ou système de caisse. Les assujettis qui n’utilisent pas de logiciel ou de système de caisse (ex : utilisation d’une caisse autonome sans fonction « enregistrement », ou bien utilisation de facturier papier, d’un tableur ou d’un traitement de texte) ne sont pas tenus de recourir à un logiciel certifié. Autrement dit, les professionnels utilisant exclusivement un facturier papier n’ont aucune obligation d’abandonner ce mode de fonctionnement pour s’équiper d’un logiciel ou système de caisse.

En cas de contrôle, ils devront toutefois être en mesure de prouver qu’ils n’enregistrent pas les règlements de leurs clients au moyen d’un tel logiciel, par exemple en présentant un extrait de leur comptabilité tenue sur papier.

LOGICIELS OU SYSTEMES DE CAISSE CONCERNES

Définition d’un logiciel de caisse : système informatique doté d’une fonctionnalité de caisse, laquelle consiste à mémoriser et à enregistrer extra-comptablement des paiements reçus en contrepartie d’une vente de marchandises ou de prestations de services c’est-à-dire que le paiement enregistré ne génère pas concomitamment, automatiquement et obligatoirement la passation d’une écriture comptable.

Ainsi, les logiciels, quelle que soit leur qualification (de caisse, comptable ou de gestion), qui disposent d’une fonctionnalité de caisse doivent satisfaire aux conditions d’inaltérabilité, de sécurisation, de conservation et d’archivage des données en vue du contrôle de l’administration fiscale.

Dans le cas de logiciels multifonctions (comptabilité/gestion/caisse), seule la fonctionnalité de caisse enregistreuse / encaissement, et non l’ensemble du logiciel, doit être certifiée.

Cas des logiciels libres : Un logiciel libre est un logiciel dont les utilisateurs ont un libre usage, une libre étude, une libre modification et une libre distribution. Un logiciel propriétaire, au contraire, ne permet ni légalement

ni techniquement d’exercer ces quatre libertés, qui permettent aux utilisateurs d’adapter le logiciel à leurs besoins spécifiques.

• Les logiciels ou systèmes de caisse dits « libres » ou développés en interne sont également concernés par cette obligation. Les modifications que les utilisateurs peuvent apporter à un logiciel libre ou développé en interne ne doivent avoir ni pour objet ni pour effet d’altérer le respect des conditions d’inaltérabilité, de sécurisation, de conservation et d’archivage des fonctionnalités de caisse.

Quelles sont les données enregistrées concernées ?

Sont concernées toutes les données de règlement liées à la réalisation d’une transaction, qu’il s’agisse d’une opération de vente d’un bien ou d’une prestation de services et qui peut conduire à l’émission, qu’elle soit antérieure, simultanée ou consécutive au règlement, d’un justificatif (note, ticket, facture etc.) ainsi que de toutes les données liées à la réception (immédiate ou attendue) du paiement en contrepartie.

Les conditions d’inaltérabilité, de sécurisation, de conservation et d’archivage des données du logiciel ou du système de caisse doivent permettre à l’administration fiscale de contrôler les données enregistrées. Le logiciel ou le système doit donc prévoir un accès de l’administration fiscale à l’ensemble des données enregistrées.

ORGANISMES ACCREDITES POUR LA CONFORMITE

Le respect des conditions d’inaltérabilité, de sécurisation, de conservation et d’archivage des données doit être justifié par un certificat ou une attestation individuelle.

En effet, les entreprises doivent être en mesure de remettre à l’administration lors d’un contrôle inopiné une preuve de la conformité du logiciel pour chaque système utilisé. Celle-ci prend la forme :

– soit d’une attestation individuelle de l’éditeur selon laquelle le logiciel est sécurisé ; elle doit être conforme au modèle fixé par l’administration fiscale et que vous retrouvez en annexe 2 de cette note.

– soit d’un certificat délivré par un organisme tiers accrédité. Actuellement, deux organismes sont habilités : AFNOR certification et le Laboratoire National de Métrologie et d’Essais (LNE) ;

Il s’agit d’un mode de preuve alternatif : un seul de ces deux documents (certificat ou attestation individuelle) suffit. A noter que l’administration fiscale elle-même n’est pas un organisme accrédité qui délivre les certificats.

Qu’il s’agisse du certificat ou de l’attestation individuelle, c’est l’éditeur[3] du logiciel ou système de caisse qui fait produire le certificat demandé à un organisme certificateur accrédité ou qui produit le document (attestation individuelle). Ce n’est pas le professionnel utilisateur qui demande la certification du logiciel ou système de caisse qu’il détient à l’autorité certifiante.

En pratique, l’éditeur remet ce document (certificat ou attestation individuelle) à l’entreprise lors de l’achat du logiciel ou système. A défaut (notamment lorsque le logiciel ou système a été acquis avant l’adoption de cette disposition), l’entreprise peut demander à l’éditeur qu’il lui remette un certificat si le logiciel ou système a été certifié ou une attestation individuelle pour le logiciel ou système en cause.

Si l’entreprise n’est pas en mesure de justifier que son logiciel ou son système satisfait aux conditions, elle s’expose à une amende de 7500 € par logiciel ou système de caisse[4] 

SUIS-JE OBLIGE D’AVOIR UN LOGICIEL DE CAISSE SECURISE ?

Vous hésitez encore et ne savez pas si vous êtes ou non concerné par cette obligation ? Rendez-vous sur le site impot.gouv.fr, qui vous guide pas-à-pas au travers d’une infographie très simple  sous forme de questions-réponses: https://www.impots.gouv.fr/portail/suis-je-oblige-davoir-un-logiciel-de-caisse-securise

Le Ministère de l’Action et des Comptes Publics a également mis en ligne une foire aux questions que vous pouvez consulter sous le lien suivant :

https://www.economie.gouv.fr/files/files/directions_services/dgfip/controle_fiscal/actualites_reponses/logiciels_de_caisse.pdf

Conseil FNA

Ne cédez pas aux sollicitations commerciales vous proposant l’achat de logiciel de facturation « certifié » en remplacement de votre logiciel : rapprochez-vous de votre éditeur de logiciel et demandez-lui une attestation.

Vous retrouverez en annexe 1 de cette note une sélection de questions / réponses.

ANNEXE 1

Foire aux questions relative à l’obligation d’utiliser des logiciels de caisse sécurisés

Ministère de l’Action et des Comptes Publics – Extraits

Qu’est-ce qu’un logiciel ou système de caisse ?

Un logiciel ou un système de caisse est un système informatisé dans lequel un assujetti enregistre les livraisons de biens et les prestations de services ne donnant pas lieu à facturation. Autrement dit, un logiciel ou un système de caisse est un système informatisé dans lequel un assujetti enregistre les  opérations effectuées avec ses clients non assujettis.  Ainsi, les logiciels ou systèmes de caisse dans lesquels sont enregistrées les opérations effectuées avec des clients assujettis à la TVA (clients professionnels) ne relèvent pas du champ d’application du dispositif.

En revanche, ceux dans lesquels sont enregistrées les opérations effectuées avec des clients qui ne sont pas assujettis à la TVA (clients particuliers) relèvent du champ d’application du dispositif.

De la même façon, ceux dans lesquels sont enregistrées à la fois les opérations effectuées avec des clients assujettis à la TVA (clients professionnels) et des non assujettis (clients particuliers) relèvent du champ d’application du dispositif. Il convient de ne pas tenir compte de la qualification du logiciel (de caisse, comptable ou de gestion) en question, mais de retenir sa fonctionnalité de caisse. Ainsi, un logiciel de gestion qui permet l’enregistrement des opérations de ventes ou de prestations de services qui concernent les non assujettis à la TVA (clients particuliers) doit être considéré comme un logiciel ou un système de caisse visé par le  dispositif.

Tous les logiciels de gestion commerciale incluant une fonctionnalité de caisse enregistreuse/d’encaissement sont-ils toujours à certifier par leurs éditeurs pour le 1^er janvier 2018 ?

Depuis le 15 juin 2017, seuls les logiciels et systèmes de caisse sont concernés par la mesure, principaux vecteurs des fraudes constatées à la TVA. Concernant les logiciels multifonctions (comptabilité/gestion/caisse), seules les fonctions caisse enregistreuse/encaissement, et non l’ensemble du logiciel, devront être certifiées.

Le dispositif est-il limité aux opérations réalisées avec des clients personnes physiques ?

Un logiciel ou un système de caisse est un système informatisé dans lequel un assujetti enregistre les livraisons de biens et les prestations de services ne donnant pas lieu à facturation. En conséquence, les opérations B to B sont exclues du champ du dispositif, les relations entre professionnels faisant obligatoirement l’objet d’une facturation

Les sociétés relevant du e-commerce entrent-elles dans le champ d’application de l’obligation de détention d’un logiciel non permissif en application de la mesure de certification des logiciels de caisse ?

Le dispositif vise, sauf exception, tout assujetti à la TVA en France qui enregistre les règlements de ses clients au moyen d’un logiciel ou système de caisse.

Les sociétés relevant du e-commerce soumises à facturation du fait que leurs clients sont assujettis à la TVA (clients professionnels) ne relèvent pas du champ d’application du dispositif.

Les sociétés relevant du e-commerce non soumises à facturation du fait que leurs clients ne sont pas assujettis à la TVA (clients particuliers) relèvent du champ d’application du dispositif.

Les sociétés relevant du e-commerce s’adressant à la fois aux clients assujettis à la TVA (clients professionnels) et aux non assujettis (clients particuliers) relèvent du champ d’application du dispositif.

Existe-t-il une obligation d’acquérir un logiciel de caisse sécurisé pour tous les assujettis à la TVA ?

Le dispositif prévoit l’obligation, à compter du 1^er janvier 2018 pour les assujettis à la TVA qui enregistrent les règlements de leurs clients non assujettis au moyen de tout logiciel ou système de caisse, d’utiliser un logiciel conforme satisfaisant à des conditions d’inaltérabilité, de sécurisation, de conservation et d’archivage des données en vue du contrôle de l’administration fiscale.

Ces nouvelles dispositions ne créent pas d’obligation de s’équiper d’un logiciel ou système de caisse. Le choix de l’utilisation d’un tel logiciel appartient à chaque assujetti.

Cependant si l’assujetti décide d’avoir recours à un logiciel disposant de fonctionnalités de caisse pour enregistrer les règlements de ses clients, il entre dans le champ d’application de cette obligation. Ainsi dès le 1^er janvier 2018 il devra utiliser un logiciel conforme aux quatre conditions précitées.

Un assujetti à la TVA peut-il continuer à enregistrer les règlements de ses clients à la fois au moyen d’un logiciel de caisse mais aussi d’un facturier papier ?

L’assujetti est libre d’utiliser deux modes d’enregistrement des règlements de ses clients, l’un informatisé et l’autre papier.  Cependant, dès que l’assujetti a recours à un logiciel disposant de fonctionnalités de caisse, il entre dans le champ d’application de l’obligation de détenir un logiciel de caisse sécurisé. Il devra alors présenter le certificat délivré par un organisme accrédité ou l’attestation individuelle de l’éditeur pour le logiciel de caisse utilisé.

Logiciels antérieurement commercialisés: à partir de quelle date la certification est-elle exigée ?

Tout logiciel en cours d’utilisation au 1^er janvier 2018 entre dans le champ d’application de l’obligation de conformité.

Que faire si mon éditeur de logiciel ne m’a pas encore envoyé d’attestation ?

La loi n’impose pas aux éditeurs cette délivrance spontanée.

Si l’éditeur n’adresse pas d’attestation à l’utilisateur, il appartient à ce dernier de la lui réclamer.

Des consignes seront données aux agents de l’administration fiscale pour prendre en compte les circonstances particulières si l’assujetti apporte la preuve des diligences qu’il a faites pour obtenir cette attestation.

Comment doit être traité le cas des structures de commerces associés et franchisés ?

La franchise est un accord commercial et juridique par lequel une entreprise appelée «franchiseur» s’engage à fournir à une seconde entreprise, dite «franchisée», une marque, un savoir-faire et une assistance permanente en contrepartie d’une rémunération.

Toutefois, les commerces franchisés sont des entreprises avec une personnalité juridique propre. Dans ces conditions, chaque franchise doit présenter un certificat ou une attestation pour le logiciel ou système de caisse qu’elle utilise.

Retrouvez l’intégralité de la foire aux questions sous le lien suivant :

https://www.economie.gouv.fr/files/files/directions_services/dgfip/controle_fiscal/actualites_reponses/logiciels_de_caisse.pdf

ANNEXE 2

[1] Article 286 – 3° bis du code général des impôts; BOI-TVA-DECLA-30-10-30-20180704 dans lequel vous retrouverez l’intégralité des dispositions

[2] Attention : les assujettis qui réalisent à la fois des opérations avec des clients assujettis à la TVA (clients professionnels) et des non assujettis (clients particuliers) relèvent du champ d’application du dispositif.

[3] On entend par « éditeur » du logiciel ou du système de caisse la personne qui détient le code source du logiciel ou système et qui a la maîtrise de la modification des paramètres de ce produit.

[4] Article 1770 duodecies du code général des impôts

Au cours de l’exercice de votre activité, vous êtes couramment amené à émettre ou à recevoir des documents qui doivent être conservés au minimum pendant un certain temps. Ce délai de prescription varie en fonction de la nature du document. L’administration peut effectuer un contrôle pour en vérifier la conservation.

Soyez vigilant dans l’archivage de vos documents professionnels

Cette note vous présente les différents cas de figure d’archivage.

Document civil et commercial

Documents administratifs et judiciaires

Cela concerne les jugements, les actes de transaction amiable homologuée, les documents relatifs aux biens apportés à la société, le jugement prononçant le redressement judiciaire ou la reprise ou la liquidation, sont à conserver à vie.

Les pièces comptables

Documents fiscaux

Les livres, registres, documents ou pièces sur lesquels peuvent s’exercer les droits de communication, d’enquête et de contrôle de l’administration doivent être conservés pendant un délai de 6 ans à partir de la dernière opération mentionnée sur les livres ou registres ou de la date à laquelle les documents ou pièces ont été établis.

Par exemple, les éléments concernant les revenus de 2013, déclarés en 2014, doivent être conservés jusqu’à fin 2019.

Attention : les délais sont portés à 10 ans en cas d’activité occulte : fraude fiscale, travail dissimulé, absence de déclaration, activité illicite…

Document pour une société commerciale

Gestion du personnel

Gestion des déchets et des fluides frigorigènes

 Pour en savoir plus Délais de conservation des documents pour les entreprises

Depuis la loi du 6 août 2015, dite « loi Macron », les microentreprises, créées sous la forme de sociétés commerciales, peuvent demander, lors du dépôt des comptes annuels afférents aux exercices clos à compter du 31 décembre 2015 et déposés à partir du 7 août 2016, à ce que leurs comptes de résultat ne soient pas rendus publics (l’actif et le passif restent publics).

Définitions

Micro entreprise : ne dépasse pas au titre du dernier exercice comptable clos, et sur une base annuelle, deux des trois seuils suivants : 350 K€ pour le total du bilan, 700 K€ pour le montant net du chiffre d’affaires, et le nombre moyen de 10 salariés employés au cours de l’exercice ;

Petite entreprise : ne dépasse pas au titre du dernier exercice comptable clos, et sur une base annuelle, deux des trois seuils suivants : 4 M€ pour le total du bilan, 8 M€ pour le montant net du chiffre d’affaires et le nombre moyen de 50 salariés employés au cours de l’exercice.

MODELES TYPE DE DECLARATION DE CONFIDENTIALITE

Les micro-entreprises et les petites entreprises qui souhaitent bénéficier de l’option de confidentialité doivent, lors du dépôt de leurs comptes annuels, y joindre une déclaration selon les modèles spécifiques à chacune de ces entreprises et figurant en annexe[1] (Annexe 1 pour les micro-entreprises et annexe 2 pour les petites entreprises).

À noter : les entrepreneurs individuels ne sont pas concernés par l’obligation de dépôt des comptes sociaux, sauf les Entreprises individuelles à responsabilité limitée (EIRL) qui doivent déposer leurs comptes annuels auprès du registre où a été déposée leur déclaration de patrimoine d’affectation.

PERSONNES QUI CONSERVENT UN ACCES A L’INTEGRALITE DES COMPTES

En plus des autorités judiciaires, des autorités administratives, ainsi que la Banque de France qui avaient déjà un accès à l’intégralité des comptes, avec la loi Macron, les personnes morales qui financent ou investissent, directement ou indirectement, dans les entreprises ou fournissent des prestations au bénéfice de ces personnes morales ont aussi accès à l’intégralité des comptes.

L’arrêté du 23 juin 2016 est venu préciser la liste de ces personnes morales qui conservent un tel accès[2]. Le tableau suivant récapitule les différents cas.

Lorsqu’une de ces personnes morales souhaite accéder aux comptes d’une société ayant fait le choix de la confidentialité, elle doit accompagner sa demande d’une attestation, établie conformément au modèle type figurant à l’annexe de l’article A.123-68-1 du code de commerce. Par cette attestation, la personne morale s’engage à ne pas communiquer à des tiers les comptes dont elle aura obtenu la communication.

Annexe 1

MODÈLE TYPE DE DÉCLARATION DE CONFIDENTIALITÉ –MICRO-ENTREPRISE

1. Déclarant (Informations telles que figurant au RCS)

Dénomination ou raison sociale de la personne morale ……………………

Immatriculée au RCS, numéro ………………

Identité et qualité du représentant légal signataire ……………………………….

2. Objet de la déclaration

Déclare que les comptes annuels de l’exercice clos le…… et qui sont déposés en annexe au registre du commerce et des sociétés ne seront pas rendus publics en application de l’article L. 232-25 du code de commerce et du premier alinéa de l’article L. 524-6-6 du code rural et de la pêche maritime.

3. Engagement du déclarant

Le (la) soussigné (e) atteste sur l’honneur que les renseignements contenus dans la présente déclaration sont exacts et que la société susvisée répond à la définition des microentreprises au sens de l’article L. 123-16-1 du code de commerce, n’est pas mentionnée à l’article L. 123-16-2 et n’a pas pour activité la gestion des titres de participations et de valeurs mobilières.

Toute fausse déclaration de confidentialité des comptes annuels constitue un faux et un usage de faux passible des peines d’amende et d’emprisonnement prévues aux articles 441-1 et suivants du code pénal.

Fait à …………, le …………

Signature

Annexe 2

MODÈLE TYPE DE DÉCLARATION DE CONFIDENTIALITÉ –PETITE ENTREPRISE

(Valable uniquement pour les comptes afférents aux exercices clos à compter du 31 décembre 2015 et déposés à compter du 7 août 2016).

1. Déclarant (Informations telles que figurant au RCS)

Dénomination ou raison sociale de la personne morale ……………….

Immatriculée au RCS, numéro ………..

Identité et qualité du représentant légal signataire ……………………….

2. Objet de la déclaration

Demande que le compte de résultat de l’exercice clos le……., distinct des autres documents comptables, et qui est déposé en annexe au registre du commerce et des sociétés ne sera pas rendu public en application du deuxième alinéa de l’article L. 232-25 du code de commerce et du deuxième alinéa de l’article L. 524-6-6 du code rural et de la pêche maritime.

3. Engagement du déclarant

Le (la) soussigné (e) atteste sur l’honneur que les renseignements contenus dans la présente déclaration sont exacts et que la société susvisée répond à la définition des petites entreprises au sens de l’article L. 123-16 du code de commerce, n’est pas mentionnée à l’article L. 123-16-2 du code de commerce et n’appartient pas à un groupe au sens de l’article L. 233-16 du code de commerce ou de l’article L. 524-6-1 du code rural et de la pêche maritime.

Toute fausse déclaration relative à la demande de confidentialité du compte de résultat constitue un faux et un usage de faux passible des peines d’amende et d’emprisonnement prévues aux articles 441-1 et suivants du code pénal.

Fait à………., le ……….

Signature

[1] Annexes à l’article A. 123-61-1 du code de commerce : Annexe 1-5 pour les micro-entreprises et 1-5-1 pour les petites entreprises.

[2] Article A.123-68-1 du code de commerce.