RGPD 3 ANS EN MAI 2021 : FIN DES TOLERANCES ET AUGMENTATION DES CONTROLES CNIL
Le RGPD est applicable en matière de données personnelles depuis le 25 mai 2018 en France, et plusieurs sanctions de la CNIL ont depuis été très médiatisées du fait de la notoriété des acteurs concernés comme de l’importance des amendes infligées : respectivement 100 millions et 35 millions d’euros d’amende à l’encontre de Google et Amazon, et plus « modestement » en France 400.000 euros et 250.000 euros à l’encontre de l’administrateur de biens Sergic et de la société Optical Center par exemple.
La tendance de la CNIL est toutefois désormais de se tourner également vers les TPE/PME qui représentent, en cumul, un enjeu tout aussi important que les grands groupes en matière de protection de données personnelles ; c’est pourquoi la période de tolérance triennale initialement annoncée en 2018 touche désormais à sa fin (1), et que de nouveaux textes permettant d’adapter les procédures CNIL aux plus petites structures sont en passe d’être adoptés (2).
- Fin de la période triennale de tolérance
Outre l’obligation d’auto-déclaration de registres en interne pour tous types de traitements de données personnelles, le RGPD impose de procéder à des « analyses d’impact » (art. 35 RGPD) sur les fichiers les plus sensibles et/ou présentant le plus de risques (données de santé, appartenance syndicale, données concernant des personnes vulnérables ; traitements « à grande échelle », systématiques, croisés…) afin de déterminer si les mesures prises en matière de sécurité sont adaptées à leur nécessité de protection accrue.
Or concernant cette obligation de mener des analyses d’impact, la CNIL a d’emblée annoncé, lors de l’entrée en application du RGPD en France en mai 2018, accorder dans un premier temps une période triennale de tolérance, notamment pour les opérateurs qui avaient d’ores et déjà procédé à des déclarations CNIL selon le système précédemment en vigueur.
La CNIL a également elle-même profité de cette période de tolérance pour rendre des délibérations listant des cas d’exclusion ou au contraire d’obligation d’analyses d’impact, au titre desquels doivent par exemple y être soumis des fichiers RH tels que les traitements de profils de personnes physiques à des fins de gestion des ressources humaine, ou encore ayant pour finalité de surveiller de manière constante l'activité des employés concernés.
C’est donc le 25 mai 2021 que s’achève cette période de tolérance de la CNIL relative à l’obligation de mener des analyses d’impact sur les fichiers les plus sensibles, et il est donc à prévoir une recrudescence des contrôles, d’autant plus que des adaptations procédurales sont envisagées à cet effet au niveau législatif.
- Adaptations procédurales aux petites structures
Le projet de loi 4D (différenciation, décentralisation, déconcentration et diverses mesures de simplification) adopté le 16 mars 2021 et présenté en Conseil des Ministres le 12 mai 2021, concerne essentiellement les collectivités territoriales mais prévoit également, en son article 41, une simplification de la procédure CNIL pour l’adapter aux plus petites structures et pouvoir ainsi en faciliter le contrôle ; cette procédure simplifiée peut être comparée à une procédure de référé en ce qu’elle est à la fois plus rapide mais aussi plus limitée que la procédure usuelle de la CNIL, tant dans ses conditions d’application que dans ses sanctions.
Tout d’abord concernant les conditions permettant de recourir à ce circuit court, il est prévu que « Le président de la CNIL ne peut engager les poursuites selon la procédure simplifiée que lorsque, d’une part, il estime que les mesures correctrices [limitées] constituent la réponse appropriée à la gravité des manquements constatés et, d’autre part, l’affaire ne présente pas de difficulté particulière, eu égard à l’existence d’une jurisprudence établie, des décisions précédemment rendues par la formation restreinte de la commission ou de la simplicité des questions de fait et de droit qu’elle présente à trancher ».
Ensuite ne pourront pas, à l’issue de la procédure simplifiée, être appliquées les sanctions usuelles s'élevant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial ; dans ces conditions spécifiques en effet « le montant de l’amende administrative ne peut excéder un montant total de 20 000 € et le montant de l’astreinte ne peut excéder 100 € par jour de retard à compter de la date fixée par la décision ».
Le texte doit désormais être présenté au Sénat au mois de juillet 2021 puis à l’Assemblée Nationale à l’automne suivant, pour concrétiser avant la fin du quinquennat l’engagement de l’exécutif, pris à l’issue du Grand débat national, sur cette loi 4D.
*
Nous demeurons toujours mobilisés, dans le cadre de ces évolutions juridiques, pour accompagner les clients qui en ont besoin selon audit gratuit à votre disposition pour commencer.
_____________
Julie Gringore
Le défaut d’homologation du contrat de travail dû à une carence du club ne peut être opposé au joueur
L’homologation du contrat de travail du sportif constitue souvent un enjeu majeur dans les litiges entre un joueur ou un entraineur et son club employeur.
La Cour de Cassation vient de rappeler un principe essentiel et protecteur du salarié : le défaut d’homologation qui résulte d’une carence de l’employeur ne peut être opposé au joueur salarié (Cass. Soc. 8 avril 2021 n° 18-25645).
L’enjeu de ce litige, opposant joueur de football à un club au demeurant placé en liquidation judiciaire, réside dans la reconnaissance de la validité d’un avenant à son contrat fédéral prévoyant une augmentation de sa rémunération.
Les principes en matière d’effets de la non homologation
Les effets de l’homologation du contrat de travail peuvent être différents selon les sports voire selon le championnat dans lequel évolue le sportif.
Il faut admettre qu’il peut être parfois difficile de s’y retrouver.
Rappelons à ce titre que le Code du Sport prévoit que la Fédération ou la Ligue professionnelle, lorsqu’elle existe, peut édicter une procédure d’homologation, fixer ses modalités et en prévoir les conséquences mais uniquement sur le plan sportif (qualification, autorisation de prendre part à la compétition).
Sur le plan du droit du travail, la loi renvoie aux accords collectifs nationaux le soin d’en fixer les effets.
La convention collective nationale du sport (accord de branche étendu) précise qu’un accord sectoriel peut fixer ces effets, et qu’à défaut, l’absence d’homologation n’emporte aucun effet sur la validité du contrat au sens du droit du travail.
Ensuite, selon les accords sectoriels existants, les effets sont différents. Certains hissent l’homologation comme condition suspensive de l’entrée en vigueur du contrat. D’autres font de la non-homologation une cause de nullité.
D’autres encore, comme la très récente convention collective du handball féminin, prévoit que le défaut d’homologation n’emporte aucune conséquence sur la validité du contrat. C’est évidemment le processus le plus protecteur du salarié.
Désormais lorsqu’un accord sectoriel donne un effet particulier à la non-homologation, on ne saurait que conseiller au salarié qui souhaiterait voir reconnaitre la validité de son contrat de contester en premier lieu l’acte administratif de refus d’homologation avant d’envisager de se retourner contre son employeur. C’est d’ailleurs en ce sens que s’oriente la jurisprudence (Cass. Soc. 14 septembre 2016 n°15-21.794).
Les carences du club, tempérament de ces effets
Fort heureusement, la jurisprudence est venue tempérer les effets du défaut d’homologation.
Tout d’abord, lorsque l’homologation est une condition suspensive de l’entrée en vigueur du contrat de travail, c’est sans surprise que les juridictions admettent que le début d’exécution du contrat anéantit la possibilité pour le débiteur de l’obligation de se prévaloir de cette condition.
Il s’agit là d’une stricte application du régime juridique de la condition suspensive au milieu sportif (Cass. Soc, 1er Juillet 2009, n°08-40023 ; CA Nimes 28 février 2017 n°15/00866).
Mais également, et peu importe l’effet qui lui est donné, il est jugé que le club employeur qui manque à ses obligations, et notamment à celle de transmettre le contrat pour homologation, ne peut ensuite se prévaloir du défaut d’homologation pour refuser d’exécuter ses engagements contractuels.
En effet en pratique, l’homologation des contrats dépend souvent d’une procédure prévoyant la transmission par le club à l’instance fédérale, parfois via des plateformes informatiques (footclubs, e-drop etc…).
Il serait inéquitable que le joueur ou l’entraineur subisse les conséquences d’un manquement du club.
C’est précisément ce qu’a rappelé la Cour de Cassation dans sa décision du 8 avril 2021.
Est ainsi cassé l’arrêt de la Cour d’Appel de Nîmes qui avait retenu à tort que l’avenant qui prévoyait une augmentation de salaire est entaché de nullité du fait du défaut d’homologation alors même que le club n’avait pas transmis cet avenant à la Fédération.
Nul ne peut se prévaloir de sa propre turpitude… Ce vieil adage trouve toujours à s’appliquer !
L'équipe droit du sport
Derby Avocats
Convention collective du handball féminin
Nous sommes fiers d'avoir pu contribuer à la création de la première convention collective de sport féminin en France: la convention collective du handball féminin.
Le 15 mars 2021, Me Anthony MOTTAIS était présent pour la présentation et la signature de cet accord.
Un moment important pour le développement et la professionnalisation du sport féminin en particulier et du sport en général.
Barème Macron et droit à indemnisation adéquate du salarié licencié
Les dispositions issues de l’ordonnance n° 2017-1387 du 22 septembre 2017 instituant un barème relatif aux dommages et intérêts alloués en cas de licenciement sans cause réelle et sérieuse continuent de susciter une jurisprudence foisonnante, dont la cohérence n’est pas toujours facile à établir.
Tour d'horizon des décisions déjà rendues
Ces dispositions ont été jugées conformes à la constitution (Cons. Const., n°2018-761 DC du 21 mars 2018), et suivant avis n°15013 du 17 juillet 2019 la Cour de cassation a considéré que les dispositions de l’article L. 1235-3 du code du travail sont « compatibles » avec les stipulations de l’article 10 de la Convention n° 158 de l’Organisation internationale du travail.
Pour autant de nombreuses Cours d’appel continuent de considérer, sur le fondement de l’article 10 de la convention 158 de l’OIT, qu’il convient en tout état de cause de vérifier si le salarié dont le licenciement est jugé abusif a perçu une indemnisation adéquate ou une réparation appropriée, et que les dispositions ayant instauré le plafond de l’article 1235-3 ne portent pas une atteinte excessive à ce droit (CA Reims 25 septembre 2019 n° 19/00003 ; CA Paris 18 septembre 2019 n° 17/06676 ; CA Caen 7 mai 2020 RG : 19/00920).
Pour sa part la cour d’appel de Paris avait semblé adopter une position plus restrictive dans une décision du 30 octobre 2019 estimant que le barème permettrait de garantir au salarié “une indemnité adéquate ou une réparation appropriée” puisque « le juge français dans le cadre des montants minimaux et maximaux édictés sur la base de l’ancienneté du salarié et de l’effectif de l’entreprise, garde une marge d’appréciation » (CA Paris, 30 octobre 2019 pôle 6 chambre 8).
L’expression « dans le cadre des montants minimaux et maximaux édictés « laissant penser que la « marge d’appréciation » des juges français pour parvenir à la réparation adéquate, devait nécessairement s’exercer à l’intérieur des plafonds minimaux et maximaux fixés par les ordonnances Macron.
Or une autre chambre de la cour d’appel de Paris (Pôle 6 - chambre 11) vient d’adopter une position beaucoup plus souple et ouverte quant à l’indemnisation du salarié ( CA Paris 16 mars 2021, n° 19/08721)
Il a ainsi été jugé que :
« Compte tenu de la situation concrète et particulière de MmeX, âgée de 53 ans à la date de la rupture et de 56 ans à ce jour, le montant prévu par l’article L. 1235-3 ne permet pas une indemnisation adéquate et appropriée du préjudice subi, compatible avec les exigences de l’article 10 de la Convention n° 158 de l’OIT.
En conséquence, il y a lieu d’écarter l’application du barème résultant de l’article L. 1235-3 du code du travail. »
La réparation adéquate ne s’exerce donc désormais plus à l’intérieur des barèmes de l’article L 1235–3 du code du travail, et ceux-ci peuvent être écartés sil est constaté qu’ils ne permettent pas de parvenir à cette réparation adéquate du préjudice subi.
Reste à connaître la position de la Cour de cassation sur cette question.
L’alternative apparaît désormais la suivante, sauf à considérer que l’appréciation de la réparation adéquate et appropriée relève du pouvoir souverain d’appréciation des juges du fond ,non contrôlé au stade de la cassation...ce qui aurait l’inconvénient de faire perdurer l’incertitude jurisprudentielle:
- Soit considérer que la recherche de l’indemnisation adéquate et appropriée prévue par l’article 10 de la convention 158 de l’OIT doit nécessairement s’ effectuer dans les limites des plafonds fixées par l’article 1235-3 du code du travail, et qu’en jugeant le contraire dans sa récente décision de la cour d’appel de Paris a commis une erreur de droit
- Soit au contraire estimer que la Cour d’Appel a pu légitimement écarter l’application de l’article 1235–3 du code du travail après avoir constaté qu’il ne permettait pas d’allouer au salarié la réparation adéquate et appropriée prévue à l’article 10 de la convention 158 de l’OIT.
Dans cette dernière hypothèse les juridictions conserveraient leur pouvoir d’appréciation au cas par cas.
L’expression « compatible » employée dans l’avis du 17 juillet 2019 pouvant alors s’ interpréter comme suit :
- L’application par le juge français des barèmes issus de l’article L 1235-3 du code du travail ne porte pas nécessairement atteinte à l’objectif de réparation adéquate fixé par l’article 10 de la Convention 158 de l’OIT
- Pour autant si une telle atteinte à l’objectif de réparation adéquate était constatée par une juridiction, elle dispose alors de la possibilité d’écarter l’application des dispositions de l’article L 1235–3 du code du travail
Les deux textes ne s’excluant pas mais se complétant.
Nomenclature des postes de préjudices
➥ Télécharger ici la nomenclature des postes de préjudices : Lien vers le PDF
Préjudices patrimoniaux
a) Préjudices patrimoniaux temporaires (avant consolidation)
- Dépenses de santé actuelles (D.S.A.)
- Frais divers (F.D.)
- Pertes de gains professionnels actuels (P.G.P.A.)
b) Préjudices patrimoniaux permanents (après consolidation)
- Dépenses de santé futures (D.S.F.)
- Frais de logement adapté (F.L.A.)
- Frais de véhicule adapté (F.V.A.)
- Assistance par tierce personne (A.T.P.)
- Pertes de gains professionnels futurs (P.G.P.F.)
- Incidence professionnelle (I.P.)
- Préjudice scolaire, universitaire ou de formation (P.S.U.)
Préjudices extra-patrimoniaux
a) Préjudices extra-patrimoniaux temporaires (avant consolidation)
- Déficit fonctionnel temporaire (D.F.T.)
- Souffrances endurées (S.E.)
- Préjudice esthétique temporaire (P.E.T.)
b) Préjudices extra-patrimoniaux permanents (après consolidation)
- Déficit fonctionnel permanent (D.F.P.)
- Préjudice d’agrément (P.A.)
- Préjudice esthétique permanent (P.E.P.)
- Préjudice sexuel (P.S.)
- Préjudice d’établissement (P.E.)
- Préjudices permanents exceptionnels (P.P.E.)
c) Préjudices extra-patrimoniaux évolutifs (hors consolidation)
- Préjudices liés à des pathologies évolutives (P.EV.)
SITE E-COMMERCE : CONCURRENCE REGLEMENTEE ET DISTRIBUTION SECURISEE
Article e-commerce de Maître Julie GRINGORE paru au Journal du Management juridique février 2021
Si acheter en ligne était déjà une pratique courante pour 40 millions de français en 2019, la crise sanitaire liée à la pandémie de Covid a amené les enseignes à créer ou développer plus encore leurs sites Internet dans une optique marchande ; en effet les statistiques publiées par la FEVAD le 8 décembre 2020 faisaient état, pour les trois premiers trimestres, « d’une augmentation du canal web des magasins 3 fois plus importante que pour la même période en 2019 ».
L’urgence dans laquelle de nombreux sites marchands sont ainsi apparus en quelques mois ne doit toutefois pas faire oublier que le droit de la concurrence est tout autant applicable à la sphère numérique qu’aux ventes en magasin et que la distribution dématérialisée se doit d’être sécurisée pour inspirer suffisamment confiance aux acheteurs.
Lire la suite :
➔ p22 Journal du Management Juridique 80
➔ couv Journal du Management Juridique 80
Interview RGPD en replay : les données personnelles au quotidien
Interview Julie Gringore France Bleu 15 février 2021
https://www.francebleu.fr/emissions/les-experts/normandie-caen/maitre-julie-gringore-avocate
Webinaire Cybersécurité et RGPD
Webinaire juridique sur la Cybersécurité réalisé par Me Julie Gringore avec l’éditeur de logiciels Mission RGPD : la Cyber-sécurité appliquée aux entreprises et à leurs données, présentant les enjeux de la sécurité informatique et juridique pour les opérateurs économiques, « y compris les micro, petites et moyennes entreprises », selon les textes applicables (cons. 13 RGPD).
Y sont abordées les incidences des nouvelles technologies et de leurs réglementations sur l’activité des entreprises, aux fins de mise en conformité juridique sur les données personnelles, d’encadrement du télétravail ou encore de réorganisation technologique aux fins de sauvegarde de la compétitivité.
https://youtu.be/UnPPi--g3vE?t=7
CYBER-SECURITE : CLE DE VOUTE DU RGPD (publication au Journal du Management juridique)
RGPD CYBERSECURITE JOURNAL MANAGEMENT
Article RGPD de Maître Julie GRINGORE paru dans le Journal du Management Juridique octobre 2020 :
La cyber-sécurité est au cœur de la réglementation européenne en matière de données personnelles depuis le 27 avril 2016, et ce dans son intitulé même : RGPD - Règlement Général sur la « Protection » des Données ; cette préoccupation concerne au premier chef les données des personnes physiques, mais la réglementation a également pour objectif de « garantir la sécurité juridique et la transparence aux opérateurs économiques, y compris les micro, petites et moyennes entreprises » (cons. 13 RGPD).
Ainsi une section entière du RGPD est- elle consacrée à la sécurité des données personnelles, dont l’article introductif 32.1 dispose notamment que « compte tenu... des risques » (1) le responsable du traitement met en œuvre « les mesures techniques et organisationnelles appropriées » (2).