Pour les entreprises privées, le prélèvement à la source s’effectue en pratique par le biais de la déclaration sociale nominative, généralisée à l’été 2017.
Cette déclaration mensuelle a pour but de centraliser les déclarations sociales des entreprises : l’employeur transmet en une fois les données issues de la paie.
Elle permet aussi de manière ponctuelle de signaler les événements ayant un impact sur la paie du salarié: maladie, maternité, fin du contrat de travail, etc.
C’est par le biais de la DSN que les employeurs communique le montant mensuel de l’impôt prélevé et verseront les sommes collectées.
En retour, l’administration fiscale leur indique le taux de prélèvement applicable au contribuable.
Le prélèvement à la source vient s’inscrire à la fin du processus de gestion de la paie, au moment de la déclaration sociale nominative.
La gestion de la paie impliquait déjà un traitement de données à caractère personnel.
Avec le prélèvement à la source, une nouvelle sous-finalité s’ajoute et de nouvelles données à caractère personnel sont impliquées.
Il s’agit du taux de prélèvement applicable à chaque contribuable ainsi que du montant effectivement versé à l’administration fiscale au titre de l’impôt sur le revenu.
Or s’il existe un traitement de données à caractère personnel, l’employeur doit s’assurer qu’il respecte la réglementation relative à la protection des données à caractère personnel: à compter du 25 mai 2018, il s’agira du Règlement général sur la protection des données (RGPD, règlement n° 2016/679 du 27 avril 2016).
Cette conformité implique que l’employeur informe de manière claire ses salariés sur cette nouvelle sous-finalité et sur le traitement de leurs données.