ARRET

N°

[Adresse 11]

C/

[F]

Copie certifiée conforme délivrée à :

— [12]

— Mme [E] [F]

— M^e Marc BORNHAUSER

— M^e Maxime DESEURE

— tribunal judiciaire

Copie exécutoire :

— M^e Marc BORNHAUSER

— M^e Maxime DESEURE

COUR D’APPEL D’AMIENS

2EME PROTECTION SOCIALE

ARRET DU 09 JANVIER 2025

*************************************************************

N° RG 22/00762 – N° Portalis DBV4-V-B7G-ILIL – N° registre 1ère instance : 20/00490

Jugement du tribunal judiciaire de Lille (pôle social) en date du 08 décembre 2021

PARTIES EN CAUSE :

APPELANTE

[Adresse 11]

agissant poursuites et diligences de ses représentants légaux domiciliés en cette qualité audit siège

[Adresse 1]

[Localité 2]

Représentée par M^e Laëtitia BEREZIG, avocat au barreau d’AMIENS substituant M^e Maxime DESEURE de la SELARL LELEU DEMONT HARENG DESEURE, avocat au barreau de BETHUNE

ET :

INTIMEE

Madame [E] [F]

[Adresse 4]

[Localité 3]

Représentée par M^e Stéphanie THUILLIER, avocat au barreau d’AMIENS substituant M^e Marc BORNHAUSER de la SELARL CABINET BORNHAUSER, avocat au barreau de PARIS

DEBATS :

A l’audience publique du 03 septembre 2024 devant M. Renaud DELOFFRE, conseiller, siégeant seul, sans opposition des avocats, en vertu de l’article 945-1 du code de procédure civile qui a avisé les parties à l’issue des débats que l’arrêt sera prononcé par sa mise à disposition au greffe le 09 janvier 2025.

GREFFIER LORS DES DEBATS :

M^me Nathalie LÉPEINGLE

COMPOSITION DE LA COUR LORS DU DELIBERE :

M. Renaud DELOFFRE en a rendu compte à la cour composée en outre de :

M. Philippe MELIN, président,

M^me Claire BIADATTI-BERTIN, présidente,

et M. Renaud DELOFFRE, conseiller,

qui en ont délibéré conformément à la loi.

PRONONCE :

Le 09 janvier 2025, par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au 2e alinéa de l’article 450 du code de procédure civile, M. Philippe MELIN, président a signé la minute avec M^me Nathalie LÉPEINGLE, greffier.

*

* *

DECISION

Par courrier du 15 décembre 2017, l'[15] a adressé à Mme [E] [F] un appel de cotisation subsidiaire maladie ([7]) au titre de l’année 2016 d’un montant de 7 564 euros exigible au 19 janvier 2018 que cette dernière a réglé par chèque du 11 janvier 2018.

Sur réclamation de Mme [F], l’URSSAF a procédé à un nouveau calcul de la cotisation subsidiaire maladie et l’a ramenée, par courrier du 1er février 2018, à la somme de 6 588 euros.

A la demande de Mme [E] [F], l’URSSAF lui a remboursé le 18 avril 2018, la somme de 1 011 euros.

Par courrier du 13 septembre 2019, Mme [E] [F] a sollicité le dégrèvement et la restitution de la [7] restant à sa charge.

Sa demande a été rejetée par l’URSSAF par courrier du 20 septembre 2019 et Mme [E] [F] a saisi la commission de recours amiable ([6]) le 12 novembre 2019.

Par décision explicite du 30 janvier 2020 reçue le 3 février 2020, la [6] a rejeté la demande de dégrèvement de la cotisation subsidiaire maladie.

Par lettre recommandée avec accusé de réception expédiée en date du 19 février 2020 au greffe du tribunal judiciaire de Lille, Mme [E] [F] a saisi le tribunal d’une demande de dégrèvement de la somme de 6 553 euros au titre de la [7] et de condamnation de l'[Adresse 13] à lui payer la somme de 600 euros sur le fondement de l’article 700 du code de procédure civile et aux dépens.

Par jugement du 8 décembre 2021, le tribunal a décidé ce qui suit :

Le président de la formation de jugement, statuant après débats en audience publique, avis pris du seul assesseur présent, par jugement contradictoire en premier ressort, mis à disposition au greffe.

DIT que l’appel de cotisations de la [7] pour l’année 2016 litigieux a été effectué par une URSSAF incompétente et en dehors des délais accordés par la loi ;

ANNULE en conséquence l’appel de cotisations contesté et prononce la décharge de la somme de 6 533 euros due par Mme [E] [F] au titre de la CSM 2016 ;

CONDAMNE l'[Adresse 13] à verser à Mme [E] [F] la somme de 250 euros sur le fondement de l’article 700 du code de procédure civile ;

CONDAMNE l'[14] aux dépens.

Ce jugement repose sur le constat que la convention de délégation intervenue entre l'[17], dont dépend la cotisante, et l'[Adresse 13], qui a émis la cotisation litigieuse, a été publiée à une date postérieure à l’appel de cotisations et que cet appel de cotisations est intervenu après l’échéance du terme fixé par le texte applicable ce dont le tribunal a déduit que l’appel de cotisations devait être annulé pour avoir été délivré hors délai par une URSSAF incompétente.

Appel de ce jugement, dont aucune preuve de notification à l'[14] ne figure au dossier du tribunal, a été effectué par cette dernière par courrier de son directeur du 17 février 2022 expédié le 18 février 2022 au greffe de la cour.

Par conclusions enregistrées par le greffe à la date du 2 septembre 2024 et soutenues oralement par avocat, l'[Adresse 13] demande à la cour de :

INFIRMER le jugement du 8 décembre 2021 en toutes ses dispositions,

STATUANT A NOUVEAU :

VALIDER l’appel de cotisation du 17 décembre 2017 pour l’année 2016 d’un montant de 6 588 euros,

CONDAMNER Mme [F] à payer à l'[14] la somme de 6 588 euros au titre de l’appel de cotisations du 17 décembre 2017 pour l’année 2016,

REJETER toutes les demandes de Mme [F].

Elle fait en substance valoir que :

La convention de mutualisation et de centralisation prévoyant que l’URSSAF délégataire, l'[Adresse 13], assure l’encaissement et la gestion du recouvrement de la cotisation subsidiaire maladie le 12 décembre 2017 après son approbation par le directeur de l’ACOSS et donc avant l’établissement de l’appel de cotisation litigieux.

Le non-respect de la date d’appel de cotisations fixé par l’article R. 380-4 du code de la sécurité sociale n’est sanctionné par aucune nullité et n’affecte que la date d’exigibilité qui se voit repoussée.

L’argument selon lequel l’URSSAF aurait violé les dispositions de l’article 27 de la loi informatique et libertés au motif que l’avis de la Commission informatique et libertés a autorisé uniquement un traitement par les organismes territorialement compétents se heurte au fait que l’URSSAF était bien territorialement compétente à la suite de la convention de mutualisation et de centralisation précitée.

S’il résulte de l’article 116 II (ancien article 32 III) de la loi informatique et libertés qu’en cas de communication de données à caractère personnel recueillies auprès de tiers une information de la personne concernée doit être communiquée au plus tard lors de cette première communication, cette information est intervenue en application des décrets du 3 novembre 2017 et du 24 mai 2018 pour le calcul de la cotisation 2017 appelée en 2018 et elle est au surplus disponible sur le site internet de l’URSSAF.

La cotisante a été informée dès l’appel de cotisations que les données la concernant ont été obtenues auprès de l’administration fiscale.

Si une atteinte à la loi informatique et libertés était avérée, seule la [5] pourrait en faire le constat et prononcer une éventuelle sanction.

La réserve d’interprétation du conseil constitutionnel s’adresse aux autorités de l’Etat et ne peut être invoquée par les justiciables.

Par conclusions récapitulatives enregistrées par le greffe à la date du 26 août 2024, Mme [E] [F] demande à la cour de :

— CONFIRMER le jugement rendu par le tribunal judiciaire de Lille du 8 décembre 2021 n° RG 20/00490 ;

A titre subsidiaire de :

SAISIR la Cour de justice de l’Union européenne de la question préjudicielle suivante : Le règlement n° 2016/679 et le principe d’effectivité du droit de l’Union européenne doivent-il être interprétés en ce sens que le juge national a l’obligation d’annuler un appel de cotisation établi sur la base de données traitées et transférées illégalement '

En tout état de cause de :

— CONDAMNER l'[Adresse 16] à payer la somme de 600 euros à Mme [F] au titre de l’article 700 du code de procédure civile.

Elle fait en substance valoir ce qui suit :

L'[14] n’était pas compétente pour recevoir et traiter les données personnelles de l’intimée et lui adresser un appel de cotisations.

La délégation dont se prévaut l’URSSAF n’est opposable aux cotisants qu’à compter de la date de sa publication, laquelle est postérieure à l’émission de la cotisation litigieuse.

La délégation tardive contrevient à la recommandation de la [5] et donc au décret pris au vu de cette recommandation.

Comme l’a retenu le tribunal pour fonder l’annulation de la cotisation, cette dernière a été appelée au-delà de la date butoir prévue par les dispositions de l’article R. 380-4 du code de la sécurité sociale.

L’administration fiscale et l'[Adresse 13] ont violé les dispositions de l’article 27 de la loi informatique et libertés en procédant au transfert des données personnelles de l’intimée sans en avoir l’autorisation.

L’avis du 26 octobre 2017 de la [5] a été violé car il prévoit un traitement des données uniquement par les organismes territorialement compétents.

Il résulte de l’article 4 1° de la loi informatique et libertés l’existence d’une obligation d’information des cotisants au plus tard lors de la communication des données aux [10], conformément au RGPD (règlement UE 2016/679).

Ni la publication au journal officiel du décret ayant autorisé le traitement des données à caractère personnel, ni l’information diffusée sur le site internet de l’URSSAF ne sauraient constituer une information préalable des personnes concernées.

Le texte règlementaire fondant la cotisation est contraire à la réserve d’interprétation du Conseil constitutionnel, laquelle s’applique immédiatement, et il appartient au juge judiciaire de se prononcer sur sa légalité puisque le texte est manifestement illégal, et ce en application de l’arrêt du Tribunal des conflits SCEA du Chéneau.

Motifs de l’arrêt

SUR LES DISPOSITIONS DU JUGEMENT DEFERE DISANT QUE L’APPEL DE COTISATIONS DE LA [7] POUR L’ANNEE 2016 A ETE EFFECTUEE PAR UNE URSSAF INCOMPETENTE ET EN DEHORS DES DELAIS ACCORDES PAR LA LOI.

Vu l’article R. 380-4, I, du code de la sécurité sociale, dans sa rédaction issue du décret n° 2017-736 du 3 mai 2017, applicable au recouvrement de la cotisation litigieuse :

Selon ce texte, la cotisation assise sur les revenus non professionnels mentionnée à l’article L. 380-2 du code de la sécurité sociale, est appelée au plus tard le dernier jour ouvré du mois de novembre de l’année suivant celle au titre de laquelle elle est due. Elle est exigible dans les trente jours suivant la date à laquelle elle est appelée.

Le non-respect par l’organisme de recouvrement de la date limite mentionnée par ce texte a pour seul effet de reporter le délai au terme duquel la cotisation devient exigible (en dernier lieu 2e Civ., 16 février 2023, pourvoi n° 21-12.613).

Il s’ensuit que manquent en droit le moyen de l’intimée ainsi que le motif du tribunal selon lequel l’expédition de l’avis de mise en recouvrement des cotisations litigieuses postérieurement à la date du 30 novembre 2018 entraînerait la nullité de cet appel de cotisations.

Il convient en conséquence de réformer le jugement déféré en ses dispositions, d’ailleurs non décisoires mais constitutives d’un simple motif, disant que l’appel de cotisation litigieux a été effectué « en dehors des délais accordés par la loi ».

Il résulte de l’article L. 122-7 du code de la sécurité sociale que la délégation de compétence par le directeur d’un organisme local ou régional prend effet dès son approbation par le directeur de l’organisme national de la branche concernée ce dont il résulte que l’organisme délégataire est habilité à exercer les pouvoirs résultant de cette délégation à compter de la décision d’approbation (en ce sens 2e Civ., 6 juin 2024, pourvoi n° 22-15.304 ; 16 novembre 2023 ; 2e Civ., 16 novembre 2023, pourvoi n° 21-25.534)

Il s’ensuit que manquent en droit le moyen de l’intimée et le motif retenu dans le même sens par le tribunal et selon lesquels la convention de délégation du 1er décembre 2017 approuvée le 11 décembre 2017 par le directeur de l’agence centrale des organismes de recouvrement n’aurait pas produit d’effet avant sa publication le 15 janvier 2018 soit postérieurement à l’émission de la cotisation litigieuse.

Il convient en conséquence de réformer le jugement déféré en ses dispositions, d’ailleurs non décisoires mais constitutives de simples motifs, disant que l’appel de la cotisation litigieuse a été effectué par une URSSAF incompétente.

SUR LA DEMANDE DE DEGREVEMENT DES COTISATIONS LITIGIEUSES A RAISON DE LA VIOLATION DES TEXTES APPLICABLES EN MATIERE DE PROTECTION DES DONNEES PERSONNELLES.

Aux termes de l’article 27 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés :

I.-Sont autorisés par décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés :

1° Sous réserve du I bis de l’article 22 et du 9° du I de l’article 25, les traitements de données à caractère personnel mis en 'uvre pour le compte de l’Etat, d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public, qui portent sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques ;

2° Les traitements de données à caractère personnel mis en 'uvre pour le compte de l’Etat qui portent sur des données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes.

II.-Sont autorisés par arrêté ou, en cas de traitement opéré pour le compte d’un établissement public ou d’une personne morale de droit privé gérant un service public, par décision de l’organe délibérant chargé de leur organisation, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés :

1° Sous réserve du I bis de l’article 22 et du 9° du I de l’article 25, les traitements mis en 'uvre par l’Etat ou les personnes morales mentionnées au I qui requièrent une consultation du répertoire national d’identification des personnes physiques sans inclure le numéro d’inscription à ce répertoire ;

2° Sous réserve du 9° du I de l’article 25, ceux des traitements mentionnés au I :

— qui ne comportent aucune des données mentionnées au I de l’article 8 ou à l’article 9 ;

— qui ne donnent pas lieu à une interconnexion entre des traitements ou fichiers correspondant à des intérêts publics différents ;

— et qui sont mis en 'uvre par des services ayant pour mission, soit de déterminer les conditions d’ouverture ou l’étendue d’un droit des administrés, soit d’établir l’assiette, de contrôler ou de recouvrer des impositions ou taxes de toute nature, soit d’établir des statistiques ;

3° Les traitements relatifs au recensement de la population, en métropole et dans les collectivités situées outre-mer ;

4° Les traitements mis en 'uvre par l’Etat ou les personnes morales mentionnées au I aux fins de mettre à la disposition des usagers de l’administration un ou plusieurs téléservices de l’administration électronique définis à l’article 1er de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, si ces traitements portent sur des données parmi lesquelles figurent le numéro d’inscription des personnes au répertoire national d’identification ou tout autre identifiant des personnes physiques.

III.-Les dispositions du IV de l’article 26 sont applicables aux traitements relevant du présent article.

IV.-Le 1° des I et II du présent article n’est pas applicable :

1° Aux traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, qui sont soumis au chapitre IX de la présente loi ;

2° Aux traitements mis en 'uvre afin de répondre à une alerte sanitaire en cas de situation d’urgence, qui sont soumis au V de l’article 22.

Aux termes du décret n° 2017-1530 du 3 novembre 2017 autorisant la mise en 'uvre d’un traitement de données à caractère personnel destiné au calcul de la cotisation prévue à l’article L. 380-2 du code de la sécurité sociale, d’un traitement de données à caractère personnel destiné au contrôle de la résidence et modifiant le décret n° 2015-390 du 3 avril 2015 :

Article 1.

I. – Pour l’application des dispositions de l’article L. 380-2 du code de la sécurité sociale est autorisée la création par l’agence centrale des organismes de sécurité sociale d’un traitement de données à caractère personnel dénommé « cotisation spécifique maladie ».

Les finalités de ce traitement sont le calcul et le recouvrement par les organismes mentionnés aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale de la cotisation spécifique maladie prévue par l’article L. 380-2 du code de la sécurité sociale.

II. – Le traitement autorisé par le présent article porte sur les catégories de données suivantes :

1° Données relatives à l’identité des personnes :

— numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) ;

— civilité ;

— nom de famille ;

— nom d’usage ;

— prénoms ;

— date de naissance ;

— lieu de naissance (code commune INSEE) ;

— adresse de domicile (numéro et nom de voie, nom de commune, code commune INSEE) ;

— adresse de correspondance (numéro et nom de voie, nom de commune, code commune INSEE) ;

2° Données fiscales relatives aux revenus :

— traitements et salaires ;

— pensions, retraites et rentes ;

— revenus et plus-values des professions non salariées : revenus agricoles, revenus industriels et commerciaux professionnels, revenus industriels et commerciaux non professionnels, revenus non commerciaux professionnels, revenus non commerciaux non professionnels ;

— divers : montant net des revenus agricoles, revenus industriels et commerciaux, revenus non commerciaux non soumis aux contributions sociales par les organismes sociaux, indemnités d’élus locaux, revenus étrangers imposables en France, ouvrant droit à un crédit d’impôt égal au montant de l’impôt français ;

— revenus des valeurs et capitaux mobiliers ;

— plus-values et gains divers ;

— revenus fonciers ;

— revenus fonciers exceptionnels ou différés ;

— le cas échéant, rectifications apportées, par le contribuable ou les services de la direction générale des finances publiques, aux mêmes données, en cas d’émission de rôles supplémentaires et de dégrèvements.

III. – Sont destinataires des données à caractère personnel mentionnées au II du présent article, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître :

1° Les agents de l’agence centrale des organismes de sécurité sociale individuellement habilités par le directeur de l’agence ;

2° Les agents des organismes mentionnés aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale chargés du calcul, du recouvrement et du contrôle de la cotisation prévue par l’article L. 380-2, individuellement habilités par le directeur de l’organisme concerné.

L’intimée soutient que le décret précité, pris sur avis de la [5], serait intervenu en violation des dispositions de l’article 27 de la loi précitée et ce au motif que l’avis de la commission informatique et libertés s’est prononcé sur un traitement prévoyant uniquement un traitement par les organismes territorialement compétents.

Cette contestation de la légalité du décret n’est pas sérieuse, le texte de l’article 27 n’exigeant aucunement que les décrets d’application qu’il prévoit soient conformes à l’avis de la commission mais seulement qu’ils interviennent sur avis publié et motivé de cette dernière.

Il s’ensuit que le moyen tiré de l’illégalité du décret n° 2017-1530 du 3 novembre 2017 est dépourvu de tout fondement.

L’intimée soutient ensuite que l’appel de cotisations et l’ensemble du traitement des données ayant permis leur calcul auraient été établis en violation de la directive 95/46/CE et de l’arrêt de la Cour de justice de l’Union européenne du 1er octobre 2015 dans la mesure où, en violation de ces textes et arrêt, les cotisants n’auraient pas reçu au plus tard lors de la transmission des données par l’administration fiscale à l’ACOSS l’information relative au traitement de ces données ainsi qu’à sa finalité.

Aux termes de l’article 32 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés :

I.-La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le responsable du traitement ou son représentant :

1° De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;

2° De la finalité poursuivie par le traitement auquel les données sont destinées ;

3° Du caractère obligatoire ou facultatif des réponses ;

4° Des conséquences éventuelles, à son égard, d’un défaut de réponse ;

5° Des destinataires ou catégories de destinataires des données ;

6° Des droits qu’elle tient des dispositions de la section 2 du présent chapitre dont celui de définir des directives relatives au sort de ses données à caractère personnel après sa mort ;

7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne ;

8° De la durée de conservation des catégories de données traitées ou, en cas d’impossibilité, des critères utilisés permettant de déterminer cette durée.

Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°.

II. – Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

— de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

— des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

— soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;

— soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

III.-Lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.

Lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l’alinéa précédent ne s’appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues au livre II du code du patrimoine ou à la réutilisation de ces données à des fins statistiques dans les conditions de l’article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques. Ces dispositions ne s’appliquent pas non plus lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.

Lorsque les données à caractère personnel sont collectées auprès d’un mineur de moins de quinze ans, le responsable de traitement transmet au mineur les informations mentionnées au I du présent article dans un langage clair et facilement accessible.

IV.-Si les données à caractère personnel recueillies sont appelées à faire l’objet à bref délai d’un procédé d’anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l’informatique et des libertés, les informations délivrées par le responsable du traitement à la personne concernée peuvent se limiter à celles mentionnées au 1° et au 2° du I.

V.-Sans préjudice de l’application des dispositions du chapitre XIII, les dispositions du I ne s’appliquent pas aux données recueillies dans les conditions prévues au III et utilisées lors d’un traitement mis en 'uvre pour le compte de l’Etat et intéressant la sûreté de l’Etat, la défense ou la sécurité publique, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement.

Il résulte clairement de la loi informatique et libertés qu’il appartenait à l’URSSAF, responsable du traitement des données concernant Mme [F] qui lui avaient été transmises par l’administration fiscale, de porter à la connaissance de cette dernière les informations prévues par ces textes ce qui n’est d’ailleurs aucunement contesté par l’URSSAF.

Aux termes des dispositions de la loi informatique et libertés dans sa rédaction applicable, il appartenait donc à l'[Adresse 11] de communiquer à Mme [F] dès l’enregistrement par elle des données reçues de l’administration fiscale les informations suivantes :

1° l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;

2° la finalité poursuivie par le traitement auquel les données sont destinées ;

3° le caractère obligatoire ou facultatif des réponses ;

4° les conséquences éventuelles, à son égard, d’un défaut de réponse ;

5° les destinataires ou catégories de destinataires des données ;

6° les droits qu’elle tient des dispositions de la section 2 du présent chapitre dont celui de définir des directives relatives au sort de ses données à caractère personnel après sa mort ;

7° le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne ;

8° la durée de conservation des catégories de données traitées ou, en cas d’impossibilité, des critères utilisés permettant de déterminer cette durée.

L’URSSAF soutient que les informations requises auraient été fournies à l’intéressée par le décret du 3 novembre 2017 et du 24 mai 2018 prévoyant le transfert de données de la [9] vers l’ACOSS et publiés respectivement au journal officiel du 4 novembre 2017 et du 26 mai 2018 ainsi que par la référence au site internet urssaf.fr mentionné sur l’appel de cotisations, lequel site renvoie à une page relative au traitement des données des cotisants.

Cependant, il résulte des textes précités que l’information qu’ils prévoient doit être personnellement portée à la connaissance de l’intéressé, ce dont il résulte qu’elle ne peut l’être par la voie de la publication d’un décret, et qu’elle doit être portée à sa connaissance de manière claire et explicite, ce que ne permet pas la seule mention sur l’appel de cotisations de la seule référence au site internet du responsable du traitement des données, sans qu’il y ait la moindre indication dans cette mention quant à l’existence d’informations quant au traitement des données de l’intéressé.

Par ailleurs, il n’est pas exact, comme le soutient l’URSSAF, que l’appel de cotisations contiendrait les informations voulues puisque n’y figurent pas les informations imparties par la loi informatique et libertés en ce qui concerne l’identité du responsable du traitement et, le cas échéant, de celle de son représentant, la finalité poursuivie par le traitement auquel les données sont destinées, la durée de conservation des catégories de données traitées ou, en cas d’impossibilité, les critères utilisés permettant de déterminer cette durée.

Il en résulte que l’URSSAF, responsable du traitement, n’a pas respecté son obligation d’information de Mme [F], telle qu’elle résulte du texte précité, lorsqu’elle a effectué le traitement des données qui lui ont été transmises par l’administration fiscale.

Elle a ainsi méconnu les dispositions du texte précité et le principe posé par ce texte en application des textes communautaires applicables notamment la directive 95/46/CE selon laquelle lequel les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée.

Il résulte des textes précités que l’absence de traitement licite, loyal et transparent de données n’expose pas seulement l’organisme chargé du traitement des données à des sanctions de la commission nationale informatique et libertés, comme le soutient l’URSSAF, mais entache également d’irrégularité les décisions prises au vu des données traitées en violation de leurs prescriptions (en ce sens que l’exploitation illicite d’un système de vidéosurveillance entache d’illicéité la preuve tirée des données recueillies par ce système et invoquées au soutien du licenciement d’une salariée Soc., 10 novembre 2021, pourvoi n° 20-12.263/ Et dans le même sens du caractère illicite de la preuve résultant d’un traitement de données à caractère personnel effectué sans respect des formalités prévues par la loi du 6 janvier 1978 Soc., 25 novembre 2020, pourvoi n° 17-19.523 et Soc., 27 mars 2019, pourvoi n° 17-31.715).

Il convient dans ces conditions, mais avec substitution des présents motifs à ceux des premiers juges, de confirmer le jugement déféré en ses dispositions annulant l’appel de cotisation litigieux et prononçant la décharge de la somme de 6533 euros réclamée à Mme [F] au titre de la [8].

Il convient également, ajoutant au jugement, de débouter l’URSSAF de sa demande de condamnation de Mme [F] à lui régler la somme de 6588 euros, cette demande se heurtant non seulement à la chose jugée ci-dessus mais également au fait que la somme a été réglée à l’organisme.

SUR LES DEPENS ET LES FRAIS NON REPETIBLES.

L’URSSAF succombant en ses prétentions, il convient confirmer les dispositions du jugement portant sur la charge des dépens et, ajoutant au jugement, de la condamner aux dépens d’appel.

L’équité ne justifiant pas qu’il soit prononcé de condamnations au titre des frais non répétibles, il convient, réformant le jugement du chef de la condamnation prononcée à l’encontre de l’URSSAF à ce titre, de débouter Mme [F] de ses prétentions au titre des frais non répétibles.

Par ces motifs

La cour, statuant par arrêt contradictoire rendu en audience publique par sa mise à disposition au greffe,

Réforme le jugement déféré en ses dispositions disant que l’appel de cotisations de la [7] litigieux a été effectué par une URSSAF incompétente et en dehors des délais accordés par la loi.

Confirme le jugement déféré pour le surplus de ses dispositions à l’exception de celles relatives aux frais non répétibles qu’il convient de réformer en déboutant Mme [F] de ses prétentions de ce chef.

Condamne l'[Adresse 13] aux dépens d’appel.

Le greffier, Le président,