Cour de cassation, Chambre civile 2, 27 février 2025, 23-22.218, Publié au bulletin

TGI Lille 23 juillet 2021

CA Amiens
Infirmation 22 septembre 2023

CASS
Cassation 27 février 2025

Arguments

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Signaler une erreur.

Accepté
Violation des obligations d'information
La Cour de cassation a estimé que la communication des données fiscales du cotisant à l'URSSAF était expressément prévue par la loi, et que l'URSSAF n'était pas tenue de fournir les informations demandées au cotisant, ce qui rendait l'annulation de l'appel de cotisation infondée.
Accepté
Condamnation aux dépens
La Cour de cassation a condamné M. [R] aux dépens, conformément aux dispositions applicables en matière de procédure civile.
Accepté
Rejet de la demande au titre de l'article 700
La Cour de cassation a rejeté la demande de M. [R] et l'a condamné à payer à l'URSSAF une somme au titre de l'article 700, considérant que la demande n'était pas fondée.

Résumé par Doctrine IA

L'URSSAF du Centre-Val de Loire conteste l'annulation de l'appel de cotisation par la cour d'appel, arguant que l'obligation d'information sur le traitement des données personnelles ne s'applique pas en vertu de l'article 14, 5 (c) du RGPD et des articles L. 380-2 et R. 380-3 du code de la sécurité sociale. La Cour de cassation casse l'arrêt, considérant que la cour d'appel a violé ces textes en exigeant des informations qui n'étaient pas nécessaires, car la communication des données était expressément prévue par la loi. L'affaire est renvoyée devant une autre formation de la cour d'appel d'Amiens.

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Résumé de la juridiction

Il résulte de l’article 32, III, de la loi n° 78-17 du 6 janvier 1978, dans sa rédaction issue de la loi n° 2018-493 du 20 juin 2018, et de l’article 14, paragraphe 5, sous c), du règlement (UE) n° 2016/679 (le RGPD) que, dès lors que la communication des données fiscales du cotisant à l’URSSAF est expressément prévue par les articles L. 380-2, dernier alinéa, R. 380-3 et D. 380-5, I, du code de la sécurité sociale et qu’il est prévu, par le décret n° 2017-1530 du 3 novembre 2017, des mesures appropriées visant à protéger les intérêts légitimes du cotisant, il est fait exception, pour les cotisations appelées à compter de cette dernière date, à l’obligation d’information pesant sur le responsable du traitement des données personnelles à l’égard de la personne concernée par celles-ci lorsqu’elles n’ont pas été recueillies auprès d’elle.

Doit donc être cassé l’arrêt qui annule l’appel de la cotisation subsidiaire maladie au motif que l’organisme de recouvrement n’a pas respecté son obligation d’information individuelle à l’égard du cotisant concernant le transfert de ses données fiscales à l’URSSAF

Commentaires • 2

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

1. Revues françaises

Institut National de la Propriété Industrielle · 2 juillet 2025

2. Cotisation subsidiaire maladie : l'appel de cotisation n'est pas incompatible avec le RGPDAccès limité

Lexis Veille · 14 mars 2025

Testez Doctrine gratuitement
pendant 7 jours

Démarrer

Vous avez déjà un compte ?Connexion

Sur la décision

Référence :	Cass. 2e civ., 27 févr. 2025, n° 23-22.218, Publié au bulletin
Juridiction :	Cour de cassation
Numéro(s) de pourvoi :	23-22218
Importance :	Publié au bulletin
Décision précédente :	Cour d'appel d'Amiens, 22 septembre 2023
Textes appliqués :	Article 32, III, de la loi n° 78-17 du 6 janvier 1978, dans sa rédaction issue de la loi n° 2018-493 du 20 juin 2018 ; article 14, § 5, sous c), du règlement (UE) n° 2016/679 ; articles L. 380-2, dernier alinéa, R. 380-3 et D. 380-5, I, du code de la sécur ité sociale.
Dispositif :	Cassation
Date de dernière mise à jour :	7 avril 2025
Identifiant Légifrance :	JURITEXT000051284084
Identifiant européen :	ECLI:FR:CCASS:2025:C200160
Lire la décision sur le site de la juridiction

Sur les parties

Président :	M^me Martinel
Avocat(s) :	Carole FATTACCINIMathieu STOCLET
Cabinet(s) :	SOCIETE CIVILE PROFESSIONNELLE D'AVOCATS GATINEAU CHARTRAIN GOUIN
Parties :	URSSAF

Texte intégral

CIV. 2

COUR DE CASSATION

______________________

Audience publique du 27 février 2025

Cassation

M^me MARTINEL, président

Arrêt n° 160 FS-B

Pourvoi n° A 23-22.218

R É P U B L I Q U E F R A N Ç A I S E

_________________________

AU NOM DU PEUPLE FRANÇAIS

_________________________

ARRÊT DE LA COUR DE CASSATION, DEUXIÈME CHAMBRE CIVILE, DU 27 FÉVRIER 2025

L’union de recouvrement des cotisations de sécurité sociale et d’allocations familiales (URSSAF) du Centre – Val de Loire, dont le siège est [Adresse 1], a formé le pourvoi n° A 23-22.218 contre l’arrêt rendu le 22 septembre 2023 par la cour d’appel d’Amiens (2e protection sociale), dans le litige l’opposant à M. [S] [R], domicilié [Adresse 2], défendeur à la cassation.

La demanderesse invoque, à l’appui de son pourvoi, un moyen unique de cassation.

Le dossier a été communiqué au procureur général.

Sur le rapport de M. Labaune, conseiller référendaire, les observations écrites et orales de la SCP Gatineau, Fattaccini et Rebeyrol, avocat de l’URSSAF du Centre – Val de Loire, de la SAS Boulloche, Colin, Stoclet et Associés, avocat de M. [R], et l’avis de M. Grignon Dumoulin, premier avocat général, après débats en l’audience publique du 15 janvier 2025 où étaient présents M^me Martinel, président, M. Labaune, conseiller référendaire rapporteur, M^me Lapasset, MM. Leblanc, Reveneau, Hénon, conseillers, M^me Dudit, M. Montfort, M^me Lerbret-Féréol, conseillers référendaires, M. Grignon Dumoulin, premier avocat général, et M^me Gratian, greffier de chambre,

la deuxième chambre civile de la Cour de cassation, composée, en application de l’article R. 431-5 du code de l’organisation judiciaire, des président et conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.

Faits et procédure

1. Selon l’arrêt attaqué (Amiens, 22 septembre 2023), l’URSSAF du Centre – Val de Loire (l’URSSAF) a adressé à M. [R] (le cotisant), le 26 novembre 2018, un appel de la cotisation subsidiaire maladie pour l’année 2017, au titre de la protection universelle maladie.

2. Le cotisant a saisi d’un recours une juridiction chargée du contentieux de la sécurité sociale.

Examen du moyen

Sur le moyen, pris en sa troisième branche

Enoncé du moyen

3. L’URSSAF fait grief à l’arrêt d’annuler l’appel de cotisation litigieux et de décharger le cotisant de la somme réclamée au titre de la cotisation subsidiaire maladie de l’année 2017, alors « qu’il résulte de l’article 14, 5 (c) du Règlement (UE) 2016/679 du 27 avril 2016, interprété à la lumière de son considérant n° 62, que l’obligation d’information prévue au paragraphe 1 à 4 de l’article 14 ne s’applique pas lorsque l’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ; qu’en reprochant à l’URSSAF de ne pas avoir respecté l’obligation d’information du cotisant prévue par les textes, lorsque cette obligation d’information ne s’appliquait pas dès lors que la communication des données à caractère personnel par l’administration fiscale à l’ACOSS et aux URSSAF, dans le but de calculer et recouvrer la cotisation subsidiaire maladie, était expressément prévue par les articles L. 380-2, R. 380-3, D. 380-5 du code de la sécurité sociale, L. 152 du livre des procédures fiscales et par les décrets n° 2017-1530 du 3 novembre 2017 et n° 2018-392 du 24 mai 2018, ces décrets prévoyant des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée, la cour d’appel a violé les articles précités. »

Réponse de la Cour

Vu l’article 32, III, de la loi n° 78-17 du 6 janvier 1978, l’article 14, paragraphe 5, sous c), du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (le RGPD), les articles L. 380-2, dernier alinéa, R. 380-3 et D. 380-5, I, du code de la sécurité sociale et le décret n° 2017-1530 du 3 novembre 2017 autorisant la mise en uvre d’un traitement de données à caractère personnel destiné au calcul de la cotisation prévue à l’article L. 380-2 du code de la sécurité sociale, dans leur rédaction applicable au litige :

4. Selon le paragraphe I du premier de ces textes, dans sa rédaction issue de la loi n° 2018-493 du 20 juin 2018, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le responsable du traitement ou son représentant :

1° De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;

2° De la finalité poursuivie par le traitement auquel les données sont destinées ;

3° Du caractère obligatoire ou facultatif des réponses ;

4° Des conséquences éventuelles, à son égard, d’un défaut de réponse ;

5° Des destinataires ou catégories de destinataires des données ;

6° Des droits qu’elle tient des dispositions de la section 2 du présent chapitre dont celui de définir des directives relatives au sort de ses données à caractère personnel après sa mort ;

7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un État non membre de la Communauté européenne ;

8° De la durée de conservation des catégories de données traitées ou, en cas d’impossibilité, des critères utilisés permettant de déterminer cette durée.

5. Aux termes de l’article 32, III, alinéa 1er, de la loi du 6 janvier 1978 susvisée, lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.

6. Selon l’article 32, III, alinéa 2, de la loi du 6 janvier 1978, susvisée, le responsable du traitement n’est pas tenu de fournir à la personne concernée les informations énumérées au I de ce texte lorsque celle-ci est déjà informée.

7. Selon le deuxième des textes susvisés, entré en vigueur le 25 mai 2018 et applicable aux appels de cotisation émis après cette date, il est fait exception à l’obligation de fournir des informations à la personne concernée auprès de laquelle les données à caractère personnel n’ont pas été collectées lorsque et dans la mesure où l’obtention ou la communication des données sont expressément prévues par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée (CJUE, arrêt du 28 novembre 2024, Másdi, C-169/23, § 45).

8. Il résulte des articles L. 380-2, dernier alinéa, R. 380-3 et D. 380-5, I, du code de la sécurité sociale, susvisés, le premier dans sa rédaction issue de la loi n° 2015-1702 du 21 décembre 2015, le deuxième dans sa rédaction issue du décret n° 2017-736 du 3 mai 2017 et le dernier dans sa rédaction issue du décret n° 2016-979 du 19 juillet 2016, que les éléments nécessaires à la détermination des revenus composant l’assiette de la cotisation subsidiaire maladie sont communiqués par l’administration fiscale aux organismes chargés du calcul et du recouvrement des cotisations.

9. Le décret n° 2017-1530 du 3 novembre 2017 susvisé autorise la mise en uvre par l’Agence centrale des organismes de sécurité sociale d’un traitement de données à caractère personnel destiné au calcul de la cotisation prévue à l’article L. 380-2 du code de la sécurité sociale. Il prévoit l’identité du responsable du traitement des données, les finalités poursuivies par le traitement, les destinataires des données, la durée de conservation des données traitées, ainsi que l’existence d’un droit d’accès et de rectification aux données et les modalités d’exercice de ces droits.

10. Il résulte de la combinaison de ces textes que, dès lors que la communication des données fiscales du cotisant à l’URSSAF est expressément prévue par les articles L. 380-2, dernier alinéa, R. 380-3 et D. 380-5, I, du code de la sécurité sociale précités et qu’il est prévu, par le décret n° 2017-1530 du 3 novembre 2017, des mesures appropriées visant à protéger les intérêts légitimes du cotisant, il est fait exception, pour les cotisations appelées à compter de cette dernière date, à l’obligation d’information, prévue au paragraphe III de l’article 32 de la loi du 6 janvier 1978 susvisé, pesant sur le responsable du traitement des données personnelles, à l’égard de la personne concernée par celles-ci lorsqu’elles n’ont pas été recueillies auprès d’elle.

11. Pour annuler l’appel de cotisation litigieux, l’arrêt retient qu’il appartient à l’URSSAF d’informer le cotisant de l’identité du responsable du traitement et, le cas échéant, de celle de son représentant, de la finalité poursuivie par le traitement auquel les données sont destinées, de la durée de conservation des catégories de données traitées ou, en cas d’impossibilité, des critères utilisés permettant de déterminer cette durée. Il relève que ces informations n’ont pas été personnellement portées à la connaissance du cotisant. Il déduit du manquement à cette obligation d’information que le traitement des données fiscales du cotisant par l’URSSAF n’a pas été licite, loyal et transparent, ce qui entache d’irrégularité l’appel de cotisation reposant sur ces données.

12. En statuant ainsi, la cour d’appel a violé les textes susvisés.

PAR CES MOTIFS, et sans qu’il y ait lieu de statuer sur les autres griefs du pourvoi, la Cour :

CASSE ET ANNULE, en toutes ses dispositions, l’arrêt rendu le 22 septembre 2023, entre les parties, par la cour d’appel d’Amiens ;

Remet l’affaire et les parties dans l’état où elles se trouvaient avant cet arrêt et les renvoie devant la cour d’appel d’Amiens, autrement composée ;

Condamne M. [R] aux dépens ;

En application de l’article 700 du code de procédure civile, rejette la demande formée par M. [R] et le condamne à payer à l’URSSAF du Centre – Val de Loire la somme de 3 000 euros ;

Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l’arrêt cassé ;

Ainsi fait et jugé par la Cour de cassation, deuxième chambre civile, et prononcé par le président en son audience publique du vingt-sept février deux mille vingt-cinq.