CA Paris, 13 juin 2025, RG 22/06150

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D'APPEL DE PARIS

Pôle 6 - Chambre 13

ARRÊT DU 13 Juin 2025

(n° , 24 pages)

Numéro d'inscription au répertoire général : S N° RG 22/06150 - N° Portalis 35L7-V-B7G-CF6EV

Décision déférée à la Cour : jugement rendu le 19 Mai 2022 par le Pole social du TJ de [Localité 18] RG n° 19/13556

APPELANT

[Adresse 23]

[Adresse 2]

[Adresse 9]

[Localité 3]

représentée par M. [B] [G] en vertu d'un pouvoir spécial

INTIMEE

Madame [V] [P]

[Adresse 1]

[Localité 4]

représentée par Me Marc BORNHAUSER, avocat au barreau de PARIS, toque : C1522 substitué par Me Marie BREL, avocat au barreau de PARIS

COMPOSITION DE LA COUR :

En application des dispositions de l'article 945-1 du code de procédure civile, l'affaire a été débattue le 8 avril 2025, en audience publique, les parties ne s'y étant pas opposées, devant Madame Sophie COUPET, conseillère, chargée du rapport.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la cour, composée de :

Monsieur Raoul CARBONARO, président de chambre

Madame Sophie COUPET, conseillère

Monsieur Gilles REVELLES, conseiller

Greffier : Madame Agnès Allardi, lors des débats

ARRET :

- CONTRADICTOIRE

- prononcé

par mise à disposition de l'arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.

-signé par Monsieur Raoul CARBONARO, président de chambre et par Madame Agnès Allardi, greffière à laquelle la minute de la décision a été remise par le magistrat signataire.

La cour statue sur l'appel interjeté par l'[21] (ci-après l'Urssaf) Centre-Val-de-Loire du jugement rendu le 19 mai 2022 sous le RG 19/13556 par le tribunal judiciaire de Paris dans un litige l'opposant à Mme [V] [P] (la cotisante).

FAITS, PROCÉDURE, PRÉTENTIONS ET MOYENS DES PARTIES

Les circonstances de la cause ayant été correctement rapportées par le tribunal dans son jugement au contenu duquel la cour entend se référer pour un plus ample exposé, il suffit de rappeler que, par courrier du 15 décembre 2017, l'Urssaf Centre-Val-de-Loire a adressé à Mme [P] un appel de cotisation au titre de son assujettissement à la cotisation subsidiaire maladie ([10]) de l'année 2016, l'informant que selon les éléments transmis par l'administration fiscale, elle était redevable de la somme de

15 424 euros exigible au 19 janvier 2018.

L'Urssaf a adressé à Mme [P] une mise en demeure de payer cette somme de 15 424 euros, par lettre recommandée avec accusé de réception signé le 23 avril 2019. Par acte d'huissier de justice en date du 29 novembre 2019, l'Urssaf a fait signifier à Mme [P] une contrainte lui réclamant cette même somme.

Par courrier du 4 décembre 2019, Mme [P] a saisi la Commission de recours amiable, pour contester la validité de l'appel à cotisations et obtenir le dégrèvement de la [10].

Par courrier expédié le 10 décembre 2019, Mme [P] a formé opposition à la contrainte devant le tribunal de grande instance de Paris.

L'affaire été transférée au pôle social du tribunal judiciaire de Paris, lequel, par jugement du 19 mai 2022 a :

- déclaré Mme [P] recevable en son opposition ;

- dit que le seul caractère tardif de l'appel de [10] du 15 décembre 2017 n'entache pas ce dernier d'irrégularité ;

- déclaré en revanche irrégulier l'appel de [10] en date du 15 décembre 2017 en raison de l'incompétence territoriale de l'Urssaf Centre-Val-de-[Localité 17] ;

- annulé en conséquence l'appel de [10] du 15 décembre 2017, la mise en demeure du 19 avril 2019 ainsi que la contrainte subséquente en date du 26 novembre 2019 signifiée à Mme [P] le 29 novembre 2019 ;

- prononcé le dégrèvement de la somme de 15 424 euros réclamée au titre de la [10] de l'année 2016 ;

- débouté l'Urssaf de l'ensemble de ses prétentions ;

- condamné l'[Adresse 24] à verser à Mme [P] la somme de

500 euros sur le fondement de l'article 700 du code de procédure civile ;

- condamné l'[25] au paiement des frais de signification de la contrainte ainsi qu'aux dépens.

Pour statuer ainsi le premier juge indique que :

* Mme [P] a bien respecté le délai prescrit par les dispositions de l'article R. 133-3 du code de procédure civile pour former opposition à la contrainte ;

* Le non-respect par l'organisme de recouvrement de la date limite mentionnée par l'article R. 380-4 du code de la sécurité sociale a pour seul effet de reporter le délai au terme duquel la cotisation devient exigible ; l'appel de cotisation n'est donc pas entaché d'irrégularité du seul fait de son caractère tardif ;

* La convention de délégation par laquelle l'Urssaf d'Île-de-France a délégué à l'Urssaf [Adresse 5] le calcul, l'appel et le recouvrement des cotisations dues en application de l'article L. 380-2 du code de la sécurité sociale a été approuvée par décision du directeur de l'Acoss du 11 décembre 2017 publiée au Bulletin Officiel le

15 janvier 2018, date à laquelle elle devient opposable aux tiers, sauf disposition prévoyant une formation de publicité particulière ; L'Urssaf ne démontre pas qu'une publicité suffisante de la convention de délégation et de la décision d'approbation du directeur de l'Acoss a été garantie avant l'émission de l'appel de cotisation du

15 décembre 2017 ; L'appel de [10] du 15 décembre 2017 était donc entaché d'irrégularité ayant été émis par une [22] qui n'était pas encore compétente pour y procéder.

Le jugement lui ayant été notifié le 30 mai 2022, l'Urssaf Centre-Val-de-[Localité 17] en a interjeté appel par courrier recommandé posté le 14 juin 2022.

L'affaire a été appelée à l'audience de la cour d'appel du 8 avril 2025.

Par conclusions visées par le greffe et déposées à l'audience, l'Urssaf Centre-Val-de-[Localité 17] demande à la cour de :

- déclarer son appel recevable et régulier ;

- infirmer le jugement du pôle social du tribunal judiciaire de Paris du 19 mai 2022 en ce qu'il a :

* déclaré irrégulier l'appel de [10] en date du 15 décembre 2017 en raison de l'incompétence territoriale de l'Urssaf Centre-Val-de-[Localité 17] ;

* annulé en conséquence l'appel de [10] du 15 décembre 2017, la mise en demeure du 19 avril 2019 ainsi que la contrainte subséquente en date du 26 novembre 2019 signifiée à Mme [P] le 29 novembre 2019 ;

* prononcé le dégrèvement de la somme de 15 424 euros réclamée au titre de la [10] de l'année 2016 ;

* condamné l'[Adresse 24] à verser à Mme [P] la somme de

500 euros sur le fondement de l'article 700 du code de procédure civile ;

* condamné l'[25] au paiement des frais de signification de la contrainte ainsi qu'aux dépens ;

Statuant à nouveau,

- valider l'appel de cotisation du 15 décembre 2017 ;

- valider la mise en demeure du 19 avril 2019 ;

- valider la contrainte du 26 novembre 2019 pour son montant de 15 424 euros au titre de la [10] 2016 ;

- condamner Mme [P] à payer les frais de signification de 72,73 euros ;

- débouter Mme [P] de toutes ses demandes ;

- condamner Mme [P] aux dépens.

Par conclusions visées par le greffe et déposées à l'audience, Mme [P] demande à la cour de :

A titre principal,

- confirmer le jugement rendu par le tribunal judiciaire de Paris le 19 mai 2022 en ce qu'il a :

* déclaré Mme [P] recevable en son opposition ;

* déclaré irrégulier l'appel de [10] en date du 15 décembre 2017 en raison de l'incompétence territoriale de l'Urssaf Centre-Val-de-[Localité 17] ;

* annulé en conséquence l'appel de [10] du 15 décembre 2017, la mise en demeure du 19 avril 2019 ainsi que la contrainte subséquente en date du 26 novembre 2019 signifiée à Mme [P] le 29 novembre 2019 ;

* prononcé le dégrèvement de la somme de 15 424 euros réclamée au titre de la [10] de l'année 2016 ;

* débouté l'Urssaf de l'ensemble de ses prétentions ;

* condamné l'[Adresse 24] à verser à Mme [P] la somme de

500 euros sur le fondement de l'article 700 du code de procédure civile ;

* condamné l'[25] au paiement des frais de signification de la contrainte ainsi qu'aux dépens ;

A titre subsidiaire :

- infirmer le jugement rendu par le tribunal judiciaire de Paris le 19 mai 2022 pour le surplus, en ce qu'il a dit que le seul caractère tardif de l'appel de [10] du 15 décembre 2017 n'entache pas ce dernier d'irrégularité ;

- saisir la Cour de justice de l'Union européenne de la question préjudicielle suivante : Le règlement n° 2016/679 et le principe d'effectivité du droit de l'Union européenne doivent-il être interprétés en ce sens que le juge national a l'obligation d'annuler un appel de cotisation établi sur la base de données traitées et transférées illégalement ' ;

En tout état de cause :

- prononcer le dégrèvement de la somme de 15 424 euros due au titre de la [10] de l'année 2016 ;

- condamner l'[Adresse 27] à payer la somme de 1 200 euros à Mme [P] au titre de l'article 700 du Code de procédure civile ;

- condamner l'[28] aux dépens.

A l'issue de l'audience, les parties ont été informées que la décision serait mise à disposition le 13 juin 2025.

SUR CE :

Sur la régularité de l'appel à cotisation au regard de sa tardiveté :

Moyens des parties :

L'[Adresse 24] expose que le tribunal judiciaire de Paris a, à juste titre, estimé que le non-respect par l'organisme de recouvrement de la date limite mentionnée à l'article R. 380-4 du code de la sécurité sociale a pour seul effet de reporter le délai au terme duquel la cotisation devient exigible. L'Urssaf précise que l'article R. 380-4 du code de la sécurité sociale n'est assorti d'aucune sanction et qu'en conséquence, le tribunal ne peut pas prononcer de sanction en raison de la tardiveté de l'appel, sauf à rajouter une condition au texte, sans fondement juridique. Elle rappelle que la jurisprudence de la Cour de cassation du 28 janvier 2021 (pourvois 19-22.55 et 19-25 .853) confirme l'analyse faite par le juge de première instance. L'Urssaf

Centre-Val-de-[Localité 17] rappelle que l'appel à cotisations n'est pas un acte administratif faisant grief, puisqu'il ne modifie pas la situation personnelle du requérant, qui est d'ailleurs expressément invité à se manifester s'il n'est pas d'accord avec les éléments retenus. Elle en conclut qu'au contraire d'un acte administratif, il n'est pas susceptible d'être annulé.

L'Urssaf précise qu'en tout état de cause, elle dispose d'un délai de trois ans à compter de la fin de l'année civile au titre de laquelle la cotisation est due pour la recouvrer.

Mme [P] expose qu'en application de l'article R. 380-4 du code de la sécurité sociale, la cotisation doit être appelée au plus tard le 30 novembre de l'année,

c'est-à-dire ici le 30 novembre 2017. Elle expose que de très nombreuses juridictions ont statué en ce sens et que la Cour de cassation, malgré les conclusions très fermes de son avocat général, a rendu des arrêts de cassation.

Mme [P] indique que toute norme légale ou réglementaire doit être respectée et que sa violation doit être sanctionnée. Elle précise que l'article R. 380-4 du code de la sécurité sociale précise que la [10] doit être appelée au plus tard le 30 novembre, ce qui veut dire que, passé ce délai, l'Urssaf n'est plus recevable à appeler la cotisation litigieuse. Mme [P] invite donc la cour d'appel à infirmer le jugement rendu par le tribunal judiciaire de Paris, afin que cette question de principe puisse à nouveau faire l'objet d'une tentative de saisine de l'assemblée plénière de la Cour de cassation.

Réponse de la cour :

L'alinéa 1er de l'article R. 380-4 du code de la sécurité sociale dispose :

« La cotisation mentionnée à l'article L. 380-2 est appelée au plus tard le dernier jour ouvré du mois de novembre de l'année suivant celle au titre de laquelle elle est due. Elle est exigible dans les trente jours suivant la date à laquelle elle est appelée. »

L'article L. 244-3 du code de la sécurité sociale dispose que :

« Les cotisations et contributions sociales se prescrivent par trois ans à compter de la fin de l'année civile au titre de laquelle elles sont dues. Pour les cotisations et contributions sociales dont sont redevables les travailleurs indépendants, cette durée s'apprécie à compter du

30 juin de l'année qui suit l'année au titre de laquelle elles sont dues. »

L'article L. 244-8-1 du code de la sécurité sociale dispose que :

« Le délai de prescription de l'action civile en recouvrement des cotisations ou des majorations de retard, intentée indépendamment ou après extinction de l'action publique, est de trois ans à compter de l'expiration du délai imparti par les avertissements ou mises en demeure prévus aux articles L. 244-2 et L. 244-3. »

Le non-respect par l'organisme de recouvrement de la date limite mentionnée par l'article R. 380-4 a pour seul effet de reporter le délai au terme duquel la cotisation devient exigible (2e Civ., 28 janvier 2021, pourvoi n° 19-22.255 ; 2e Civ.,

6 janvier 2022, pourvoi n° 20-16.379), étant rappelé qu'aucune sanction de nullité n'est prévue en cas de non-respect du délai. Dès lors, le dépassement du délai prévu entraîne uniquement le report de l'exigibilité et du point de départ de calcul des majorations de retard.

Le report de l'exigibilité de la cotisation ne fait pas grief au cotisant. En effet, il convient de distinguer, d'une part, la prescription de la dette et d'autre part, la prescription de l'action en recouvrement. En application de l'article L. 244-3 du code de la sécurité sociale, quelle que soit la date de l'appel à cotisation, la dette de cotisation de Mme [P] se prescrit par trois ans à compter de la fin de l'année civile au titre de laquelle elle est due. Un décalage de l'appel à cotisation sera donc sans effet sur le cours de la prescription de la dette, qui commence toujours à courir le 31 décembre de l'année au titre de laquelle elle est due. En revanche, le report de l'exigibilité influe sur la prescription de l'action en recouvrement qui ne pourra courir qu'à compter de la délivrance de la mise en demeure; un décalage de l'appel à cotisation retardera donc le point de départ de la prescription de l'action en recouvrement, qui est sans autre effet sur le cotisant que d'allonger le délai de paiement, étant précisé que si l'appel à cotisation intervient après le délai triennal de prescription de la dette, l'Urssaf

Centre - Val-de-[Localité 17] ne pourra plus réclamer aucune somme.

Ce moyen tiré de l'irrégularité de l'appel à cotisation au regard de sa tardiveté sera en conséquence rejeté.

Sur la régularité de l'appel à cotisation au regard de la compétence de l'Urssaf Centre - Val-de-[Localité 17] pour délivrer l'appel à cotisations :

Moyens des parties :

L'[Adresse 24] expose qu'en application de l'article L. 122-7 du code de la sécurité sociale, les conventions de mutualisation conclues entre les [22] prennent effet au jour de la décision d'approbation de ces conventions par le directeur de l'Acoss, à savoir à la date du 11 décembre 2017 dans le cas présent. Elle précise que, dans un arrêt du 16 novembre 2023, la Cour de cassation a confirmé cette interprétation (pourvoi 21-25.534). Elle en conclut que le juge de première instance a statué en violation de l'article L. 122-7 du code de la sécurité sociale.

Mme [P] explique que, conformément à ce qu'a jugé le tribunal judiciaire de Paris, la convention de mutualisation non encore publiée à la date de l'appel de cotisation ne lui était pas opposable. Elle rappelle que les [22] peuvent calculer et recouvrer les cotisations uniquement auprès des redevables résidant dans leurs ressorts territoriaux respectifs et qu'à la date de l'appel à cotisations, alors que la convention de mutualisation n'était pas opposable, l'Urssaf Centre-Val-de-[Localité 17] ne pouvait donc, pour les cotisants résidant à [Localité 18], ni recevoir les informations de l'administration fiscale, ni effectuer le calcul de la cotisation, ni adresser l'appel à cotisation. Elle souligne que si l'Urssaf agit sur le fondement d'une délégation non opposable au cotisant, l'appel à cotisation doit être annulé, même en l'absence de grief (Civ. 2e, 4 mai 2016, pourvoi

15-18.188). Mme [P] indique que la convention de mutualisation ne prend effet, en application de l'article L. 122-7 du code de la sécurité sociale, qu'après son approbation par le directeur de l'Acoss, décision qui n'entre en vigueur qu'à compter du lendemain de sa publication, conformément aux articles L. 100-3, L. 221-1 et L. 221-2 du code des relations entre le public et l'administration (CRPA). Faute de publicité suffisante, la décision du directeur de l'Acoss doit être sanctionnée d'inopposabilité, ainsi que le juge le Conseil d'Etat (CE, 24 avril 2012, n° 339669). Elle en conclut que l'appel à cotisations a été adressé par un organisme qui n'était pas territorialement compétent.

Réponse de la cour :

L'alinéa 9 de l'article L. 380-2 du code de la sécurité sociale relatif à la cotisation subsidiaire maladie dispose que :

« La cotisation est recouvrée l'année qui suit l'année considérée, mentionnée aux 1° et 2° du présent article, selon les dispositions des sections 2 à 4 du chapitre III et du chapitre IV du titre IV du livre II du présent code, sous réserve des adaptations prévues par décret en Conseil d'Etat. »

Le livre I du code de la sécurité sociale est intitulé 'Livre I : Généralités - Dispositions communes à tout ou partie des régimes de base (Articles L. 111-1 à L. 184-1)'. Il a donc vocation à s'appliquer à tous les organismes de sécurité sociale et à toutes les cotisations, dès lors qu'aucune disposition spécifique dérogatoire n'est prévue dans les livres suivants. Les chapitres III et IV du titre IV du livre II du code de la sécurité sociale, visés par l'article L. 380-2 du code de la sécurité sociale susvisé, ne comportent aucune disposition spécifique dérogatoire au livre I en matière de délégation entre organismes. Dès lors, l'article L. 122-7 du code de la sécurité sociale, compris dans le livre I susvisé, trouve application pour le recouvrement de la cotisation subsidiaire maladie.

L'alinéa 1 de l'article L. 122-7 du code de la sécurité sociale, dans sa version modifiée par la loi n° 2016-1827 du 23 décembre 2016 prévoit :

« Le directeur d'un organisme local ou régional peut déléguer à un organisme local ou régional la réalisation des missions ou activités liées à la gestion des organismes, au service des prestations, au recouvrement et à la gestion des activités de trésorerie, par une convention qui prend effet après approbation par le directeur de l'organisme national de chaque branche concernée.

« Lorsque la mutualisation inclut des activités comptables, financières ou de contrôle relevant de l'agent comptable, la convention est également signée par les agents comptables des organismes concernés. »

En l'espèce, la convention relative à la centralisation du recouvrement de la cotisation d'assurance maladie visée à l'article L. 380-2 du code de la sécurité sociale, communiquée par l'Urssaf en pièce 9, a été signée le 1er décembre 2017 entre, notamment, les directeurs des [Adresse 26] ainsi que par les agents comptables de ces [22].

Elle stipule que « la présente convention est applicable à compter de la décision d'approbation du Directeur de l'Acoss et conclue pour une durée indéterminée » (article 2), que « les [22] délégantes transfèrent à l'Urssaf délégataire l'ensemble des droits et obligations afférents à l'exercice des missions de recouvrement résultant des articles R. 380-3 et suivants du code de la sécurité sociale sur le champ de la cotisation d'assurance maladie visée à l'article L. 380-2 du code de la sécurité sociale » (article 3) et enfin que « l'Urssaf délégataire assure l'encaissement centralisé et la gestion du recouvrement de la cotisation visée à l'article L. 380-2 du code de la sécurité sociale, dont le contrôle et les suites amiables et judiciaires des contestations soulevées par les cotisants » (article 4).

Par décision du 11 décembre 2017 (pièce 8 de l'Urssaf) prise par le directeur de l'Acoss en application de l'article L. 122-7 du code de la sécurité sociale et relative au recouvrement des cotisations dues en application de l'article L. 380-2 du code de la sécurité sociale, « sont approuvées les conventions de mutualisation interrégionales, prises en application de l'article L. 122-7 du code de la sécurité sociale et conclues entre les [22] aux fins de délégation de calcul, de l'appel et du recouvrement des cotisations dues en application de l'article L. 380-2 du code de la sécurité sociale, à des [22] délégataires conformément à la répartition figurant sur le tableau annexé à la présente décision ».

Dans le tableau annexé, il est précisé que l'Urssaf d'Île-de-France est « l'Urssaf délégante » et que l'Urssaf Centre, devenue en cours de procédure l'Urssaf

Centre-Val-de-[Localité 17], est « l'Urssaf délégataire » de la première.

Il résulte de l'alinéa premier de l'article L. 122-7 du code de la sécurité sociale susvisé que la convention de délégation prend effet dès son approbation par le directeur de l'organisme national de la branche concernée et qu'en conséquence, l'organisme délégataire est habilité à exercer les pouvoirs résultant de cette délégation à compter de la décision d'approbation, sans qu'il n'y ait lieu d'attendre la publication (Cass., Civ. 2e, 16 novembre 2023, n° 21-25.534).

L'[Adresse 29] était donc territorialement compétente pour calculer, appeler et recouvrer la cotisation subsidiaire maladie des assujettis vivant à [Localité 18] dès le 11 décembre 2017.

L'appel de cotisation émis le 15 décembre 2017 et envoyé ensuite à Mme [P] a donc été émis par une [22] ayant bénéficié d'une délégation pour calculer, appeler et recouvrer les cotisations subsidiaires maladie au jour de l'appel de cotisation.

Il s'ensuit que le moyen tiré de l'absence de compétence de l'Urssaf ayant émis l'appel de cotisations est inopérant. Le jugement déféré sera donc infirmé sur ce point.

Sur la régularité de l'appel à cotisations au regard de l'article 27 de la loi informatique et libertés :

Moyens des parties :

L'Urssaf expose que les dispositions de l'article 27 de la loi informatique et libertés, dans sa version applicable (devenu article 32 depuis) ont été respectées, dès lors que le traitement des données a été autorisé par le décret du 3 novembre 2017 pris après avis motivé et publié de la [8] (avis en date du 26 octobre 2017). Elle souligne que l'avis de la [8] précise bien que les destinataires des données sont les agents de l'Acoss et les agents habilités des [22].

Par ailleurs, l'Urssaf rappelle que la transmission des informations entre l'administration fiscale et les [22] a été prévue par les articles L. 380-2, R. 380-3 et

D. 380-5 I du code de la sécurité sociale.

L'Urssaf explique que le décret du 24 mai 2018 a complété le dispositif en autorisant la [11] d'effectuer à son niveau un traitement automatisé de ces données, pour la cotisation 2017 appelée en 2018. Elle précise que le décret du 24 mai 2018 n'est qu'un prolongement du principe du traitement qui avait déjà été autorisé dans le décret du

3 novembre 2017.

Mme [P] expose que l'Urssaf a violé l'article 27 de la loi Informatique et Liberté, en traitant un fichier contenant des données personnelles dont le transfert n'avait pas été autorisé. En effet, elle expose que le traitement des données doit être autorisé par un décret pris en Conseil d'Etat après avis de la [8]. Or, elle explique que le traitement relatif au transfert des données entre l'administration fiscale et l'Urssaf a été autorisé par le décret du 24 mai 2018, soit postérieurement au transfert des données utilisé pour l'appel à cotisations objet du litige. Elle souligne qu'il est exact qu'a été pris un décret le 3 novembre 2017, mais ce décret ne portait pas sur le transfert des données des cotisants entre la [11] et l'Acoss, mais uniquement sur le calcul et le recouvrement de la cotisation par les [22]. Elle indique que la délibération de la [8] évoque clairement un décret pour le traitement mis en 'uvre par la [11] relatif au transfert des données mais que ce décret n'est intervenu que le 24 mai 2018, postérieurement à l'appel à cotisations. Mme [P] estime que ce décret n'est pas venu compléter un dispositif existant comme le prétend l'Urssaf mais qu'il portait sur un traitement nécessaire dès la mise en place de la [10].

Réponse de la cour :

Pour le présent litige, il convient de désigner par « la loi I&L » la loi n° 78-17 du

6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa version applicable au litige, c'est-à-dire au jour de l'émission de l'appel à cotisations.

L'article 27 de la loi I&L dispose :

« I.- Sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés :

« 1° Sous réserve du I bis de l'article 22 et du 9° du I de l'article 25, les traitements de données à caractère personnel mis en 'uvre pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public, qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ;

« 2° Les traitements de données à caractère personnel mis en 'uvre pour le compte de l'Etat qui portent sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes. (') »

Le principe du partage d'informations nominatives entre l'administration fiscale et les organismes de sécurité sociale préexistait à l'instauration de la [10] et est prévu à l'article L. 152 du livre des procédures fiscales, qui dispose, dans sa version applicable au présent litige :

« Les agents des administrations fiscales communiquent aux organismes et services chargés de la gestion d'un régime obligatoire de sécurité sociale, de l'attribution de la protection complémentaire en matière de santé visée à l'article du code de la sécurité sociale, aux services chargés de la gestion et du paiement des pensions aux fonctionnaires de l'Etat et assimilés, aux institutions mentionnées au chapitre Ier du titre II du livre IX du code de la sécurité sociale, au service mentionné au deuxième alinéa de l'article L. 815-7 du même code ainsi qu'à l'institution mentionnée à l'article L.5312-1du code du travail les informations nominatives nécessaires :

« 1° à l'appréciation des conditions d'ouverture et de maintien des droits aux prestations ;

« 2° au calcul des prestations ;

« 3° à l'appréciation des conditions d'assujettissement aux cotisations et contributions ;

« 4° à la détermination de l'assiette et du montant des cotisations et contributions ainsi qu'à leur recouvrement ;

« 5° Au recouvrement des prestations indûment versées ;

« 6° A l'appréciation des conditions d'ouverture et de maintien des prestations versées dans le cadre de leur mission légale en matière d'action sanitaire et sociale ;

« 7° Au calcul des prestations versées dans le cadre de leur mission légale en matière d'action sanitaire et sociale.

« Le numéro d'inscription au répertoire national d'identification des personnes physiques peut être utilisé pour les demandes, échanges et traitements nécessaires à la communication des informations mentionnées aux 1° à 7°, lorsqu'elles concernent des personnes physiques.

« Dans le but de contrôler les conditions d'ouverture, de maintien ou d'extinction des droits aux prestations de sécurité sociale de toute nature, ainsi que le paiement des cotisations et contributions, les organismes et services mentionnés au premier alinéa peuvent demander aux administrations fiscales de leur communiquer une liste des personnes qui ont déclaré soit n'avoir plus leur domicile en France, soit n'avoir perçu que des revenus du patrimoine ou de placement.

« Les agents des administrations fiscales signalent aux directeurs régionaux des affaires sanitaires et sociales et aux chefs des services régionaux de l'inspection du travail, de l'emploi et de la politique sociale agricoles, ainsi qu'aux organismes de protection sociale les faits susceptibles de constituer des infractions qu'ils relèvent en ce qui concerne l'application des lois et règlements relatifs au régime général, au régime des travailleurs indépendants non agricoles, aux régimes spéciaux, au régime agricole de sécurité sociale ou à l'assurance chômage. »

La loi instituant la [10], cotisation fixée en fonction, notamment, des revenus du patrimoine et de l'activité professionnelle, prévoit que cette cotisation est déterminée sur la base de ce partage d'informations, puisque l'article L. 380-2, dernier alinéa, du code de la sécurité sociale, qui fixe l'assiette de la cotisation, dispose :

« Les agents des administrations fiscales communiquent aux organismes mentionnés aux articles L. 213-1 et L. 752-2 les informations nominatives déclarées pour l'établissement de l'impôt sur le revenu par les personnes remplissant les conditions mentionnées au premier alinéa de l'article L. 380-2, conformément à l'article L. 152 du livre des procédures fiscales. »

Ce partage d'informations entre l'administration fiscale et les organismes de recouvrement, prévu par la loi, existait également dans les dispositions réglementaires rendues applicables à la [10], puisque l'article R. 380-3 du code de la sécurité sociale, préexistant à la [10], prévoit, dans sa version applicable au présent litige :

« Les cotisations mentionnées à l'article L. 380-2 et au deuxième alinéa du IV de l'article L. 380-3-1 sont calculées, appelées et recouvrées par les organismes chargés du recouvrement des cotisations du régime général au vu des éléments transmis par l'administration fiscale ou par les personnes redevables de ces cotisations. »

Et l'article D. 380-5-I du code de la sécurité sociale, également préexistant à la [10], précise, dans sa version applicable au présent litige :

« Les éléments nécessaires à la détermination des revenus mentionnés aux articles D. 380-1 et D. 380-2 sont communiqués par l'administration fiscale aux organismes chargés du calcul et du recouvrement des cotisations mentionnées à l'article L. 380-2 et au deuxième alinéa du IV de l'article L. 380-3-1. »

Les organismes de sécurité sociale, et notamment les [22], disposaient donc d'un accès aux données fiscales sur la base du corpus législatif et réglementaire existant, sans qu'il ne soit nécessaire d'attendre le décret en Conseil d'Etat prévu à l'article 27 de la loi I&L. En revanche, ce sont les modalités de traitement de ces données pour déterminer les personnes assujetties et le montant de la cotisation qui ont dû être fixées par décret, conformément aux obligations fixées par la loi I&L.

Par application de l'article 27 de la loi I&L, l'article 1er du décret 2017-1530 du 3 novembre 2017, pris après avis motivé et publié de la [8] sous le numéro 2017-279 en date du 26 octobre 2017, prévoit :

« I - Pour l'application des dispositions de l'article L. 380-2 du code de la sécurité sociale est autorisée la création par l'Agence centrale des organismes de sécurité sociale d'un traitement de données à caractère personnel dénommé « Cotisation spécifique maladie ».

« Les finalités de ce traitement sont le calcul et le recouvrement par les organismes mentionnés aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale de la cotisation spécifique maladie prévue par l'article L. 380-2 du code de la sécurité sociale.

« II. - Le traitement autorisé par le présent article porte sur les catégories de données suivantes :

« 1° Données relatives à l'identité des personnes (')

« 2° Données fiscales relatives aux revenus :

« - traitements et salaires ;

« - pensions, retraites et rentes ;

« - revenus et plus-values des professions non salariées : revenus agricoles, revenus industriels et commerciaux professionnels, revenus industriels et commerciaux non professionnels, revenus non commerciaux professionnels, revenus non commerciaux non professionnels ;

« - divers : montant net des revenus agricoles, revenus industriels et commerciaux, revenus non commerciaux non soumis aux contributions sociales par les organismes sociaux, indemnités d'élus locaux, revenus étrangers imposables en France, ouvrant droit à un crédit d'impôt égal au montant de l'impôt français ;

« - revenus des valeurs et capitaux mobiliers ;

« - plus-values et gains divers ;

« - revenus fonciers ;

« - revenus fonciers exceptionnels ou différés ;

« - le cas échéant, rectifications apportées, par le contribuable ou les services de la direction générale des finances publiques, aux mêmes données, en cas d'émission de rôles supplémentaires et de dégrèvements.

« III. - Sont destinataires des données à caractère personnel mentionnées au II du présent article, à raison de leurs attributions respectives et dans la limite du besoin d'en connaître :

« 1° Les agents de l'Agence centrale des organismes de sécurité sociale individuellement habilités par le directeur de l'Agence ;

« 2° Les agents des organismes mentionnés aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale chargés du calcul, du recouvrement et du contrôle de la cotisation prévue par l'article L. 380-2, individuellement habilités par le directeur de l'organisme concerné. (')

« V. - Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 susvisée s'exercent auprès du directeur de l'organisme mentionné aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale auquel la personne est rattachée au vu de l'adresse de domicile qu'elle a déclarée à l'administration fiscale.

« Le droit d'opposition prévu par l'article 38 de la même loi ne s'applique pas au traitement dont la création est autorisée par le présent article. »

Il résulte de ce texte qu'est autorisé tout traitement par l'Acoss des données fiscales qui ont pour finalité le calcul et le recouvrement de la [10]. Ainsi que défini à l'article 2 de la loi I&L, le traitement comprend la collecte, l'utilisation et la transmission des données personnelles. Ainsi, au jour de l'appel à cotisation, l'Acoss était autorisée à collecter les données fiscales de Mme [P] et de les transmettre aux [22] pour le calcul de la [10].

Au jour de l'appel à cotisations litigieux, étaient donc prévus :

par une disposition législative, le partage des données fiscales entre l'administration fiscale, l'Acoss et les [22] ;

par un décret en Conseil d'Etat, après avis de la [8], la collecte, le traitement et la transmission des données fiscales par l'Acoss et les [22].

Il est vrai que le décret 2018-392 du 24 mai 2018 a prévu l'autorisation d'un traitement automatisé pour transmission des données entre la [11] et l'Acoss ainsi qu'il est dit dans son article 1 :

« Pour l'application du dernier alinéa de l'article L. 380-2 du code de la sécurité sociale, est autorisée la mise en 'uvre par la direction générale des finances publiques d'un traitement automatisé de transfert de données à caractère personnel à destination de l'agence centrale des organismes de sécurité sociale.

« Ce traitement automatisé a pour finalité de communiquer à l'agence centrale des organismes de sécurité sociale les informations nominatives dont dispose l'administration fiscale nécessaires à la détermination de l'assiette et du montant de la cotisation prévue par les dispositions de l'article L. 380-2 du code de la sécurité sociale ci-dessus mentionné.

« Le transfert est mis en 'uvre par un service informatique de la direction générale des finances publiques. »

Il s'agit de la mise en place d'un traitement automatisé des données au niveau de la [11] et non au niveau de l'Urssaf, avant la transmission des données, pour faciliter et rationnaliser cette transmission. Ce traitement automatisé a vocation à se mettre en place pour la [10] 2017 appelée à la fin de l'année 2018. Aucun élément du dossier ne permet de laisser supposer qu'un tel traitement des données au niveau de la [11] a été réalisé avant la parution de ce décret, pour la [10] 2016 appelée en 2017. Dès lors, le fait que ce décret soit paru après l'envoi de l'appel à cotisations litigieux est sans incidence sur le litige.

Le moyen tiré de l'irrégularité de l'appel à cotisations au regard de l'article 27 de la loi informatique et libertés sera donc écarté.

Sur la régularité de l'appel à cotisation en raison de l'incompétence de l'Urssaf Centre-Val-de-[Localité 17] pour recevoir et traiter les données personnelles du cotisant :

Moyens des parties :

L'Urssaf expose que, dans sa délibération 2017-279, la [8] indique qu'est justifié au regard de la finalité du traitement l'accès aux données fiscales par les agents habilités des [22] territorialement compétents. L'Urssaf en conclut que, par suite de la convention de mutualisation, l'Urssaf Centre-Val-de-[Localité 17] était compétente pour recevoir les données fiscales transmises pour les cotisants résidant à [Localité 18].

En ce qui concerne le droit d'accès et de rectification, l'Urssaf expose que les droits du cotisant sont préservés par l'article R. 380-4 du code de la sécurité sociale, cette possibilité de rectification étant d'ailleurs rappelée dans l'appel à cotisations lui-même.

Mme [P] fait valoir que l'avis de la [8] et le décret du 3 novembre 2017 concernent uniquement un traitement des données par les [22] territorialement compétents, et non l'Urssaf Centre - Val-de-[Localité 17] qui s'est appropriée ensuite le traitement des données ; elle souligne qu'il n'est prévu aucune dérogation au principe de territorialité. Elle précise qu'elle en subit un préjudice puisque l'article 1er du décret du

3 novembre 2017 limite ses droits d'accès et de rectification auprès de la seule [22] à laquelle elle est rattachée au vu de son adresse fiscale, c'est-à-dire auprès de l'Urssaf d'Île-de-France, qui n'est en réalité pas celle qui a traité ses données. Elle constate qu'elle est dépourvue de tout droit d'accès et de rectification auprès de l'Urssaf

Centre-Val-de-[Localité 17]. Elle rappelle qu'au jour de l'avis de la [8], les conventions de mutualisation n'étaient pas encore conclues et que la [8] n'a donc pas pu viser les [22] territorialement compétentes par délégation. Elle estime que la convention de mutualisation est donc contraire aux dispositions du décret du 3 novembre 2017. Elle précise que son inquiétude est d'autant plus grande que la [8] a constaté que les données des cotisants n'étaient pas chiffrées.

Mme [P] estime qu'un organisme chargé de la gestion d'un service public ne peut pas participer à l'appréhension illicite de données informatiques (Cass., Crim.,

27 novembre 2013, pourvoi 13-85.042) et donc ne peut pas être lui-même l'auteur d'une telle infraction. Elle explique que cette irrégularité a un effet immédiat sur la régularité formelle de l'appel à cotisation, puisque l'irrégularité de l'appréhension des données, qui est un acte préalable et non détachable de l'appel à cotisation, entraîne l'irrégularité de l'appel à cotisations. Elle précise que l'irrégularité ne peut être évitée que s'il est prouvé que c'est l'Urssaf d'Île-de-France qui a collecté les données et que l'Urssaf Centre-Val-de-[Localité 17] s'est contentée de l'expédition de l'appel à cotisations. Elle souligne qu'il ne s'agit pas de la compétence de l'Urssaf Centre-Val-de-[Localité 17] au sens du code de la sécurité sociale, mais de l'incidence de la modification d'un traitement informatisé postérieurement à son processus d'autorisation, et notamment la modification du responsable du traitement.

Réponse de la cour :

Dans sa délibération 2017-279 du 26 octobre 2017, la [8] a indiqué :

« Sur les destinataires des données :

« L'article 1er-IV du projet de décret prévoit que seront destinataires des données à caractère personnel, à raison de leurs attributions et du besoin d'en connaître :

« - les agents habilités de l'ACOSS ;

« - les agents habilités des organismes mentionnés aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale (Urssaf) en charge du calcul, du recouvrement et du contrôle de la cotisation. S'agissant de ces organismes, la commission prend acte de ce qu'ils ne seront destinataires que des données concernant les cotisants pour lesquels ils sont territorialement compétents.

« Un tel accès aux données apparaît justifié au regard des finalités du traitement. »

Les organismes territorialement compétents évoqués dans l'avis de la [8] du

26 octobre 2017 ne désignent pas l'Urssaf du lieu de résidence du cotisant, mais, par référence au début du paragraphe, l'Urssaf en charge du calcul, du recouvrement et du contrôle de la cotisation, seule [22] légitime à recevoir les données personnelles des cotisants soumis à la [10]. En s'abstenant de désigner expressément l'Urssaf du lieu de résidence du cotisant, mais en utilisant cette formule, la [8] ne fait pas obstacle à la mise en place d'une convention de mutualisation ultérieure tout en garantissant les droits des cotisants pour que leurs données personnelles ne soient transmises qu'à l'Urssaf en charge du traitement du dossier.

Il a été jugé ci-dessus qu'en raison de la convention de mutualisation qu'elle avait signée avec l'Urssaf d'Île-de-France, l'Urssaf du Centre - Val-de-[Localité 17] était bien, à compter du 11 décembre 2017, l'Urssaf en charge du calcul, du recouvrement et du contrôle de la cotisation subsidiaire maladie des cotisants dont le domicile est situé en Île-de-France. Elle pouvait donc, au regard des impératifs posés par la délibération de la [8], recevoir les données transmises par l'administration fiscale.

L'article 1 du décret 2017-1530 du 3 novembre 2017, autorisant la mise en 'uvre d'un traitement de données à caractère personnel destiné au calcul de la cotisation prévue à l'article L. 380-2 du code de la sécurité sociale, déjà cité, prévoit, dans son paragraphe [14] :

« I. -

(')

« III. - Sont destinataires des données à caractère personnel mentionnées au II du présent article, à raison de leurs attributions respectives et dans la limite du besoin d'en connaître :

« 1° Les agents de l'Agence centrale des organismes de sécurité sociale individuellement habilités par le directeur de l'Agence ;

« 2° Les agents des organismes mentionnés aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale chargés du calcul, du recouvrement et du contrôle de la cotisation prévue par l'article L. 380-2, individuellement habilités par le directeur de l'organisme concerné.

« IV. ' (').

« V. - Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du

6 janvier 1978 susvisée s'exercent auprès du directeur de l'organisme mentionné aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale auquel la personne est rattachée au vu de l'adresse de domicile qu'elle a déclarée à l'administration fiscale.

« Le droit d'opposition prévu par l'article 38 de la même loi ne s'applique pas au traitement dont la création est autorisée par le présent article. »

A l'instar de l'avis de la [8], le décret prévoit que les données à caractère personnel sont transmises aux [22] chargés du calcul, du recouvrement et du contrôle de la cotisation, c'est-à-dire, dans le cas d'espèce, l'Urssaf Centre-Val-de-[Localité 17] à compter du 11 décembre 2017. De même, les droits d'accès et de rectification s'exercent auprès du directeur de l'Urssaf auquel la personne est rattachée au vu de l'adresse de domicile qu'elle a déclarée à l'administration fiscale. Par suite de la convention de mutualisation, Mme [P], qui a son domicile à [Localité 18], est rattachée, à compter du

11 décembre 2017, pour la question de la [10], à l'Urssaf Centre-Val-de-[Localité 17] et peut exercer son droit d'accès et de rectification auprès d'elle.

Ainsi, comme l'avis de la [8], le décret ne fait pas obstacle à la mise en place d'une convention de mutualisation, tout en préservant l'effectivité du droit d'accès et de rectification du cotisant.

Ainsi, l'[Adresse 29], compétente pour calculer, appeler et recouvrer les cotisations subsidiaires maladies dont Mme [P] était redevable au jour de l'appel de cotisation, était également compétente, à compter du 11 décembre 2017, pour traiter les données à caractère personnel légalement collectées à cette fin, sans porter atteinte aux droits de Mme [P].

Ce moyen d'irrégularité sera donc écarté.

Sur la régularité de l'appel à cotisation au regard de l'obligation d'information prévue à l'article 32 de la loi Informatique et libertés :

Moyens des parties :

L'Urssaf indique que, par application de l'article 32 III de la loi Informatique et libertés, l'information doit être donnée au plus tard lors de la première communication de données à caractère personnel. Elle précise que le site internet de l'Urssaf contient cette information et que l'Urssaf n'est tenue que d'une obligation générale d'information, ce qui ne lui impose pas de prendre l'initiative de renseigner les cotisants sur leurs droits éventuels, ni de porter à leur connaissance des textes officiels publiés au journal officiel (Civ. 2e, 28 novembre 2013, pourvoi 12-24.410). L'Urssaf indique que la cour d'appel de Paris, dans un arrêt du 23 juin 2023 (RG 20/5222) a considéré que le devoir d'information de l'Urssaf était respecté.

Elle expose que la Cour de cassation s'est positionné dans un arrêt du 27 février 2025 (pourvoi 22.17-970) aux termes duquel il est fait exception à l'obligation prévue à l'article 32 de la loi Informatiques et Libertés pour les cotisations appelées à compter du 03 novembre 2017, dès lors qu'il existait des mesures appropriées visant à protéger les intérêts légitimes des cotisants par les dispositions des articles L.380-2, R .380-3 et D.380-5 du code de la sécurité sociale et par le décret 2017-1530 du 03 novembre 2017.

Elle ajoute que l'appel de cotisations mentionnait correctement toutes les informations nécessaires sur la [10] 2016.

L'Urssaf note qu'en tout état de cause, si une atteinte à la loi Informatique et libertés était avérée, alors seule la [8] pourrait prononcer une éventuelle sanction, qui ne saurait consister en une annulation de l'appel à cotisations.

Mme [P] expose que l'article 11 de la directive sur le traitement des données à caractère personnel prévoit que le responsable du traitement doit, au plus tard lors de la première communication des données, fournir à la personne concernée une liste d'informations énumérées, sauf si la personne en est déjà informée. Il précise que, dans un arrêt du 1er octobre 2015 (Smaranda Bara C 201/14), la [7] a jugé que l'exigence de traitement loyal des données personnelles prévues à l'article 6 de la directive 95/46 oblige une administration publique à informer les personnes concernées de la transmission de ces données à une autre administration publique en vue de leur traitement par cette dernière en sa qualité de destinataire desdites données. Elle souligne que cette obligation a été reprise ensuite dans le [19] (toutefois inapplicable au litige puisqu'entré en vigueur au 23 mai 2018) mais également en droit interne, à l'article 32 de la loi informatique et liberté. Elle en conclut que l'appel à cotisation, établi par l'Urssaf Centre - Val-de-[Localité 17] sur la base du transfert des données personnelles du cotisant par l'administration fiscale, sans information individuelle donnée au cotisant, ni par l'Urssaf, ni par l'administration fiscale est irrégulier. Elle souligne que l'information générale par le journal officiel ou par le site internet de l'Urssaf n'est pas valable, puisque les personnes concernées par ce traitement n'étaient pas identifiées et puisque l'information n'était pas individuelle. Il souligne que de nombreuses juridictions ont retenu cette analyse.

Mme [P] explique que les juridictions judiciaires ont compétence pour apprécier les manquements à la loi informatique et libertés. En effet, l'article 22 de la directive prévoit que toute personne doit pouvoir disposer d'un recours juridictionnel en cas de violation de ses droits et la cour de cassation a déjà eu l'occasion d'apprécier la conformité d'un traitement de données à la loi informatique et liberté, estimant que la sanction de l'acte fondé sur un fichier illégal parce que créé en méconnaissance de la loi informatique et liberté, était la nullité (Cass., Com., 25 juin 2013, pourvoi 12-17.037). Ainsi la sanction des obligations prévues par la loi ne se cantonnent pas aux sanctions administratives de la [8], mais s'étend également aux recours devant le juge judiciaire. Mme [P] précise que, dans un arrêt du 6 octobre 2020 (C-511 /18, C.512/18 et C. 520 /18), la [7] a également rappelé que l'effectivité du droit de l'Union européenne impose aux Etats d'écarter les preuves obtenues en infraction à ce droit prévu au [19].

Mme [P] explique que la réglementation en matière de protection des données à caractère personnel constitue une garantie contre les dérives que l'utilisation de ces données peut entraîner et qu'en conséquence toute atteinte portée à ces garanties fait de facto grief aux personnes concernées. L'appel à cotisation qui a résulté de traitements illégaux de données doit donc être annulé. Dans l'hypothèse où l'application des règles de droit interne ne permet pas à la cour de conclure à l'annulation des actes résultant d'un transfert ou d'un traitement illégal de données, Mme [P] demande de saisir la [7] d'une question préjudicielle pour clarifier la question des conséquences des traitements et transferts de données non conformes à la directive sur les actes subséquents.

Réponse de la cour :

A titre liminaire, il convient de préciser que Règlement (UE) 2016/679 du Parlement européen et du Conse