Cour d'appel, Chambre 4-8, 31 mars 2023, n° 21/11702

Motivation

MOTIFS Sur la nullité de l'appel à cotisation Sur le moyen tiré de la violation de la loi 'informatique et libertés' Sur la première branche du moyen Les premiers juges, pour annuler l'appel de cotisation litigieux, ont retenu que celui-ci avait été émis par l'URSSAF en violation de la loi n°78-17 dite 'informatique et libertés', au motif que le décret du Conseil d'Etat autorisant la tranmission automatisée des données personnelles des cotisants par l'administration fiscale aux URSSAF avait été publié postérieurement à l'appel querellé. Pour contester la nullité de l'appel à cotisation prononcée par les premiers juges, et en réponse à la première branche du moyen soulevé par l'intimée, tenant à l'irrégularité du transfert des données fiscales par l'administration fiscale aux URSSAF, l'appelante soutient en substance que: - l'article L380-2 du code de la sécurité sociale autorise l'administration fiscale et les URSSAF à échanger les données nominatives pour l'établissement de la cotisation subsidiaire maladie ; - la mise en place par l'ACOSS d'un traitement informatique a été autorisée par un décret du 4 novembre 2017 prévoyant les modalités de recouvrement des cotisations prévues à l'article L380-2 du code de la sécurité sociale, pris après avis de la CNIL, et antérieurement à la date de l'appel à cotisation contesté; - le décret du 24 mai 2018 dont l'intimée soulève la publication postérieure à l'appel de cotisations ne fait que préciser le décret du 4 novembre 2017, qui organisait déjà le transfert des données à caractère personnel destiné au calcul de la cotisation en cause, en mettant en oeuvre par la direction générale des finances publiques d'un traitement de transfert de données à caractère personnel à destination de l'agence centrale des organismes de sécurité sociale ; - l'article D 380-5 du code de la sécurité sociale entré en vigueur le 22 juillet 2016 prévoit que les éléments nécessaires à la détermination des revenus mentionnés aux articles D 380-1 et D380-2 sont communiqués par l'administration fiscale aux organismes chargés du calcul et du recouvrement de la cotisation prévue par l'article L 380-2 du code de la sécurité sociale; - il se déduit de l'ensemble de ces éléments que le tribunal s'est mépris sur la portée du décret du 24 mai 2018. L'intimée soutient que: - si le principe de la communication de données personnelles par l'administration fiscale, pour le calcul et le recouvrement de la cotisation subsidiaire maladie, aux URSSAF est incontestablement prévu par l'article L 380-2 du code de la sécurité sociale, le transfert de ces données doit respecter les conditions posées par la loi du 6 janvier 1978 et notamment l'autorisation préalable donnée à l'administration, par décret du Conseil d'Etat après publication de l'avis motivé de la commission nationale de l'informatique et des libertés ; - en l'espèce, la commission nationale de l'informatique et des libertés a été saisie de deux projets de décrets relatifs à la mise en oeuvre des traitements de données personnelles nécessaires à la mise en recouvrement de la cotisation subsidiaire maladie, et le premier avis de la commission, portant sur le projet de décret relatif au transfert des données personnelles de cotisants par l'administration fiscale aux URSSAF, a été publié comme le décret s'y rapportant le 26 mai 2018, soit postérieurement à l'appel de cotisation en cause, de sorte que celui-ci est irrégulier comme portant atteinte aux droits fondamentaux protégés par la loi du 6 janvier 1978. Sur ce: L'article 59 de la loi n°2015-1702 de finances pour 2016 a en effet remplacé la couverture maladie universelle par la protection universelle maladie (PUMa), laquelle est financée par la CSM dont sont redevables, aux termes de l'article L 380-2 du code de la sécurité sociale dans sa version en vigueur du 1er janvier 2016 au 1er janvier 2019, les personnes mentionnées à l'article L160-1 du même code, à savoir celles qui exercent une activité professionnelle en France ou qui y ont une résidence stable et régulière. Cette cotisation est assise sur les sources de revenu non professionnelles. Il est constant en l'espèce que l'intimée a été destinataire d'un appel de cotisation subsidiaire maladie (CSM) en date du 16 décembre 2017 et il n'est pas contesté que, pour le calcul de ladite cotisation, l'appelante a utilisé les données personnelles de la cotisante dans le cadre de leur transmission automatisée par la direction générale des finances publiques (DGFIP) à l'agence centrale des organismes de sécurité sociale (ACOSS). L'article L380-2 précité dispose in fine que les agents des administrations fiscales communiquent aux organismes mentionnés aux articles L. 213-1 et L. 752-2 les informations nominatives déclarées pour l'établissement de l'impôt sur le revenu par les personnes remplissant les conditions mentionnées au premier alinéa de l'article L. 380-2, conformément à l'article L. 152 du livre des procédures fiscales. L'article D 380-5 du code de la sécurité sociale entré en vigueur le 22 juillet 2016 prévoit que les éléments nécessaires à la détermination des revenus mentionnés aux articles D 380-1 et D380-2 sont communiqués par l'administration fiscale aux organismes chargés du calcul et du recouvrement de la cotisation prévue par l'article L 380-2 du code de la sécurité sociale Aussi, comme s'accordent les parties sur ce point, la loi comme le réglement posent-ils comme principe la communication par la DGFIP à l'ACOSS des éléments nécessaires au calcul et au recouvrement de la CSM. Si, comme le souligne l'appelante, l'article L 380-2 susvisé a été déclaré conforme à la Constitution, le débat porte ici sur la régularité du caractère automatisé, d'une part de la communication par la DGFIP à l'ACOSS des données personnelles relatives aux cotisants, et d'autre part, de l'utilisation par l'ACOSS de ces éléments pour le calcul et le recouvrement de la CSM, à la date d'émission de l'appel à cotisation contesté. La loi n°78-17 dite 'informatique et libertés' dans sa version en vigueur du 9 octobre 2016 au 25 mai 2018 et applicable à l'espèce prévoit, en son article 27: 'I.-Sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés :  1° Sous réserve du I bis de l'article 22 et du 9° du I de l'article 25, les traitements de données à caractère personnel mis en 'uvre pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public, qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques'. Le décret n° 2017-1530 du 4 novembre 2017, dont se prévaut l'appelante, qui certes a fait l'objet d'un avis motivé préalable de la commission informatique et libertés (CNIL) du 16 octobre 2017 publié le 4 novembre 2017, a pour objet l'autorisation de la mise en 'uvre d'un traitement de données à caractère personnel destiné au calcul de la cotisation prévue à l'article L. 380-2 du code de la sécurité sociale, et d'un traitement de données à caractère personnel destiné au contrôle de la résidence et modifiant le décret n° 2015-390 du 3 avril 2015. Il dispose, en son article 1: I. - Pour l'application des dispositions de l'article L. 380-2 du code de la sécurité sociale est autorisée la création par l'Agence centrale des organismes de sécurité sociale d'un traitement de données à caractère personnel dénommé « Cotisation spécifique maladie». Les finalités de ce traitement sont le calcul et le recouvrement par les organismes mentionnés aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale de la cotisation spécifique maladie prévue par l'article L. 380-2 du code de la sécurité sociale. II. - Le traitement autorisé par le présent article porte sur les catégories de données suivantes : 1° Données relatives à l'identité des personnes : - numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) ; - civilité ; - nom de famille ; - nom d'usage ; - prénoms ; - date de naissance ; - lieu de naissance (code commune INSEE) ; - adresse de domicile (numéro et nom de voie, nom de commune, code commune INSEE) ; - adresse de correspondance (numéro et nom de voie, nom de commune, code commune INSEE) ; 2° Données fiscales relatives aux revenus : - traitements et salaires ; - pensions, retraites et rentes ; - revenus et plus-values des professions non salariées : revenus agricoles, revenus industriels et commerciaux professionnels, revenus industriels et commerciaux non professionnels, revenus non commerciaux professionnels, revenus non commerciaux non professionnels ; - divers : montant net des revenus agricoles, revenus industriels et commerciaux, revenus non commerciaux non soumis aux contributions sociales par les organismes sociaux, indemnités d'élus locaux, revenus étrangers imposables en France, ouvrant droit à un crédit d'impôt égal au montant de l'impôt français ; - revenus des valeurs et capitaux mobiliers ; - plus-values et gains divers ; - revenus fonciers ; - revenus fonciers exceptionnels ou différés ; - le cas échéant, rectifications apportées, par le contribuable ou les services de la direction générale des finances publiques, aux mêmes données, en cas d'émission de rôles supplémentaires et de dégrèvements. III. - Sont destinataires des données à caractère personnel mentionnées au II du présent article, à raison de leurs attributions respectives et dans la limite du besoin d'en connaître : 1° Les agents de l'Agence centrale des organismes de sécurité sociale individuellement habilités par le directeur de l'Agence ; 2° Les agents des organismes mentionnés aux articles L. 213-1 et L. 752-2 du code de la sécurité sociale chargés du calcul, du recouvrement et du contrôle de la cotisation prévue par l'article L. 380-2, individuellement habilités par le directeur de l'organisme concerné. Au contraire de ce que soutient l'appelante, ce décret, qui a en effet régulièrement été précédé d'un avis publié de la CNIL et a été publié avant l'émission de l'appel à cotisation litigieux du 16 décembre 2017, n'autorise pas la mise en oeuvre de la transmission automatisée par la DGFIP à l'ACOSS de données personnelles destinées à calculer et recouvrer la CSM, mais seulement, comme le soutient l'intimée, la mise en oeuvre du traitement par l'ACOSS de ces données aux fins de calcul et recouvrement de la CSM. Le décret n° 2018-392 du 24 mai 2018 a quant à lui pour objet la création d'un traitement automatisé de transfert de données relatives aux redevables de la cotisation annuelle prévue à l'article L. 380-2 du code de la sécurité sociale et dispose : Article 1: Pour l'application du dernier alinéa de l'article L. 380-2 du code de la sécurité sociale, est autorisée la mise en 'uvre par la direction générale des finances publiques d'un traitement automatisé de transfert de données à caractère personnel à destination de l'agence centrale des organismes de sécurité sociale. Ce traitement automatisé a pour finalité de communiquer à l'agence centrale des organismes de sécurité sociale les informations nominatives dont dispose l'administration fiscale nécessaires à la détermination de l'assiette et du montant de la cotisation prévue par les dispositions de l'article L. 380-2 du code de la sécurité sociale ci-dessus mentionné. Le transfert est mis en 'uvre par un service informatique de la direction générale des finances publiques. Article 2 : Le traitement autorisé par le précédent article porte sur les catégories de données suivantes : 1° Données relatives à l'identité des personnes : - civilité ; - nom de famille ; - nom d'usage ; - prénoms ; - date de naissance ; - lieu de naissance (code commune INSEE) ; - adresse de domicile (numéro et nom de voie, nom de commune, code commune INSEE) ; - adresse de correspondance (numéro et nom de voie, nom de commune, code commune INSEE) ; - numéro d'inscription au répertoire national d'identification des personnes physiques (NIR). 2° Données fiscales relatives au revenu : - traitements et salaires ; - pensions, retraites et rentes ; - revenus et plus-values des professions non salariées : revenus agricoles, revenus industriels et commerciaux professionnels, revenus industriels et commerciaux non professionnels, revenus non commerciaux professionnels, revenus non commerciaux non professionnels ; - divers : montant net des revenus agricoles, revenus industriels et commerciaux, revenus non commerciaux non soumis aux contributions sociales par les organismes sociaux, indemnités d'élus locaux, revenus étrangers imposables en France, ouvrant droit à un crédit d'impôt égal au montant de l'impôt français ; - revenus des valeurs et capitaux mobiliers ; - plus-values et gains divers ; - revenus fonciers. Ces informations, relatives aux personnes identifiées comme redevables de la cotisation mentionnée à l'article 1er, sont extraites du traitement automatisé d'informations nominatives dénommé "accès au dossier fiscal des particuliers". C'est donc, contrairement à ce que soutient l'appelante, ce second décret qui pose le principe de l'autorisation de transmission automatisée et sécurisée des données personnelles relatives aux personnes redevables de la CSM par la DGFIP à l'ACOSS, et non le décret pourtant antérieurement publié du 4 novembre 2017, qui ne mentionne d'ailleurs pas la DGFIP et ne définit que l'autorisation et les modalités de traitement des données personnelles des cotisants transmises à l'ACOSS. Or, ce second décret a été publié le 24 mai 2018, suite à l'avis de la CNIL certes rendu le 14 septembre 2017 mais publié le 24 mai 2018, de sorte que lorsque l'URSSAF a émis l'appel à cotisation du 16 décembre 2017, elle ne disposait pas encore de l'autorisation nécessaire du Conseil d'Etat pour se faire transmettre de manière automatisée par la DGFIP les données personnelles relatives à l'intimée aux fins de calcul et de recouvrement de la CSM. En conséquence cet appel à cotisation, émis en violation de la loi du 6 janvier 2018 susvisée, doit être annulé et le jugement sera confirmé sur ce point. L'intimée justifiant par ailleurs avoir réglé à l'URSSAF la somme de 15 718 euros par chèque du 18 février 2018 au titre de l'appel à cotisation irrégulier, paiement par ailleurs non contesté par l'appelante, il doit être fait droit à sa demande en remboursement de cette somme par l'URSSAF et le jugement sera réformé sur ce point. Succombant, l'appelante sera condamnée aux dépens d'appel et ne saurait se prévaloir des dispositions de l'article 700 du code de procédure civile. Il serait en revanche inéquitable de laisser l'intimée supporter les frais qu'elle a dû exposer pour sa défense et l'appelante sera condamnée à lui verser la somme de 2000 euros au titre des dispositions de l'article 700 du code de procédure civile.