Le traitement des données personnelles du cotisant par l’URSSAF : le contrôle juridictionnel à l’épreuve du Règlement général sur la protection des données
Le croisement des données personnelles constitue le socle technique de l’action des organismes de recouvrement. L’URSSAF dispose, à cette fin, d’un arsenal législatif et réglementaire dont l’ampleur n’a cessé de croître depuis la loi de modernisation de notre système de santé du 26 janvier 2016, qui a confié aux organismes du régime général le recouvrement de la cotisation subsidiaire maladie (CSM) sur les revenus du patrimoine. La transmission par l’administration fiscale de données nominatives aux URSSAF, conjuguée au droit de communication direct reconnu aux agents de contrôle, place le cotisant dans une situation d’asymétrie informationnelle dont la jurisprudence récente de la deuxième chambre civile de la Cour de cassation s’efforce de contenir les effets. Or le Règlement général sur la protection des données (RGPD), entré en vigueur le 25 mai 2018, impose au responsable de traitement des obligations d’information dont la violation est de nature à entraîner la nullité des actes de recouvrement. La question qui se pose est celle de l’articulation entre les prérogatives de contrôle des organismes de sécurité sociale et les droits fondamentaux du cotisant en matière de protection de ses données personnelles.
I. Le cadre légal du traitement des données personnelles par les organismes de recouvrement
A. Les sources du pouvoir de collecte et de traitement des données
Le droit de communication reconnu aux agents des organismes de sécurité sociale par l’article L. 114-19 du code de la sécurité sociale constitue la pierre angulaire du dispositif de collecte des données personnelles. Ce texte, dans sa rédaction issue de la loi du 20 décembre 2024 de financement de la sécurité sociale pour 2025, permet d’obtenir, « sans que s’y oppose le secret professionnel, les documents et informations nécessaires » au contrôle de la sincérité des déclarations, à la lutte contre le travail dissimulé et au recouvrement des prestations indues [[Article L. 114-19 du code de la sécurité sociale, dans sa rédaction en vigueur au 28 février 2025, https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000051284832]]. Il s’exerce quel que soit le support utilisé et peut s’accompagner de la prise immédiate d’extraits et de copies. Le refus de déférer à une demande de communication est sanctionné par une pénalité pouvant atteindre dix mille euros. Par ailleurs, l’article L. 243-7 du même code investit les agents de contrôle d’une mission générale de vérification de l’exactitude des déclarations sociales nominatives (DSN), laquelle implique nécessairement le traitement de données à caractère personnel.
À ce dispositif général s’ajoutent les mécanismes spécifiques de transmission de données entre administrations. L’article L. 380-2 du code de la sécurité sociale prévoit que les cotisations de CSM sont calculées, appelées et recouvrées par les URSSAF « au vu des éléments transmis par l’administration fiscale ou par les personnes redevables de ces cotisations ». Cette transmission, prévue par l’article 32, III, de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, porte sur des données fiscales sensibles, notamment le montant des revenus du patrimoine et de placement, et s’opère sans information préalable individuelle du cotisant. La cour d’appel de Paris a eu l’occasion de rappeler, dans un arrêt du 30 janvier 2026, que « la communication des données fiscales sans consentement préalable de la personne concernée est possible pour permettre aux organismes mentionnés aux articles L. 213-1 et L. 752-4 du code de la sécurité sociale d’exercer leurs missions » [[CA Paris, 30 janvier 2026, n° 23/02880, https://www.courdecassation.fr/decision/697da7c1cdc6046d475c82a9]].
Par ailleurs, l’outil FICOBA, fichier des comptes bancaires géré par la Direction générale des finances publiques, constitue l’un des instruments privilégiés de l’investigation des agents de contrôle. La cour d’appel de Besançon a relevé, dans son arrêt du 19 mai 2026, que les inspecteurs du recouvrement avaient « décidé le 21 novembre 2022 de faire usage de leur droit de communication des comptes bancaires par l’intermédiaire de l’outil FICOBA », leur permettant d’obtenir l’intégralité des relevés bancaires du cotisant sur plusieurs exercices. Cette prérogative, combinée au droit de communication prévu par l’article L. 114-19, confère à l’URSSAF une capacité d’investigation qui dépasse, par son ampleur, celle dont disposent de nombreuses administrations fiscales. Le Conseil d’État, dans une décision du 10 février 2023, a d’ailleurs validé la conformité de ce dispositif au regard du droit à la protection des données, sous réserve que l’usage de l’outil FICOBA soit proportionné à l’objectif de contrôle poursuivi.
B. L’obligation d’information du cotisant : un droit fondamental sous contrôle prétorien
L’article 14, paragraphe 1, du RGPD impose au responsable du traitement, lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, de lui fournir un ensemble d’informations comprenant l’identité et les coordonnées du responsable du traitement, les finalités du traitement, les catégories de données concernées, les destinataires, la durée de conservation, ainsi que l’existence des droits d’accès, de rectification et d’opposition [[Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, article 14]]. Le paragraphe 5 du même article prévoit toutefois des exceptions, notamment lorsque la fourniture de telles informations se révèle impossible, exigerait des efforts disproportionnés ou risquerait de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement.
C’est précisément sur le fondement de cette exception que la deuxième chambre civile de la Cour de cassation a rendu, le 29 janvier 2026, deux arrêts de cassation aux visas combinés de l’article 116 de la loi du 6 janvier 1978, de l’article 14, paragraphe 5, sous c), du RGPD et des articles L. 380-2, R. 380-3 et D. 380-5 du code de la sécurité sociale [[Civ. 2e, 29 janvier 2026, n° 24-16.575, https://www.courdecassation.fr/decision/697b033ccdc6046d47111f67]] [[Civ. 2e, 29 janvier 2026, n° 24-16.658, https://www.courdecassation.fr/decision/697b0326cdc6046d47111b29]]. La Haute juridiction y énonce que, pour les cotisations appelées à compter du 12 décembre 2019, date d’entrée en vigueur du décret n° 2019-1077 du 21 octobre 2019, il est fait exception à l’obligation d’information pesant sur le responsable du traitement des données personnelles à l’égard de la personne concernée « lorsqu’elles n’ont pas été recueillies auprès d’elle ». La Cour censure ainsi les arrêts de la cour d’appel de Bordeaux qui avaient annulé les appels de cotisation au motif que l’URSSAF n’avait pas satisfait à son obligation d’information individuelle des cotisants.
Cette solution s’inscrit dans une ligne jurisprudentielle désormais constante. Le même raisonnement avait été adopté par la deuxième chambre civile dans un arrêt du 26 juin 2025, rendu dans une affaire similaire [[Civ. 2e, 26 juin 2025, n° 23-15.167, https://www.courdecassation.fr/decision/685ce20d0c5506317f3be7e4]]. La Cour y avait déjà jugé que l’obligation d’information prévue par le RGPD ne faisait pas obstacle à la validité de l’appel de cotisation dès lors que l’exception du paragraphe 5 de l’article 14 trouvait à s’appliquer. L’enjeu est d’importance : il s’agit pour le juge de concilier l’effectivité du recouvrement des cotisations sociales, qui participe du financement de la protection sociale, avec les droits fondamentaux reconnus au cotisant par le droit de l’Union européenne en matière de protection des données.
II. Les limites du traitement des données et les voies de recours du cotisant
A. L’encadrement prétorien du droit de communication : la distinction des cadres de contrôle
Si l’obligation d’information individuelle a été écartée par la Cour de cassation s’agissant de la CSM, le droit de communication de l’URSSAF n’en demeure pas moins strictement encadré, en particulier lorsqu’il s’exerce dans le cadre d’un contrôle d’assiette de droit commun. La distinction entre le contrôle d’assiette classique, régi par l’article R. 243-59 du code de la sécurité sociale, et le contrôle spécifique en matière de travail dissimulé, fondé sur l’article L. 8271-6-2 du code du travail, emporte des conséquences déterminantes sur l’étendue du droit de communication.
La cour d’appel de Besançon, dans un arrêt du 19 mai 2026, a rappelé avec netteté cette distinction. En l’espèce, un cotisant contestait la régularité de la procédure de contrôle au motif que l’URSSAF avait exercé son droit de communication directement auprès de la banque, via l’outil FICOBA, sans avoir préalablement sollicité les relevés bancaires auprès de la personne contrôlée. La cour relève que « s’il résulte de l’article R. 243-59 du code de la sécurité sociale, dont les dispositions sont d’interprétation stricte, que les agents de contrôle ne peuvent recueillir des informations qu’auprès de la personne contrôlée et des personnes rémunérées par celle-ci, et ce même si le contrôle d’assiette de droit commun conduit à la constatation d’infractions de travail dissimulé, tel n’est pas le cas lorsqu’ils ont procédé ab initio dans le cadre d’un contrôle spécifique pour travail dissimulé » [[CA Besançon, 19 mai 2026, n° 25/00995, https://www.courdecassation.fr/decision/6a0d4bc6cdc6046d47460f63]]. Cette motivation illustre la dualité des régimes applicables : dans le cadre d’un contrôle pour travail illégal, les inspecteurs disposent d’un droit de communication direct sans restriction, alors que le contrôle d’assiette classique impose de solliciter en premier lieu les documents auprès du cotisant lui-même.
Cette jurisprudence s’inscrit dans le prolongement de la position constante de la deuxième chambre civile, qui avait déjà jugé, le 22 octobre 2020, que les agents de contrôle ne peuvent recueillir des informations qu’auprès de la personne contrôlée et des personnes rémunérées par celle-ci dans le cadre du contrôle d’assiette [[Civ. 2e, 22 octobre 2020, n° 19-18.335]]. La même chambre a réaffirmé ce principe dans deux arrêts du 7 janvier 2021, en précisant que la méconnaissance de cette règle est sanctionnée par la nullité du redressement [[Civ. 2e, 7 janvier 2021, n° 19-22.921 et n° 19-23.830]]. La rigueur de cette sanction témoigne de l’importance que la Cour de cassation attache au respect des prérogatives du cotisant dans le cadre de la procédure contradictoire.
Il convient d’ajouter que la portée de l’obligation de loyauté dans la collecte des données a été sensiblement renforcée par l’arrêt de la deuxième chambre civile du 9 janvier 2025, qui a censuré une cour d’appel pour avoir validé un redressement sans rechercher si l’URSSAF avait satisfait à son obligation de communiquer au cotisant l’intégralité des documents consultés [[Civ. 2e, 9 janvier 2025, n° 21-24.493]]. La Cour y énonce que « la liste des documents consultés par l’inspecteur du recouvrement doit mentionner l’ensemble des documents ayant servi à établir le bien-fondé du redressement, de sorte que le cotisant puisse en vérifier l’authenticité et en discuter la teneur ». Cette obligation s’impose avec une force particulière lorsque les documents en cause émanent de tiers, dès lors que le cotisant n’en a pas spontanément connaissance. L’enjeu n’est pas seulement formel : il touche au respect effectif du principe du contradictoire, qui constitue un droit fondamental de la procédure de contrôle.
B. Les voies de contestation ouvertes au cotisant et l’office du juge
Le cotisant dispose de plusieurs voies de droit pour contester la régularité du traitement de ses données personnelles par l’URSSAF. La première réside dans l’exception de nullité de la procédure de contrôle, qui peut être soulevée devant la commission de recours amiable puis devant le pôle social du tribunal judiciaire. La deuxième voie est celle du recours auprès de la Commission nationale de l’informatique et des libertés (CNIL), qui dispose, en vertu de l’article 58 du RGPD, du pouvoir d’adopter des mesures correctrices à l’encontre du responsable de traitement.
La cour d’appel de Paris, dans son arrêt précité du 30 janvier 2026, a expressément rappelé que « chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices, notamment ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits en application du présent règlement ». La cour relève que la CNIL a autorisé la mise en œuvre du traitement de données à caractère personnel destiné au calcul de la cotisation subsidiaire maladie et que les transferts de données entre la Direction générale des finances publiques et les URSSAF sont encadrés par des délibérations de cette autorité. Le cotisant ne saurait donc prétendre à l’annulation de l’appel de cotisation au seul motif de l’absence d’information individuelle préalable sur le traitement de ses données, dès lors que les traitements en cause ont fait l’objet d’une autorisation de la CNIL.
La troisième voie de recours, plus indirecte mais non moins effective, consiste à invoquer la violation du RGPD au soutien d’une demande indemnitaire. Si l’URSSAF, en sa qualité de personne morale de droit privé chargée d’une mission de service public, commet une faute dans le traitement des données personnelles du cotisant, la responsabilité de l’organisme peut être engagée sur le fondement de l’article 1240 du code civil. La cour d’appel de Poitiers a toutefois rappelé, dans un arrêt du 27 novembre 2025, que la seule circonstance que l’appel de cotisation ne comporte pas l’information relative au traitement des données personnelles du cotisant n’est pas de nature à entraîner la nullité de cet appel, dès lors que l’URSSAF justifie avoir mené une campagne d’information générale et que les dispositions législatives et réglementaires relatives au traitement des données ont été publiées au Journal officiel [[CA Poitiers, 27 novembre 2025, n° 21/03668, https://www.courdecassation.fr/decision/692966beb3dd52896a721d5f]].
Par ailleurs, la deuxième chambre civile de la Cour de cassation, dans une série d’arrêts rendus le 9 janvier 2025, a précisé l’étendue de l’obligation de motivation de la lettre d’observations quant aux documents consultés. La Cour y énonce que la liste des documents consultés, qui figure en page 2 de la lettre d’observations, doit être exhaustive, et que l’omission de certains documents parmi ceux effectivement exploités pour fonder le redressement est de nature à vicier la procédure [[Civ. 2e, 9 janvier 2025, n° 21-24.493 et n° 22-13.480]]. La cour d’appel de Besançon en a fait application dans son arrêt du 19 mai 2026, en écartant le moyen tiré de l’absence de mention de l’audition du cotisant dans la liste des documents consultés, au motif que l’audition ne constitue pas un « document consulté » au sens de l’article R. 243-59. Dès lors, le cotisant « disposait de toutes les informations utiles sur les pièces exploitées au cours du redressement ».
L’office du juge dans le contentieux du traitement des données personnelles se caractérise par un contrôle de proportionnalité. La Cour de cassation vérifie que les atteintes portées au droit à la protection des données sont justifiées par un objectif d’intérêt général et qu’elles ne vont pas au-delà de ce qui est nécessaire. La deuxième chambre civile a ainsi validé le dispositif de la CSM en considérant que l’exception à l’obligation d’information prévue par le RGPD était justifiée par la nécessité de ne pas compromettre l’objectif du traitement, à savoir le recouvrement des cotisations destinées au financement de la protection universelle maladie.
Enfin, la question de l’interconnexion des fichiers demeure un point de tension juridique. L’article L. 114-19 du code de la sécurité sociale prévoit que les données obtenues par les organismes de recouvrement peuvent faire l’objet d’une interconnexion, dans des conditions définies par décret en Conseil d’État pris après avis de la CNIL. Or cette interconnexion, qui permet de croiser des données issues de sources multiples, accentue le déséquilibre informationnel entre le cotisant et l’organisme de contrôle. La chambre sociale de la cour d’appel de Besançon, dans l’arrêt précité du 19 mai 2026, a relevé que les inspecteurs du recouvrement avaient utilisé l’outil FICOBA pour obtenir les comptes bancaires du cotisant, puis croisé ces données avec les déclarations sociales, ce qui illustre la puissance des moyens techniques dont dispose l’URSSAF pour reconstituer l’assiette des cotisations.
La pratique révèle que l’usage combiné du droit de communication et des techniques de croisement de données peut conduire à des redressements d’une ampleur considérable. Dans l’affaire jugée par la cour d’appel de Besançon, le croisement des relevés bancaires avec les déclarations sociales a permis aux inspecteurs de reconstituer une assiette de cotisations éludées de plus de dix mille euros sur cinq exercices, en l’absence de toute comptabilité tenue par le cotisant. Le tribunal judiciaire de Saint-Étienne, dans un jugement du 10 avril 2025, a validé la méthode de taxation forfaitaire fondée sur les données bancaires communiquées par les tiers, en rappelant que « c’est à juste titre que l’Urssaf a fixé forfaitairement l’assiette de cotisation à trois fois le plafond annuel de la sécurité sociale » lorsque le cotisant ne produit aucun élément comptable [[TJ Saint-Étienne, 10 avril 2025, n° 22/00088, https://www.courdecassation.fr/decision/681a6a7d5eb387f553b9e71c]]. Cette solution montre que le droit de communication, loin d’être une simple faculté procédurale, constitue le vecteur d’une véritable reconstitution du train de vie du cotisant, dont les conséquences financières peuvent être substantielles.
Avant de saisir la commission de recours amiable, faire relire le dossier par un cabinet d’avocats en droit du travail évite les forclusions.
Conclusion
L’état du droit positif, tel qu’il résulte des arrêts rendus par la deuxième chambre civile de la Cour de cassation entre juin 2025 et janvier 2026, se caractérise par une tension persistante entre l’effectivité du recouvrement et la protection des données personnelles du cotisant. L’évolution récente de la jurisprudence confirme que le régime juridique du traitement des données par les URSSAF connaît une maturation progressive, où le RGPD fonctionne moins comme un obstacle dirimant aux prérogatives de contrôle que comme une norme de référence irriguant l’ensemble de la procédure contradictoire. La Haute juridiction a clairement pris le parti de ne pas faire obstacle aux prérogatives de l’URSSAF au nom du RGPD, en écartant l’obligation d’information individuelle pour les données transmises par l’administration fiscale. Cette solution, qui s’appuie sur l’exception prévue au paragraphe 5 de l’article 14 du règlement européen, est juridiquement fondée mais ne saurait occulter l’ampleur du déséquilibre informationnel qui caractérise la relation entre le cotisant et l’organisme de recouvrement. L’enjeu, pour les praticiens du contentieux de la sécurité sociale, est double : d’une part, identifier les cas dans lesquels le droit de communication de l’URSSAF excède les limites assignées par l’article R. 243-59 pour les contrôles d’assiette de droit commun ; d’autre part, exploiter les exigences de motivation de la lettre d’observations, que la jurisprudence du 9 janvier 2025 a significativement renforcées. Dans un paysage juridique où les données personnelles constituent la matière première du contrôle social, la vigilance du cotisant et de son conseil demeure le premier rempart contre les excès de l’administration du recouvrement. La connaissance précise des obligations procédurales qui pèsent sur l’URSSAF, en particulier l’exigence de motivation de la lettre d’observations et le respect de l’étendue du droit de communication selon le cadre de contrôle, constitue aujourd’hui un levier contentieux dont la portée ne cesse de s’étendre sous l’impulsion conjuguée de la Cour de cassation et de la Cour de justice de l’Union européenne.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.