L’exception à l’obligation d’information individuelle du cotisant dans le contentieux URSSAF : la construction prétorienne de la deuxième chambre civile de la Cour de cassation (2025-2026)
I. La genèse d’une construction jurisprudentielle : de l’obligation d’information à l’exception légale
A. Le principe de l’information individuelle du cotisant sur le transfert de ses données fiscales
L’article 32, III, alinéa premier, de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction applicable aux litiges antérieurs à l’entrée en vigueur du règlement général sur la protection des données, dispose que lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données [[Article 32, III, de la loi n° 78-17 du 6 janvier 1978, devenu article 116, II, de la même loi après l’ordonnance n° 2018-1125 du 12 décembre 2018, https://www.legifrance.gouv.fr/loda/id/LEGITEXT000006068624/]]. Ce texte a été interprété par la Cour de justice de l’Union européenne qui, par une décision du 1er octobre 2015, a jugé que les articles 10, 11 et 13 de la directive 95/46/CE s’opposaient à des mesures nationales permettant à une administration d’un État membre de transmettre des données personnelles à une autre administration publique et leur traitement subséquent sans que les personnes concernées n’aient été informées de cette transmission ou de ce traitement [[CJUE, 1er octobre 2015, aff. C-201/14, Bara e.a., https://curia.europa.eu/]]. Par ailleurs, l’article 14 du règlement (UE) 2016/679 du 27 avril 2016, devenu applicable le 25 mai 2018, impose au responsable du traitement, lorsque les données n’ont pas été collectées auprès de la personne concernée, de lui fournir un ensemble d’informations comprenant l’identité et les coordonnées du responsable du traitement, les finalités du traitement, les catégories de données concernées et les destinataires des données [[Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, article 14, https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679]].
Or, le mécanisme de la cotisation subsidiaire maladie, instituée par l’article L. 380-2 du code de la sécurité sociale dans sa rédaction issue de la loi n° 2015-1702 du 21 décembre 2015 de financement de la sécurité sociale pour 2016, repose précisément sur un transfert de données personnelles entre l’administration fiscale et les organismes de recouvrement. Le dernier alinéa de ce texte prévoit en effet que les agents des administrations fiscales communiquent aux organismes mentionnés aux articles L. 213-1 et L. 752-2 du même code les informations nominatives déclarées pour l’établissement de l’impôt sur le revenu par les personnes remplissant les conditions d’assujettissement à cette cotisation [[Article L. 380-2 du code de la sécurité sociale, https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037947779]]. La mise en œuvre technique de ce transfert a été autorisée par le décret n° 2017-1530 du 3 novembre 2017 qui a créé un traitement de données à caractère personnel dénommé « Cotisation spécifique maladie » et en a défini les finalités, les catégories de données, les destinataires, la durée de conservation ainsi que les droits d’accès et de rectification des personnes concernées [[Décret n° 2017-1530 du 3 novembre 2017, https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000035969110]].
Cette architecture juridique a suscité, à partir de l’année 2022, un contentieux nourri devant les juridictions du fond, certains cotisants contestant la régularité des appels de cotisation et des mises en demeure qui leur étaient adressés au motif que l’URSSAF n’aurait pas satisfait à son obligation d’information individuelle préalable sur le transfert et le traitement de leurs données fiscales. L’argumentation des cotisants reposait sur la circonstance que les données utilisées par l’URSSAF pour calculer la cotisation subsidiaire maladie n’avaient pas été collectées directement auprès d’eux mais provenaient de l’administration fiscale, en application de l’article L. 152 du livre des procédures fiscales, sans qu’un courrier individuel ne les eût informés de cette transmission. La délibération n° 2017-279 du 26 octobre 2017 de la Commission nationale de l’informatique et des libertés, qui avait autorisé la mise en œuvre du traitement « Cotisation spécifique maladie », avait d’ailleurs expressément relevé que l’information des personnes concernées devrait être assurée par une mention sur le formulaire de déclaration de revenus et par une information spécifique sur le site internet de l’URSSAF, ce qui, selon les cotisants, ne satisfaisait pas à l’exigence d’une information individuelle préalable.
Plusieurs cours d’appel, et notamment la cour d’appel de Bordeaux dans une série d’arrêts rendus entre mars et juillet 2023, ont accueilli cette argumentation et prononcé l’annulation des actes de recouvrement litigieux, en retenant que l’absence de courrier personnalisé informant le cotisant de la transmission de ses données à l’URSSAF constituait une irrégularité de fond affectant la validité de la procédure. Ces décisions ont créé une divergence jurisprudentielle significative au sein des juridictions du fond, que le pourvoi formé contre l’arrêt de la cour d’appel de Versailles du 21 avril 2022 a permis de porter devant la Cour de cassation.
B. L’arrêt fondateur du 27 février 2025 : la formulation du principe de l’exception
C’est dans ce contexte que la deuxième chambre civile de la Cour de cassation a rendu, le 27 février 2025, un arrêt publié au Bulletin qui constitue le point d’ancrage de toute la construction jurisprudentielle ultérieure. La Cour y énonce, au visa des articles L. 380-2, dernier alinéa, R. 380-3 et D. 380-5, I, du code de la sécurité sociale et du décret n° 2017-1530 du 3 novembre 2017, que « dès lors que la communication des données fiscales du cotisant à l’URSSAF est expressément prévue par les articles L. 380-2, dernier alinéa, R. 380-3 et D. 380-5, I, du code de la sécurité sociale et qu’il est prévu, par le décret n° 2017-1530 du 3 novembre 2017, des mesures appropriées visant à protéger les intérêts légitimes du cotisant, il est fait exception, pour les cotisations appelées à compter de cette dernière date, à l’obligation d’information » pesant sur le responsable du traitement des données personnelles à l’égard de la personne concernée lorsqu’elles n’ont pas été recueillies auprès d’elle [[Cass. 2e civ., 27 fév. 2025, n° 22-17.970, Publié au Bulletin, https://www.courdecassation.fr/decision/67c00a5d1125355ef3efdbad]].
La Cour de cassation explicite les conditions de cette exception par une interprétation combinée de l’article 32, III, alinéa 2, de la loi du 6 janvier 1978, lu à la lumière de la directive 95/46/CE du 24 octobre 1995. Elle rappelle que le responsable du traitement n’est pas tenu de fournir à la personne concernée les informations énumérées au I lorsque celle-ci est déjà informée, ce qui est le cas, précise-t-elle, « lorsque la législation prévoit expressément l’enregistrement ou la communication des données, ainsi que des garanties appropriées » [[Cass. 2e civ., 27 fév. 2025, n° 22-17.970, https://www.courdecassation.fr/decision/67c00a5d1125355ef3efdbad]]. Le raisonnement de la Cour repose donc sur un double critère cumulatif : la prévision expresse de la communication des données par un texte législatif ou réglementaire, d’une part, et l’existence de mesures appropriées de protection des intérêts légitimes des personnes concernées, d’autre part.
Par un arrêt rendu le même jour, la deuxième chambre civile a fait application du même principe pour rejeter le pourvoi d’un cotisant qui soutenait que la seule publication au Journal officiel ne pouvait pallier l’absence de courrier personnalisé l’informant de la transmission de ses données fiscales [[Cass. 2e civ., 27 fév. 2025, n° 22-24.094, https://www.courdecassation.fr/decision/67c00a811125355ef3efdbd7]]. La Cour confirme que la publication du décret du 3 novembre 2017 au Journal officiel a valablement porté à la connaissance du cotisant le transfert de ses données personnelles, écartant ainsi l’argument tiré de l’insuffisance de cette publicité. Cet arrêt précise en outre, de manière significative, que le décret n° 2017-1530 « prévoit l’identité du responsable du traitement des données, les finalités poursuivies par le traitement, les destinataires des données, la durée de conservation des données traitées, ainsi que l’existence d’un droit d’accès et de rectification aux données et les modalités d’exercice de ces droits » [[Cass. 2e civ., 27 fév. 2025, n° 22-24.094, https://www.courdecassation.fr/decision/67c00a811125355ef3efdbd7]]. Il s’en évince que le décret lui-même constitue, par son contenu, la garantie appropriée exigée par le second critère.
II. La consolidation et la généralisation de l’exception : l’unification du contentieux par la Cour de cassation
A. La censure systématique des juridictions du fond : la vague d’arrêts du 26 juin 2025
La construction prétorienne s’est poursuivie avec une remarquable célérité. Le 26 juin 2025, la deuxième chambre civile a rendu simultanément trois arrêts de cassation visant des décisions de la cour d’appel de Bordeaux qui avaient, entre mars et juillet 2023, annulé des appels de cotisation ou des mises en demeure au motif que l’URSSAF n’avait pas délivré une information individuelle concernant la transmission des données fiscales du cotisant [[Cass. 2e civ., 26 juin 2025, n° 23-15.167, https://www.courdecassation.fr/decision/685ce20d0c5506317f3be7e4]] [[Cass. 2e civ., 26 juin 2025, n° 23-15.168, https://www.courdecassation.fr/decision/685ce20b0c5506317f3be7e2]] [[Cass. 2e civ., 26 juin 2025, n° 23-15.169, https://www.courdecassation.fr/decision/685ce20a0c5506317f3be7e0]]. Dans les trois espèces, la Cour de cassation applique le même raisonnement, se référant expressément à l’arrêt du 27 février 2025 comme précédent fondateur.
Le motif de cassation est identique dans les trois décisions. La Cour constate que les arrêts d’appel ont retenu l’absence d’information individuelle du cotisant pour annuler les actes de recouvrement, alors même que la communication des données fiscales à l’URSSAF était expressément prévue par les textes et que le décret du 3 novembre 2017 comportait des mesures de protection appropriées. La Cour en déduit que ces arrêts ont violé les textes susvisés. Il est particulièrement notable que la deuxième chambre civile ait choisi de statuer le même jour sur trois pourvois distincts, manifestant ainsi sa volonté d’unifier rapidement la jurisprudence sur cette question et de mettre un terme aux divergences qui s’étaient manifestées au sein des juridictions du fond.
Cette vague de cassation a été prolongée par un arrêt du 4 décembre 2025 qui, statuant sous l’empire du règlement général sur la protection des données et de l’article 116 de la loi du 6 janvier 1978, a de nouveau censuré la cour d’appel de Bordeaux pour avoir annulé un appel de cotisation en se fondant sur l’absence d’information individuelle [[Cass. 2e civ., 4 déc. 2025, n° 23-21.216, https://www.courdecassation.fr/decision/693135b283684346b6374d2d]]. La Cour y transpose le raisonnement élaboré sous l’empire de l’ancienne législation au nouveau cadre normatif, en visant l’article 14, paragraphe 5, sous c), du règlement (UE) 2016/679, qui prévoit que l’obligation d’information ne s’applique pas lorsque « la communication de ces informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour un traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, sous réserve des conditions et garanties visées à l’article 89, paragraphe 1, ou dans la mesure où l’obligation visée au paragraphe 1 du présent article est susceptible d’empêcher ou de compromettre gravement la réalisation des objectifs dudit traitement » [[Règlement (UE) 2016/679, article 14, § 5, sous c), https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679]].
En transposant la solution au cadre du RGPD, la Cour de cassation opère une extension significative de sa jurisprudence. Elle ne se contente plus de viser l’article 32, III, de la loi du 6 janvier 1978, mais y ajoute désormais l’article 14 du règlement européen et son article 116 de la loi nationale, démontrant que l’exception demeure valide sous l’empire du nouveau cadre normatif. Cette transition n’était nullement acquise, dans la mesure où le RGPD a substantiellement renforcé les obligations d’information pesant sur les responsables de traitement, et où l’exception prévue par l’article 14, paragraphe 5, sous c), du règlement n’est pas rédigée dans les mêmes termes que l’ancien article 32, III, alinéa 2, de la loi Informatique et Libertés.
B. La portée de l’exception : au-delà de la cotisation subsidiaire maladie
La question qui se pose désormais est celle de la portée de cette construction jurisprudentielle au-delà du seul contentieux de la cotisation subsidiaire maladie. En l’état du droit positif, les décisions rendues par la deuxième chambre civile se limitent à cette cotisation particulière, régie par un ensemble textuel spécifique comprenant les articles L. 380-2, R. 380-3 et D. 380-5 du code de la sécurité sociale et le décret n° 2017-1530. Toutefois, le raisonnement de la Cour, fondé sur la combinaison d’une prévision légale expresse de la communication des données et de l’existence de mesures appropriées de protection, est susceptible de s’étendre à d’autres hypothèses dans lesquelles l’URSSAF utilise des données issues de traitements croisés avec d’autres administrations.
Il convient à cet égard de relever que l’URSSAF recourt de manière croissante à des techniques de data mining et d’intelligence artificielle pour détecter des anomalies déclaratives et cibler les contrôles. Ces traitements, qui peuvent impliquer des croisements de données issues de la déclaration sociale nominative, du fichier des écritures comptables, des déclarations fiscales, voire de sources publiques ou de plateformes en ligne, soulèvent des interrogations quant à l’application du principe de l’exception d’information individuelle. Le jugement rendu par le tribunal judiciaire de Pointe-à-Pitre le 29 novembre 2024, qui a annulé une contrainte au motif que l’URSSAF n’avait pas informé la cotisante de la transmission de ses données personnelles émanant de l’administration fiscale, illustre la persistance de cette problématique au niveau des juridictions du fond [[TJ Pointe-à-Pitre, 29 nov. 2024, n° 24/00005]]. Cette décision, rendue dans une espèce mettant en cause un traitement algorithmique de données fiscales, n’a cependant pas été portée devant la Cour de cassation et s’inscrit à contre-courant de la jurisprudence désormais bien établie de la deuxième chambre civile.
Par ailleurs, la Chambre commerciale, financière et économique de la Cour de cassation a rendu un arrêt publié au Bulletin et au Rapport le 7 mai 2025 relatif au fichier ADONIS de la direction générale des finances publiques, dans lequel elle rappelle que « le traitement automatisé de données à caractère personnel dénommé accès au dossier fiscal des particuliers est prévu à des fins de contrôle » [[Cass. com., 7 mai 2025, n° 22-18.210, Publié au Bulletin, https://www.courdecassation.fr/decision/681af5d40dfb1f09369ce221]]. Si cet arrêt porte sur le contentieux fiscal et non sur le contentieux du recouvrement des cotisations sociales, il témoigne d’une sensibilité commune des formations de la Cour de cassation à la question de l’encadrement juridique des traitements croisés de données entre administrations, et confirme que la prévision légale expresse constitue un critère déterminant de la régularité de ces traitements.
La construction jurisprudentielle de la deuxième chambre civile s’inscrit dans un cadre normatif plus vaste qu’il convient également de prendre en considération. Le Conseil d’État, par deux décisions des 10 juillet 2019 et 29 juillet 2020, a validé la légalité de l’article D. 380-1 du code de la sécurité sociale en jugeant qu’en fixant le seuil de revenus professionnels à 10 % du plafond annuel de la sécurité sociale et le taux de la cotisation à 8 %, le pouvoir réglementaire avait défini les modalités de calcul de cette cotisation dans des conditions qui n’entraînent pas de rupture caractérisée de l’égalité devant les charges publiques [[CE, 10 juill. 2019, n° 417919 ; CE, 29 juill. 2020, n° 430326, https://www.legifrance.gouv.fr/ceta/id/CETATEXT000038771201]]. Cette validation, opérée dans le cadre du recours pour excès de pouvoir dirigé contre le décret du 19 juillet 2016, a indirectement conforté l’architecture juridique du dispositif et, partant, la position de la Cour de cassation sur la régularité du transfert des données. Dès lors que le décret d’application de la cotisation subsidiaire maladie est légal, le traitement de données qu’il organise et encadre ne saurait être jugé irrégulier du seul fait de l’absence d’une information individuelle préalable, pour autant que les garanties appropriées exigées par la Cour de cassation soient effectivement réunies.
En conséquence, la jurisprudence de la deuxième chambre civile, bien que cantonnée dans son expression actuelle au contentieux de la cotisation subsidiaire maladie, esquisse un régime général de l’exception à l’obligation d’information individuelle qui pourrait trouver à s’appliquer chaque fois que la communication de données entre administrations est expressément prévue par un texte législatif ou réglementaire assorti de garanties appropriées. Le cotisant confronté à un acte de recouvrement fondé sur des données dont il n’a pas reçu communication individuelle devra ainsi vérifier, avant d’invoquer la nullité de la procédure, si le transfert litigieux est ou non encadré par des dispositions légales ou réglementaires satisfaisant au double critère dégagé par la Cour de cassation. À défaut, et seulement à défaut, l’absence d’information individuelle pourra être invoquée comme une irrégularité de fond justifiant l’annulation des actes subséquents. La charge de cette vérification incombe en pratique au conseil du cotisant, qui doit analyser avec précision le fondement juridique du transfert de données invoqué par l’organisme de recouvrement et s’assurer que les garanties appropriées sont non seulement prévues par les textes, mais effectivement mises en œuvre.
Cette orientation jurisprudentielle s’inscrit dans un mouvement plus large de recherche d’équilibre entre la protection des données personnelles des cotisants, d’une part, et l’efficacité du recouvrement des cotisations sociales, qui participe à l’exigence de valeur constitutionnelle de l’équilibre financier de la sécurité sociale, d’autre part. La Cour de cassation, en choisissant de faire prévaloir la prévisibilité légale sur l’information individuelle, adopte une position qui privilégie la sécurité juridique collective sans pour autant sacrifier les droits fondamentaux des personnes concernées, dès lors que des garanties appropriées sont prévues par les textes autorisant le traitement des données. Cette position présente l’avantage de la cohérence et de la lisibilité, en évitant la multiplication des nullités procédurales fondées sur le seul défaut d’information individuelle, tout en préservant la possibilité pour le cotisant de contester, le cas échéant, l’absence de garanties appropriées ou l’insuffisance de la prévision légale.
La régularité de la procédure conditionne souvent l’issue : un avocat en droit du travail à Paris peut l’auditer point par point.
Conclusion
La deuxième chambre civile de la Cour de cassation a construit, entre février 2025 et juin 2026, une doctrine cohérente et désormais stabilisée sur l’exception à l’obligation d’information individuelle du cotisant en matière de transfert de données fiscales à l’URSSAF. Le double critère de la prévision légale expresse et des garanties appropriées, dégagé par l’arrêt du 27 février 2025 publié au Bulletin, a été systématiquement appliqué par les décisions ultérieures, qui ont censuré avec constance les juridictions du fond ayant annulé des actes de recouvrement pour défaut d’information individuelle. Transposée au cadre du règlement général sur la protection des données par l’arrêt du 4 décembre 2025, cette solution a vocation à s’étendre à l’ensemble des hypothèses de transferts inter-administrations expressément prévus par des textes assortis de garanties appropriées. La portée exacte de cette extension, au-delà du contentieux de la cotisation subsidiaire maladie, constituera l’un des enjeux majeurs du contentieux URSSAF des prochaines années.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.