Rapport explicatif

l’ordonnance du DFI sur les exigences minimales auxquelles doivent satisfaire les mesures techniques et organisationnelles à prendre par les services et institutions utilisant systématiquement le numéro d’assuré AVS en dehors de l’AVS21. Celles-ci sont actualisées et inscrites dans la loi.

L’obligation de diligence a pour but d’empêcher toute utilisation abusive du NAVS. Les autorités, organisations et personnes habilitées à utiliser le NAVS de manière systématique veillent constamment à ce que les normes de sécurité applicables soient respectées. Les systèmes doivent en tout temps être conformes aux dernières prescriptions et être adaptés au besoin.

Let. a : Les droits d’accès aux banques de données qui contiennent le NAVS ne doivent être accordés qu’aux collaborateurs qui en ont besoin pour l’exécution de leurs tâches. Ces droits doivent être accordés de manière restrictive.

Let. b : Il importe de désigner une personne responsable de l’utilisation systématique du NAVS. Celle-ci doit signer le concept SIPD visé à la let. d ou en prendre connaissance d’une autre manière vérifiable.

Let. c : Le NAVS ne doit pas être utilisé à d’autres fins que l’exécution des tâches prévues, ni être transmis à des tiers de manière non autorisée. Les cours de formation et de perfectionnement requis doivent informer les personnes ayant un droit d’accès qu’elles ne peuvent utiliser le NAVS que pour l’exécution des tâches qui leur sont confiées, et ne le divulguer à des tiers que si le droit le permet.

Let. d : Les autorités, organisations et personnes habilitées à utiliser le NAVS de manière systématique veillent à ce que les opérateurs de leurs moyens informatiques et de leurs unités de mémoire établissent un concept de sûreté de l’information et de protection des données (SIPD) décrivant chacune des mesures de sécurité et de protection des données. Le concept SIPD doit désigner et analyser les facteurs de risque pertinents suivant les critères de disponibilité, de confidentialité, d’intégrité et de traçabilité. Il spécifiera par quelles mesures concrètes les exigences en matière de sûreté de l’information et de protection des données doivent être mises en œuvre. Ces mesures se référeront à l’infrastructure, à l’organisation, à la formation du personnel ainsi qu’à l’adaptation du matériel et des logiciels.

D’une part, l’accès aux moyens informatiques et aux unités de mémoire doit être physiquement sécurisé. Si ces moyens et ces unités sont intégrés à des appareils portables, il importe de garantir, à l’aide de procédés cryptographiques correspondant aux dernières possibilités techniques, que les personnes non autorisées ne puissent y accéder.

D’autre part, cet accès doit être protégé par des mesures de sécurité informatique supplémentaires qui soient adaptées aux risques encourus et qui correspondent aux dernières possibilités techniques. Ces mesures comprennent au moins l’emploi de logiciels (antivirus), disponibles dans le commerce et régulièrement mis à jour, de détection et d’élimination des maliciels, et le recours à des systèmes de pare-feu (centraux ou individuels). Il faut que les personnes qui peuvent accéder aux moyens informatiques et aux unités de mémoire soient tenus de s’authentifier au préalable. Si l’authentification requiert un mot de passe, celui-ci doit être gardé secret. Il ne doit pas être transmis et doit être modifié immédiatement si l’on soupçonne que des personnes non autorisées en ont connaissance. En outre, les logiciels d’exploitation et d’applications doivent faire l’objet de mises à jour de sécurité et d’élimination des erreurs (patches de débogage), autant que possible, dès que celles-ci sont disponibles. Les activités et événements importants sur les systèmes informatiques doivent être enregistrés et analysés régulièrement. Avant toute réparation, élimination ou destruction de moyens informatiques et d’unités de mémoire, il faut en outre s’assurer que ceux-ci ne contiennent plus ni numéros AVS ni autres données personnelles, et que ces données ne puissent pas être reconstituées.

Enfin, lorsque des données transitent par des réseaux publics, il existe un risque élevé qu’elles tombent en possession de personnes à qui elles ne sont pas destinées. Est considéré comme public tout réseau qui n’est pas réservé à un groupe exhaustivement défini d’utilisateurs soumis à un contrôle d’accès particulier (par ex. l’Intranet d’un service). Il est possible de parer audit risque en recourant aux dernières possibilités techniques de cryptage.

Let. e : Il faut définir, dans un plan d’urgence, la manière de procéder en cas d’accès non autorisé aux banques de données ou d’utilisation abusive de celles-ci. La réglementation de ces mesures à prendre le cas échéant fait également partie du concept SIPD.

Art. 153e Analyse des risques

Al. 1 : Le but des analyses de risques effectuées périodiquement vise à appréhender les risques de regroupement illicite de banques de données et, si nécessaire, à coordonner la coopération entre les entités concernées afin que les mesures techniques et organisationnelles soient prises sur la base d’une évaluation réaliste et pertinente.

Let. a et b: Pour ce qui est de la responsabilité de mener les analyses de risques, les let. a et b énumèrent les entités qui y sont obligées et pour quelles banques de données.

Al. 2 : Les répertoires des banques de données qui contiennent le NAVS doivent permettre de procéder de manière ciblée et coordonnée. Ce but peut être soutenu en faisant en sorte que les répertoires de banques de données existants puissent faire l’objet d’une recherche avec pour critère « utilisation systématique du NAVS ».

Art. 153f Obligations de collaborer

Les acteurs utilisant systématiquement le NAVS ont en outre à plusieurs égards une obligation de collaborer avec la CdC. Ces obligations servent avant tout à garantir la fiabilité du NAVS.

Let. a : La CdC a besoin que les instances ayant le droit d’utiliser systématiquement le NAVS en dehors de l’AVS l’informent lorsqu’elles font usage de cette possibilité. C’est pourquoi le droit révisé maintiendra l’obligation d’annoncer ce type d’utilisation à la CdC. Cette obligation sera inscrite au niveau de la loi. À l’avenir, la CdC devra contrôler si l’unité qui annonce cette utilisation est une autorité ou au contraire un particulier chargé d’exécuter une tâche administrative, visé à l’art. 153c, al. 1, ch. 4, auquel cas une base légale dans la loi spéciale est nécessaire.

Let. b et c: La CdC doit être en mesure d’organiser des contrôles de données ou de faire procéder à de tels contrôles pour la vérification des numéros utilisés, ou d’ordonner des rectifications si nécessaire. Les instances qui utilisent systématiquement

21 RS 831.101.4