Rapport explicatif

interprétée littéralement. La jurisprudence du Tribunal fédéral à ce sujet ne permet pas de trancher. Certains arrêts se fondent sur une interprétation littérale (par ex. arrêt IC_323/2015 du 8 janvier 2016), tandis que d’autres invoquent un droit individuel à se déterminer en matière d’informations personnelles (par ex. ATF 140 I 381). À ce jour, le Tribunal fédéral ne s’est pas prononcé sur cette question controversée. Dans la doctrine suisse récente, l’art. 13, al. 2, Cst. est interprété comme une instruction à l’adresse du législateur. Ce dernier doit prendre toutes les mesures nécessaires pour protéger les citoyennes et citoyens contre un emploi abusif des données qui les concernent. Il doit notamment veiller à ce que les autorités traitent les données personnelles avec toute la diligence qui s’impose.

1.1.3 Protection des données

La numérisation et l’utilisation systématique accrue du NAVS soulèvent des questions quant aux risques d’atteintes à la protection des données.

Le NAVS est une séquence de chiffres non « parlante », générée de manière aléatoire, à l’exception des trois premiers chiffres qui, conformément aux normes internationales, correspondent au pays émetteur. Pour le reste, le NAVS ne contient aucune information relative à son titulaire et ne permet de tirer aucune conclusion quant aux caractéristiques de sa personne. Sa seule fonction consiste à attribuer à l’individu concerné un jeu de données personnelles à l’intérieur d’une collection de données.

Cet attribut d’identification est employé en sus des attributs usuels (nom, prénom, date de naissance, etc.) exclusivement à des fins administratives. Il ne s’agit en aucun cas d’un code utilisateur donnant accès à toutes les informations personnelles. Ce n’est pas non plus un mot de passe permettant de s’introduire indûment dans des systèmes informatiques. Les mécanismes d’authentification des systèmes informatiques n’exploitent pas le NAVS comme un élément de la logique d’authentification. Son utilisation systématique ne rend pas les banques de données plus vulnérables. Les banques de données de la Confédération, des cantons et des communes sont organisées de manière décentralisée et ne peuvent pas être interconnectées entre elles grâce au NAVS. Les systèmes informatiques de ces administrations publiques emploient généralement des systèmes d’authentification à deux facteurs (smartcard de la Confédération, par exemple) pour l’accès aux applications bureautiques de base et imposent en plus des systèmes d’identification spécifiques (code utilisateur et mot de passe) pour ouvrir des applications spécialisées donnant accès notamment à des banques de données individuelles.

L’utilisation systématique du NAVS n’entraîne donc pas de risque supplémentaire de vol de données ou d’usurpation d’identité qui résulterait d’un usage abusif de l’identificateur. La possibilité d’un vol de données est davantage une question de sécurité informatique. La sécurité des systèmes informatiques, surtout lorsque ceux-ci contiennent des données personnelles sensibles, doit faire l’objet d’une attention minutieuse et permanente. La prévention des incidents nécessite une mise à jour constante des processus et des méthodes de sécurité. La présence éventuelle du NAVS parmi les données n’influe pas sur ces facteurs de risque. Le NAVS ne constitue pas non plus un document officiel d’identité et ne permet pas de produire une preuve recevable et formelle d’identité. Il ne dispense donc en rien les utilisateurs systématiques de cet identificateur d’un devoir légal de s’assurer au besoin de l’identité d’une personne en exigeant la présentation d’une pièce d’identité officielle. Au surplus, le NAVS ne donne en aucun cas accès sur simple présentation à une quelconque prestation des assurances sociales. Il n’y a donc pas d’intérêt, qu’il soit d’ordre pécuniaire ou immatériel, à voler le NAVS.

S’agissant des appariements, la combinaison éventuelle de données contenues dans plusieurs systèmes permettrait de regrouper plusieurs facettes d’une même personne (caractères de base, fisc, santé, justice, etc.) et donc de dessiner un profil de sa personnalité de manière plus ou moins détaillée en fonction des données disponibles. Cependant, pour effectuer ces appariements et combiner des données provenant de sources différentes, il serait nécessaire d’avoir accès à au moins deux banques de données établies par différentes autorités. Or il est rare que les systèmes officiels existants prévoient de tels accès multithématiques et, lorsque c’est le cas, une réglementation rigoureuse est mise en place. En effet, conformément au principe de proportionnalité, chaque service n’a accès qu’aux données dont il est responsable et pour lesquelles il est compétent selon une base légale claire. Le potentiel d’appariements entre différentes collections d’informations personnelles existe même en l’absence d’un identificateur tel que le NAVS. Tous les registres de personnes des autorités contiennent nécessairement des attributs d’identité tels que nom, prénom, date de naissance ou sexe. Ces attributs permettent déjà de relier facilement les données conservées dans différents registres. Grâce aux progrès rapides de l’informatique, les appariements de données sur la base de ces quelques caractères discriminants peuvent être réalisés aujourd’hui déjà avec une fiabilité de 99,98 %. Si des hackers parviennent à s’infiltrer dans deux banques de données des autorités, ou davantage, ils peuvent relier entre elles les données personnelles qui y sont contenues même sans disposer du NAVS. Le nombre d’appariements de données légalement admissibles n’augmentera pas avec la nouvelle réglementation proposée pour l’utilisation systématique de ce numéro. Comme c’est déjà le cas aujourd’hui, l’appariement ne sera admis qu’à condition qu’une loi le prévoie formellement, à l’instar de la loi sur la statistique fédérale ou de la loi sur le recensement. Par conséquent, l’utilisation systématique du NAVS ne compromet pas la protection des données et elle n’a pas non plus pour effet de rendre les citoyens « transparents ».

1.2 Dispositif proposé

1.2.1 Habilitation générale pour les autorités

Dans le droit en vigueur, l’utilisation systématique du NAVS en dehors de l’AVS est réglée comme suit : si, aux fins de l’exécution du droit fédéral, il est nécessaire d’utiliser systématiquement le NAVS, une base légale circonstanciée peut être inscrite dans la loi fédérale concernée. La disposition légale doit cependant définir le but de l’utilisation et les utilisateurs légitimés (art. 50d, al. 1, et 50e, al. 1, de la loi fédérale du 20 décembre 1946 sur l’assurance-vieillesse et survivants [LAVS]8). L’utilisation systématique du NAVS repose sur une base démocratique, puisque c’est le législateur qui en donne l’autorisation dans chaque loi spéciale concernée. Les mêmes conditions s’appliquent en principe à l’utilisation du NAVS pour l’exécution du

8 RS 831.10