Rapport explicatif

droit cantonal (art. 50d, al. 1, et 50e, al. 3, LAVS), sauf pour les quatre domaines suivants : réduction des primes dans l’assurance-maladie, aide sociale, impôts et établissements de formation. Les services cantonaux actifs dans ces domaines sont déjà habilités à utiliser systématiquement le NAVS en vertu de la législation sur l’AVS (art. 50e, al. 2, LAVS), sans qu’il soit nécessaire d’édicter une disposition supplémentaire dans une loi spéciale cantonale. L’utilisation à des fins purement privées, par contre, n’est pas admise. Néanmoins, le NAVS est utilisé de manière systématique en tant que numéro d’identification fiscale pour l’échange international de données dans le cadre de l’échange international automatique de renseignements en matière fiscale. Depuis l’automne 2018, il est transmis à des établissements financiers dans plus de 50 États.

Les services qui ne font pas partie des assurances sociales de la Confédération et qui souhaitent faire un usage systématique du NAVS doivent en informer préalablement la CdC. S’ils y sont habilités, la CdC leur ouvre l’accès à sa base de données UPI (Unique Personal Identification database), qui répertorie de manière univoque tous les titulaires d’un NAVS. Grâce à une comparaison régulière des données qu’elle gère avec celles des registres de personnes de la Confédération (notamment celui de l’état civil, Infostar, et celui des ressortissants étrangers et des requérants d’asile, SYMIC), la CdC peut garantir que cellesci sont à jour, complètes et univoques. Pour assurer la protection et la qualité des données, les services ayant un droit d’accès doivent prendre toutes les mesures techniques et organisationnelles prévues dans l’ordonnance applicable9.

Le système actuel laisse au législateur le soin de décider de l’autorisation d’utiliser systématiquement le NAVS en dehors de l’AVS. Celui-ci prend sa décision sur la base d’une appréciation générale de la sécurité de l’information dans la matière réglementée par la loi spéciale en question.

Selon la solution proposée, les autorités de la Confédération, des cantons et – si cela est prévu par le droit cantonal – des communes doivent pouvoir utiliser systématiquement le NAVS pour l’exécution de leurs tâches légales sans qu’une loi spéciale le prévoie. Cette possibilité découlera d’une disposition inscrite dans la LAVS qui habilitera de manière générale les autorités à utiliser systématiquement le NAVS. Il ne sera donc plus nécessaire à l’avenir d’inscrire une norme dans la loi spéciale définissant chaque but d’utilisation et chaque utilisateur. Le législateur gardera néanmoins la possibilité de prévoir des identificateurs sectoriels de personne pour certains domaines dans lesquels l’utilisation systématique du NAVS sera interdite.

La réglementation actuelle ne changera pas pour les services qui sont chargés d’accomplir des tâches administratives, mais qui n’ont pas le caractère d’autorité. Ceux-ci auront toujours besoin d’une disposition spécifique dans une loi spéciale pour pouvoir utiliser systématiquement le NAVS. Comme dans le droit en vigueur, les établissements de formation pourront utiliser systématiquement le NAVS en vertu de la LAVS. Le projet précisera cependant que le droit de le faire leur est reconnu. Ils sont en effet chargés d’accomplir des tâches relevant du droit des assurances sociales ou de celui régissant la statistique fédérale. Les dispositions légales en vigueur concernant l’autorisation d’utiliser systématiquement le NAVS seront adaptées. L’utilisation systématique à des fins purement privées restera exclue.

1.2.2 Mesures d’accompagnement

Aujourd’hui, les autorités travaillent avec nombre de bases de données qui composent leur capital informationnel. Le NAVS est une donnée supplémentaire qui complète aujourd’hui déjà ce capital ou qui viendrait le compléter selon la solution proposée. Ayant un intérêt évident à protéger leur patrimoine informationnel, les autorités sont tenues de prendre toutes les mesures en vue d’assurer la sécurité de l’information, sécurité informatique comprise. Cela vaut pour toute utilisation systématique du NAVS.

Pour éviter tout usage erroné et prévenir toute utilisation abusive, il faudra donc définir des lignes directrices efficaces, ainsi que des prescriptions d’ordre technique et organisationnel. On veillera tout particulièrement à ce que les bases de données soient protégées contre les consultations non autorisées et les manipulations. Les bases de données et les applications spécialisées exploitées par la Confédération présentent dans l’ensemble un niveau de sécurité relativement élevé. C’est également le cas de nombreux systèmes informatiques des cantons et des communes. Il existe néanmoins, en dehors de l’administration fédérale, plusieurs systèmes qui ne satisfont pas entièrement aux normes de sécurité actuelles. Il est nécessaire de remédier à cette situation par des mesures de sécurité au niveau de l’organisation, du personnel employé, des infrastructures et de la technique, afin de parvenir à un niveau de sécurité suffisant. La mise en place de la sécurité informatique n’est pas une mesure isolée, mais un processus qui nécessite l’observation et l’adaptation constantes de divers facteurs.

Concrètement, cela signifie d’abord que les responsabilités en matière de sécurité informatique doivent être réglées. Elles doivent l’être de façon compréhensible pour toutes les tâches essentielles, en particulier dans le processus de sécurité de l’information, afin de délimiter les tâches respectives, mais aussi d’éviter toute lacune en matière de responsabilité. Les collaborateurs qui ont à faire avec des moyens informatiques doivent être formés aux mesures de sécurité dans l’utilisation de cette infrastructure. Les directives et instructions en matière de sécurité doivent être consignées par écrit. Il importe de vérifier régulièrement les risques dans le domaine de la sécurité de l’information et il faut établir un concept de sûreté de l’information et de protection des données (SIPD). Au niveau de l’infrastructure, il s’agit en premier lieu de sécuriser physiquement l’accès aux moyens informatiques et aux unités de mémoire. Une autre mesure physique de sécurité consiste à garantir que les moyens informatiques et les unités de mémoire, avant toute réparation, élimination ou destruction, ne contiennent plus ni numéros AVS ni autres données personnelles, et que ceux-ci ne puissent pas être reconstitués.

Il importe par ailleurs de réduire au minimum, sur le plan technique, les risques d’accès non autorisé. Cela comprend la mise en place d’une procédure d’authentification appropriée et la prise de mesures de sécurité informatique (logiciel antivirus, système pare-feu). Les logiciels doivent correspondre aux dernières possibilités techniques et faire régulièrement l’objet de mises à jour de sécurité et d’élimination des erreurs (patches de débogage). Pour les réseaux mobiles, les données doivent être cryptées au moyen de procédés conformes aux dernières possibilités techniques. Enfin, l’analyse des identifiants de connexion des ordinateurs est élémentaire pour repérer les dysfonctionnements ou les incidents. Il est ainsi possible d’identifier les irrégularités dans le fonctionnement des systèmes informatiques qui sont dues à des programmes défectueux, à l’absence d’un programme ou à des failles de sécurité. Par ailleurs, il est nécessaire de concevoir et d’exercer à l’avance la gestion des incidents