Rapport explicatif

de sécurité. Par incident de sécurité, on entend un événement non souhaité qui a un impact sur la sécurité de l’information et qui peut entraîner par la suite des dommages importants. Typiquement, les incidents de sécurité peuvent avoir pour conséquence l’espionnage, la manipulation ou la destruction de données. Pour prévenir ou limiter les dommages, ces incidents doivent être traités rapidement et efficacement. Les temps de réaction peuvent être réduits au minimum si une procédure à cet effet a été prescrite et testée avec succès.

Par ailleurs, la Confédération et les cantons doivent mener des analyses de risques dont le but vise à appréhender les risques de regroupement illicite de banques de données. Ils se basent pour ce faire sur des répertoires des banques de données qui contiennent le NAVS.

Quiconque utilise le NAVS de manière systématique sans en avoir le droit sera, comme aujourd’hui, puni d’une peine pécuniaire. Mais la disposition pénale relative à la prise de mesures techniques et organisationnelles sera plus sévère. Actuellement, est punissable uniquement celui qui ne prend pas de mesures du tout, alors que celui qui prend de telles mesures, mais de façon lacunaire, ne l’est pas. Cette lacune du droit en vigueur doit être comblée. À l’avenir, la disposition pénale inclura le fait de trop tarder à prendre les mesures techniques et organisationnelles, ou de le faire de manière incomplète, ce qui sera considéré comme une contravention et puni de l’amende. Les lignes directrices visant la protection des données et la sécurité de l’information s’en trouveront renforcées.

1.3 Appréciation de la solution retenue

1.3.1 Réponse au besoin d’adaptation des bases légales

La solution proposée apparaît équilibrée tant au regard de la pertinence que de la faisabilité et de la proportionnalité.

Le NAVS à treize chiffres est une séquence de chiffres unique, attribuée pour le restant de ses jours à toute personne physique peu après sa naissance sur territoire suisse ou lors de l’octroi d’un permis de séjour. Il permet une identification sans équivoque de la personne et contribue ainsi à améliorer la qualité des données, deux éléments qui préviennent des erreurs administratives coûteuses. Lors du traitement des données, l’utilisation systématique du NAVS facilite en particulier une mise à jour automatique, exacte et rapide des attributs de personne en cas de changement d’état civil. L’augmentation de la population et celle des tâches des administrations publiques se traduisent par un accroissement du volume des données et du nombre de mutations. À cela s’ajoute un nombre sans cesse croissant de noms complexes (par ex. doubles noms, noms écrits avec des caractères spéciaux ou dans une écriture non latine). Lorsque ces données sont traitées manuellement, ces facteurs peuvent être chronophages et la qualité des données peut être compromise. Le recours à un identificateur de personne sous forme de séquence de chiffres contribue notablement à résoudre ces problèmes.

L’utilisation systématique du NAVS permet aussi d’échanger des données entre autorités de manière simple et automatique. Les appariements de données prévus par le législateur et par conséquent licites, par exemple à des fins statistiques¹⁰, produisent également des résultats plus précis quand ils peuvent être effectués au moyen d’un identificateur de personne univoque. Ces simplifications des processus internes et des processus entre autorités augmentent l’efficience administrative. Elles favorisent ainsi un usage efficace et économe des fonds publics, comme l’exigent l’art. 43a, al. 5, Cst. ainsi que l’art. 12, al. 4, 2^e phrase, de la loi du 7 octobre 2005 sur les finances¹¹. Les fonds publics sont également épargnés, puisque le travail législatif d’adaptation des lois spéciales n’est plus nécessaire.

Pour les simples citoyens – en particulier ceux qui portent un nom très répandu –, l’utilisation systématique du NAVS apporte également une plus-value : toute personne dont les données personnelles sont recueillies a droit à ce que les processus administratifs fondés sur ces données se déroulent sans aboutir à des confusions avec d’autres personnes enregistrées. Pour les personnes concernées, de telles confusions peuvent entraîner des désagréments considérables. Les erreurs de ce type résultent en règle générale d’imprécisions dans la tenue des registres, de fautes d’orthographe ou du fait qu’un nom ou une combinaison de noms sont très répandus. Ainsi, il n’y a pas moins de 950 Peter Müller sur les 2 330 700 numéros de téléphone privés enregistrés sur l’annuaire officiel suisse. Si les personnes sont enregistrées dans une base de données avec un identificateur de personne univoque, tout risque de confusion est écarté. Cette amélioration de la qualité des données dans les registres d’utilisateurs contribuera à garantir l’exactitude des données, ce qui répond à une exigence importante de la protection de la personnalité dans l’utilisation des données personnelles (cf. 1.1.2).

Le projet de loi est conforme à la Constitution également au regard de l’art. 13, al. 2, Cst. Les modifications de la LAVS proposées précisent suffisamment les conditions dans lesquelles l’utilisation systématique du NAVS est admise. L’exigence d’une base juridique valide est donc satisfaite. Ces modifications respectent aussi le principe de finalité, puisque l’utilisation systématique du NAVS n’est admise que pour l’exécution des tâches légales. Le projet inscrit en outre dans la loi les mesures à prendre en matière de protection et définit les sanctions en cas de violation (cf. 1.2.2). L’obligation de prendre ces mesures devrait inciter les autorités qui utilisent le NAVS à maintenir leurs systèmes informatiques à jour. Le projet contribue ainsi à l’amélioration générale de la sécurité de l’information dans l’administration publique.

1.3.2 Autres solutions non retenues

1.3.2.1 Nouvelle conception de l’architecture des bases de données

L’Office fédéral de la justice et le PFPDT ont mandaté en mai 2017 un expert pour évaluer les risques résultant d’une utilisation systématique du NAVS. Dans son rapport12, cet expert rappelle qu’aucun système ne peut être entièrement protégé contre les attaques. Si un hacker parvient à s’infiltrer dans plusieurs bases de données, il peut déjà apparier les données personnelles