Rapport sur les résultats

4.2 Protection des données

De manière générale, les participants à la consultation approuvent le fait que le législateur souhaite tenir dûment compte de la protection des données et de la sécurité de l’information. Les avis divergent cependant quant à la manière de régler les mesures devant être respectées par les services qui utiliseront à l’avenir le NAVS de manière systématique. En particulier, de nombreux participants demandent que les différentes mesures techniques et organisationnelles ne soient pas réglées dans la loi, mais qu’elles soient précisées au niveau réglementaire. Seuls quelques participants sont favorables à l’instauration d’une procédure d’autorisation ou à l’obligation générale de conserver les données séparément.

Considérations générales

AI, BE, FR, GL, JU, LU, NW, OW, ZH et la CCCC sont d’avis que les dispositions relatives aux mesures techniques et organisationnelles ne doivent pas être inscrites dans la loi, mais au niveau réglementaire. L’ACCP souhaite par ailleurs que soient inscrites d’autres précisions au niveau réglementaire, afin que les exploitants de bases de données soient tenus de respecter des normes uniformes.

Selon le PLR, il est nécessaire de prendre des mesures de sécurité au niveau de l’organisation, du personnel, des infrastructures et de la technique afin de garantir la protection des données personnelles. Pour le PBD, il est judicieux et important que toutes les autorités qui seront habilitées globalement à utiliser le NAVS mettent à jour leurs mesures de sécurité selon les techniques les plus récentes. Le PS considère par ailleurs qu’il est essentiel que les mesures proposées en faveur de la protection des données ne soient pas assouplies, encore moins supprimées. En ce sens, il propose que l’interdiction d’apparier des données soit expressément inscrite dans la loi. UR et BL sont également d’avis que le projet de loi devrait mieux préciser qu’en soi, l’utilisation systématique du NAVS ne permet pas de procéder à davantage d’appariements de données. SZ estime quant à lui que les mesures techniques et organisationnelles engendreraient un surcroît de travail disproportionné, d’autant que les cantons disposent déjà de règles efficaces en matière de protection et de sécurité des données. Pour eCH, la question se pose de savoir quelles mesures techniques et organisationnelles doivent être inscrites dans la LAVS, puisque les cantons disposent déjà de réglementations efficaces en matière de protection des données et de sécurité de l’information. TI est favorable à une introduction progressive de ces mesures.

Postulat 17.3968 « Concept de sécurité pour les identifiants des personnes » de la Commission des affaires juridiques du Conseil national

AG trouve peu logique que l’on n’ait pas attendu le rapport relatif au postulat 17.3968 de la commission susmentionnée pour élaborer l’avant-projet de loi. FR constate également qu’il faudrait tenir compte du rapport concernant le postulat avant de conclure la rédaction du projet de loi. L’USS, l’UPS, la FER, droitsfondamentaux.ch et l’APF Suisse sont d’avis qu’il aurait fallu au préalable établir un plan de sécurité. Le PLR se réserve le droit de soumettre le projet à une nouvelle évaluation dès que le rapport relatif au postulat en question sera disponible.