Rapport explicatif

Art. 141sexies

Al. 1 : cette disposition vient préciser l’art. 71, al. 4^bis, nLAVS, qui n’a été inclus dans le projet qu’au stade des débats parlementaires. Elle a pour but de donner à la CdC une base légale qui l’autorise à exploiter un système d’information permettant aux assurés de remplir en ligne les formulaires visés à l’art. 29 de la loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales (LPGA)⁸, destinés à faire valoir et à établir le droit aux prestations, et à la CdC, de les transmettre à l’organe d’exécution compétent. Cette transmission est automatique : le système reconnaît, sur la base des indications saisies par l’assuré (nom, numéro AVS et date de naissance), l’organe d’exécution concerné et lui transmet les données sous une forme structurée et lisible par machine.

Al. 2 : l’assurance sociale concernée met de nombreux formulaires (environ une cinquantaine) à la disposition des assurés, qui doivent les remplir pour faire valoir leur droit aux prestations. Ces formulaires sont disponibles en ligne sur Formulaires | Mémentos & Formulaires | Centre d'information AVS/AI (ahviv.ch). Les données stockées dans le système d’information sont celles que les assurés y ont introduites en remplissant les formulaires.

En tant que responsable d’application pour ce système, la CdC a établi les documents de sécurité requis par les prescriptions fédérales en matière de sécurité de l’information et de protection des données. Elle en fera de même, pendant la période de transition, pour tous les documents, notamment l’analyse d’impact relative à la protection des données, que l’entrée en vigueur de la nouvelle loi sur la protection des données requiert d’établir pour tous les systèmes d’information.

Al. 3 : les assurés doivent actuellement remplir les formulaires, les imprimer et les envoyer par la poste aux organes d’exécution. La mise en place du système d’information est un premier pas vers la communication numérique avec les assurés. En l’absence, pour l’heure, d’une possibilité d’authentification fiable de la personne qui dépose la demande (par ex. au moyen d’une identité électronique), seul un accusé de réception contenant les données saisies par l’assuré peut, pour des raisons de protection des données, être envoyé à ce dernier par ce canal.

Titre précédant l’art. 141septies

Hquinquies Obligation d’annoncer les atteintes aux systèmes d’information

Art. 141septies

Al. 1 : cet alinéa règle la communication entre les organes d’exécution et l’OFAS. L’un des objectifs essentiels de la révision de la loi est que les systèmes d’information du 1^erpilier disposent de la stabilité et de l’adaptabilité nécessaires, et garantissent la sécurité de l’information et la protection des données. C’est aux organes d’exécution qu’il appartient de réaliser ces objectifs. À cette fin, ils doivent satisfaire aux exigences fixées par l’OFAS. S’il survient malgré tout un incident qui compromette la stabilité ou le bon fonctionnement des systèmes et nuise ou puisse nuire ainsi à la réputation de l’assurance, il importe que l’OFAS en soit immédiatement informé. Les organes d’exécution lui rendent compte de la nature, des conséquences et de la durée prévisible du défaut de fonctionnement, ainsi que des mesures à prendre pour y remédier, si elles sont déjà connues. Elles informent en continu l’OFAS des nouvelles constatations faites, afin que celui-ci puisse informer de manière adéquate et coordonnée les autres organes impliqués, les assurés ou le public, de prévenir d’autres dérangements ou dommages, ou de prendre les mesures requises. L’OFAS précise dans ses directives les processus d’information appropriée sur les incidents en matière de sécurité informatique ainsi que le contenu de cette information.

Al. 2 : la procédure d’annonce à l’OFAS ne remplace pas l’obligation d’annoncer les violations de la sécurité des données personnelles au Préposé fédéral à la protection des données et à la transparence. Cette obligation, prévue à l’art. 24 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)⁹, s’applique aux organes fédéraux actifs dans le 1^erpilier (par ex. la Caisse fédérale de compensation ou la Caisse suisse de compensation) ainsi qu’aux organes d’exécution considérés dans

8 RS 830.1

9 RS 235.1