Rapport explicatif

Art. 24 Développement et exploitation de systèmes d’information par des tiers

La CdC peut déléguer le développement et l’exploitation de certains systèmes d’information à des tiers. Ces derniers peuvent être des organes d’exécution, des pools informatiques ou d’autres prestataires privés.

Art. 25 Protection des données

Al. 1

La plateforme de la CdC et les autres systèmes d’information contiennent (et traitent) des données personnelles sensibles au sens de l’art. 5, let. c, LPD. Il est donc indispensable qu’elles puissent garantir un niveau de protection des données extrêmement élevé. Aussi l’exploitation de la plateforme et des autres systèmes d’information doivent-ils impérativement garantir que les serveurs auxquels ils sont liés soient installés en Suisse et que le droit applicable soit le droit suisse. De même, les tiers mandatés doivent avoir leur siège en Suisse ou être domiciliés en Suisse et être soumis au droit suisse.

L’OFAS et la CdC sont responsables de la protection des données des systèmes d’information qu’ils exploitent. Ils se conforment aux prescriptions de la loi fédérale sur la protection des données (LPD)⁶³.

Al. 2

La CdC et l’OFAS ne sont en droit de traiter des données personnelles sensibles que s’il existe une base légale à cet effet (art. 34, al. 1, LPD). Dans la LPD, un tel traitement est compris au sens large. En effet, ce terme englobe toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données (art. 5, let. d, LPD). Sur la plateforme visée à l’art. 4, al. 1, les données sont reçues et transmises sous forme de documents et conservées pendant une relativement courte période. Dans les autres systèmes d’information, les données sont traitées (collectées, enregistrées, conservées, utilisées, modifiées et communiquées) de manière exhaustive.

Cet alinéa constitue la base légale autorisant le traitement de données personnelles sensibles. En outre, il établit le principe de la minimisation des données, puisqu’il prévoit que la CdC et l’OFAS ne peuvent traiter des données personnelles sensibles que pour autant que leurs tâches l’exigent. Tel est notamment le cas lors du traitement des données nécessaires à l’exploitation des systèmes d’information de sorte que ces dernies puissent remplir leur objectif. L’étendue du traitement du contenu des données personnelles est définie notamment à l’art. 49f nLAVS⁶⁴.

Al. 3

Cet alinéa fixe la base légale autorisant le traitement et la communication de données sensibles concernant des personnes morales et tient ainsi compte des conditions prévues aux art. 57r, al. 1, et 57s, al. 1, de la loi du 21 mars 1997 sur l’organisation du