Rapport sur les résultats

▪ Les participants estiment que, dans la perspective de l’EESSI, il faut inscrire la réglementation dans l’OPGA, ou du moins l’envisager (voir art. 17a à 17e OPGA). Le texte actuel contredit l’art. 17e OPGA (exploitation, infrastructure). Ce point doit être examiné et précisé.

3.2.3.11 Art. 24 : Développement et exploitation de systèmes d’information par des tiers

Art. 24 Développement et exploitation de systèmes d’information par des tiers

La CdC peut déléguer le développement et l’exploitation de certains systèmes d’information à des tiers.

Les participants ont formulé les observations suivantes sur l’art. 24 :

▪ Selon eux, les organes d’exécution ont des années d’expérience dans la mise en œuvre de projets informatiques dans le domaine des assurances sociales, et ces systèmes fonctionnent en continu. Le législateur fédéral (art. 49a LAVS) a souhaité attribuer la tâche légale d’exploiter ces systèmes informatiques à ces organes et non à l’autorité de surveillance. C’est pourquoi les participants estiment qu’il faut également déléguer la planification et la mise en œuvre des projets actuels et des éventuels nouveaux projets aux organes d’exécution, qui disposent du savoir-faire nécessaire.

La proposition de modification suivante a été formulée :

▪ Selon les participants, il est absurde de chercher des solutions indépendantes. Il faut harmoniser les directives avec les lois analogues, dans ce cas précis, avec la LPCJ (par ex. art. 27 LPCJ).

3.2.4 Section 4 : Protection des données

Art. 25

¹Les données de la plateforme visée à l’art. 4, al. 1, et dans les systèmes d’information visés aux art. 9 à 22 sont conservées et traitées en Suisse et en application du droit suisse. La CdC et l’OFAS sont responsables de la protection des données des systèmes d’information qu’ils exploitent. Les tiers qui sont chargés par la CdC ou par l’OFAS d’exploiter un système d’information et qui ont accès aux données doivent être soumis au droit suisse et avoir leur siège ou leur domicile en Suisse.

²La CdC et l’OFAS peuvent traiter les données personnelles, données sensibles comprises, pour autant que l’exige l’exploitation de la plateforme et des systèmes d’information effectuée dans le but de permettre aux organes chargés de l’exécution, du contrôle ou de la surveillance de l’application des lois sur les assurances sociales puissent accomplir les tâches qui leur sont assignées par les lois spéciales sur les assurances sociales.

³L’OFAS, la CdC et les organes d’exécution peuvent traiter les données sensibles de personnes morales et les communiquer aux services habilités à les utiliser pour autant que l’accomplissement de leurs tâches l’exige.

⁴L’OFAS est habilité à effectuer tous les travaux statistiques conformément à la loi du 9 octobre 1992 sur la statistique fédérale au moyen des données provenant des systèmes d’information régis par la présente loi.

26 participants (14 sur 26 cantons, 4 sur 11 associations de l’économie et 8 sur 25 autres organisations) se sont exprimés sur la section 4.

▪ 5 d’entre eux (2 sur 26 cantons, 1 sur 11 associations de l’économie et 2 sur 25 autres organisations) approuvent cette section, mais souhaitent des modifications.

▪ 21 participants (12 sur 26 cantons, 3 sur 11 associations de l’économie et 6 sur 25 autres organisations) rejettent la section 4.

Les modifications suivantes ont été proposées :

▪ Les participants se demandent pourquoi les « tiers » ne pourraient pas avoir une succursale en Suisse plutôt que leur siège ou leur domicile. Ils proposent donc de compléter la disposition comme suit : « Les tiers qui sont chargés par la CdC ou par l’OFAS d’exploiter un système d’information et qui ont accès aux données doivent être soumis au droit suisse et avoir leur siège, une succursale ou leur domicile en Suisse. »

▪ Selon eux, il s’agit d’examiner si cette formulation n’est pas un obstacle excessif pour les prestataires étrangers.

▪ Les participants estiment qu’il faut préciser certains droits d’accès aux systèmes d’information dans le rapport explicatif et les bases légales afin d’expliciter les effets concrets de ces systèmes sur la protection des données.