Le numéro AVS peut être utilisé désormais comme identificateur de personne par toutes les autorités publiques suisses. De l’élaboration à la mise en œuvre de ce nouveau paradigme, le processus législatif a été long. Alors que le terme « digitalisation » était sur toutes les lèvres, patience et persévérance ont été les maîtres mots pour mener à bien ce projet.
En un coup d’œil
- Depuis le 1er janvier 2022, les autorités de la Confédération, des cantons et des communes peuvent utiliser systématiquement le numéro AVS comme identificateur d’une personne.
- Le but est d’améliorer l’efficacité de l’administration, notamment en évitant les confusions entre deux personnes, et de contribuer à la mise en œuvre de la stratégie suisse de cyberadministration.
- La protection des données est garantie. Généré par un processus aléatoire, le numéro AVS ne contient aucune information relative à son titulaire.
- L’introduction du numéro AVS comme identifiant a été un processus de longue haleine qui a duré sept ans. Le défi a été de trouver un équilibre entre une législation visant plus de souplesse et des exigences renforcées en matière de sécurité de l’information et de la protection des données.
Pour accomplir leurs tâches légales, les autorités de la Confédération, des cantons et des communes peuvent utiliser systématiquement le numéro AVS depuis le 1er janvier 2022. Cela permet d’accroître l’efficacité des processus administratifs et de réduire les coûts. La protection des données et la sécurité de l’information restent garanties.
Cyberadministration vs protection des données
La révision de la loi sur l’assurance-vieillesse et survivants (LAVS ; Utilisation systématique du numéro AVS par les autorités, RO 2021 758) permet l’utilisation systématique du numéro AVS sans plus avoir besoin d’une disposition spécifique dans une loi spéciale pour chaque nouvel usage. Déjà en 2014, les cantons s’étaient fait l’écho d’un souhait d’assouplissement de la législation dans ce sens. Le but était de fournir de meilleures prestations aux citoyennes et aux citoyens, et de les faire profiter d’une administration plus efficace. Il s’agissait aussi de contribuer concrètement à la mise en œuvre de la stratégie suisse de cyberadministration. Le Préposé fédéral à la protection des données et à la transparence, ainsi qu’une partie des préposés cantonaux demeuraient sceptiques en raison de potentiels risques d’atteinte à la personnalité.
Mission du législateur
Toute personne a le droit d’être protégée contre l’emploi abusif des données qui la concernent (art. 13, al. 2, Cst). Pour prévenir le risque d’atteinte à ce droit fondamental, le législateur a donc prévu une base légale formelle qui précise les conditions dans lesquelles l’utilisation systématique du numéro AVS est admise. Il a veillé au respect du principe de finalité en n’autorisant cette utilisation que pour l’exécution de tâches légales. Il a accordé toute l’importance requise à la protection des données et à la sécurité de l’information en inscrivant les mesures techniques et organisationnelles dans la loi. Il a ainsi maintenu les sanctions pénales réprimant le fait d’utiliser le numéro AVS de manière systématique sans droit ou sans prendre les mesures précitées. Enfin, le législateur a adapté les dispositions d’exécution nécessaires de manière à permettre l’extension contrôlée du numéro AVS, tout en restant pragmatique pour la mise en œuvre.
Parcours législatif semé d'embûches
Que ce soit pour élaborer ou pour réviser une loi fédérale, toute procédure législative implique en premier lieu l’intervention du Conseil fédéral et de l’administration, ainsi que celle du Parlement. Dans le débat sur le numéro AVS, la question de la sécurité de l’information et de la protection des données a été centrale tout au long de la discussion. Et de se demander s’il fallait modifier la Constitution, si la nouvelle réglementation devait figurer dans la loi sur l’organisation du gouvernement et de l’administration (LOGA ; RS 172.010) plutôt que dans la LAVS, s’il ne valait pas mieux prévoir des identificateurs sectoriels, etc. En parallèle, nombre d’offices traitaient également de cette thématique dans le cadre de projets de leur compétence. Les positions, sur le plan juridique et surtout politique, variaient fortement d’un objet à l’autre et la possibilité d’utilisation du numéro AVS se révélait parfois comme un prétexte pour défendre le rejet d’un projet.
Lors de l’élaboration de la loi fédérale sur l’échange international automatique de renseignements en matière fiscale, la proposition des directeurs cantonaux des finances d’utiliser le numéro AVS a passé la rampe au Parlement sans encombre. Tel ne fut en revanche pas le cas lors de la discussion sur la modernisation du registre foncier. Au cours des délibérations, la Commission des affaires juridiques du Conseil national a déposé le postulat 17.3968 « Concept de sécurité pour les identifiants des personnes », auquel il a été répondu dans le message relatif à la modification de la LAVS (Conseil fédéral 2019). Cela a permis de faire avancer le traitement du dossier précité, mais a retardé les travaux concernant l’utilisation systématique du numéro AVS. Quant aux dispositions de mise en œuvre de la révision de la LAVS, c’est une lecture constructive de la LOGA selon laquelle des émoluments pour les décisions et les autres prestations de l’administration fédérale doivent être perçus, ainsi que des dérogations possibles à ce principe, qui a permis de conjuguer pragmatisme et conformité au droit.
Représentation abstraite du numéro AVS
L’acte de légiférer tend à traduire une volonté politique. Dans cet exercice, il n’est pas judicieux de faire l’impasse sur la maîtrise de l’aspect technique afin, en l’occurrence, de comprendre ce qu’est le numéro AVS et à quoi il sert. Attribué par la Centrale de compensation, il s’agit d’une séquence de treize chiffres, générée par un processus aléatoire, qui accompagne désormais la personne sa vie durant. Cet identificateur ne doit donc pas être remplacé en cas de changement d’état civil. Il ne contient aucune information relative à son titulaire, raison pour laquelle il est dit « non parlant ». Il permet d’identifier une personne physique de façon sûre, surtout en présence de noms complexes, fréquents ou encore composés de plusieurs noms, ceci sans compromettre la qualité des données par un traitement manuel qui pourrait comporter des erreurs de transcription. Les confusions administratives fâcheuses entre des dossiers personnels sont évitées. En outre, le numéro AVS rend possible la conversion des informations d’un support en données numériques. Il crée ainsi la condition technique afin que les échanges licites de données aient lieu sous forme automatisée.
Identification vs authentification
Si la différence entre « identification » et « authentification » semble mince, elle est ici déterminante. Le numéro AVS n’est pas un moyen de légitimation ou d’authentification. Ce n’est pas un sésame qui permet de pénétrer dans des systèmes informatiques normalement inaccessibles. Cet identificateur ne peut pas être utilisé comme pièce d’identité au même titre qu’un passeport ou une carte d’identité. L’obtention de prestations étatiques sur simple indication du numéro AVS n’est pas possible.
Sécurité de l'information
L’utilisation systématique du numéro AVS implique le traitement de données allant de pair avec l’exploitation d’outils informatiques. La sécurité de l’information, qui est un ensemble de bonnes pratiques, vise à se prémunir contre toute atteinte illicite. Elle implique notamment la sécurité informatique, dont la mise en place n’est pas une mesure isolée, mais un processus perpétuel. Un niveau de sécurité suffisant ne peut être obtenu que si les prescriptions touchant l’organisation, le personnel, l’infrastructure et la technique sont respectées. En ce sens, les utilisateurs légitimés doivent continuellement tenir à jour leurs systèmes d’information. La révision de la LAVS contribue ainsi à améliorer la sécurité de l’information en particulier dans l’administration publique. La réalisation régulière d’analyses de risques et la mise en œuvre rigoureuse des mesures d’accompagnement offrent l’assurance que l’utilisation systématique du numéro AVS ne constitue pas une menace pour la protection des données.
Compromis à l'helvétique
Sept ans pour modifier quelques dispositions légales peut paraître long. En l’espèce, trouver un équilibre entre une législation visant plus de souplesse et des exigences renforcées en matière de sécurité de l’information et de la protection des données fut un défi de taille. L’aspect immatériel de la thématique a exacerbé la nécessité de tenir compte en particulier des principes de bonne foi, de proportionnalité, de transparence, et de précaution. Ceci aussi bien pour protéger contre d’éventuelles dérives que pour renforcer la confiance dans le monde numérique et la cyberadministration. La LAVS révisée et les dispositions d’exécution sont finalement entrées en vigueur le 1er janvier 2022, après des travaux de longue haleine qui ont abouti à une solution équilibrée. Cela illustre une fois encore, qu’en Suisse, le compromis fait partie intégrante du processus démocratique.
Bibliographie
Conseil fédéral (2019). Message relatif à la modification de la loi fédérale sur l’assurance-vieillesse et survivants (Utilisation systématique du numéro AVS par les autorités, 19.057). FF 2019 6955.
Mauerhofer, Katharina (2019). Extension de l’utilisation du numéro AVS. Sécurité sociale CHSS 2018(4), 63-66 (consulté le 5 janvier 2022).
