Utilisation systématique du numéro AVS (USN)
Certaines organisations en dehors des institutions du premier pilier peuvent devenir utilisateurs systématiques du numéro AVS (USN). L’application USNTools permet aux personnes responsables de l’utilisation systématique du numéro (RUSN) de gérer les accès pour leur organisation.
Droit et obligations en lien avec l’utilisation systématique du numéro AVS
L’utilisation du numéro AVS est en général « systématique » dès qu’il est stocké, même modifié ou crypté, dans un fichier de données qui permet de rechercher les données par personne concernée.
Les organisations faisant partie des assurances sociales fédérales (caisses de compensation, agences AVS, offices AI et PC) disposent automatiquement du droit à l'utilisation systématique du numéro AVS. Les organisations qui n’en font pas partie doivent remplir les conditions nécessaires pour pouvoir utiliser systématiquement le numéro AVS. Les organisations qui utilisent systématiquement le numéro AVS sans remplir ces conditions sont punissables.
Les autorités, organisations et personnes utilisant de manière systématique le numéro AVS doivent prendre des mesures techniques et organisationnelles et ont un devoir de collaborer avec la Centrale. Les USN doivent notamment :
- annoncer à la Centrale de compensation qu’elles utilisent le numéro AVS de manière systématique au moyen du formulaire prévu. Toute modification des données indiquées dans l’annonce doit être communiquée à la CdC sans délai ;
- désigner une personne responsable de l’utilisation systématique du numéro AVS (RUSN). Les USN déjà annoncés selon l’ancien droit doivent communiquer le RUSN à la Centrale au moyen du même formulaire que celui destiné aux nouveaux USN. Ils identifient leur organisation dans le formulaire USNTools et ne saisissent que les champs qui doivent être ajoutés ;
- limiter l’accès au numéro AVS aux personnes qui ont besoin de ce numéro pour accomplir leurs tâches légales ;
- informer les personnes autorisées à utiliser le numéro AVS que celui-ci ne peut être utilisé qu’en rapport avec leurs tâches et communiqué que conformément aux prescriptions légales ;
- garantir la sécurité de l’information et la protection des données (SIPD), notamment en veillant à crypter les fichiers de données qui comprennent le numéro AVS et qui transitent par un réseau public ;
- définir la manière de procéder en cas d’accès non autorisé aux banques de données ou d’utilisation abusive de celles-ci ;
- permettre à la Centrale d’effectuer des contrôles et faire les corrections ordonnées par la Centrale.
Les départements fédéraux et la Chancellerie fédérale, les établissements de formation, les entreprises d’assurances privées et les cantons doivent aussi périodiquement effectuer une analyse des risques, en particulier sur le risque d’un regroupement illicite de banques de données. Dans ce but, ils tiennent un répertoire des banques de données dans lesquelles le numéro AVS est utilisé de manière systématique.
Le numéro AVS peut aussi être utilisé de manière non-systématique, si une base légale l’autorise. Il s’agit des cas où le numéro AVS est utilisé sans être stocké ou associé à des données personnelles. Ce type d’utilisation ne doit pas être annoncé à la Centrale. Par exemple, le numéro AVS peut être utilisé par des communautés de soin pour rechercher l’identifiant du dossier électronique d’un patient selon l’article 5 de la loi fédérale sur le dossier électronique du patient (LDEP) Dans ces cas, les communautés de soin ne stockent pas le numéro AVS dans leurs bases de données.
Annoncer l’utilisation du numéro AVS à la CdC
Une organisation est tenue d'annoncer toutes les utilisations systématiques du numéro AVS qu'elle prévoit.
Exemple : une assurance-maladie veut utiliser systématiquement le numéro AVS dans l'application de l’assurance-maladie et de l’assurance-accident est tenue d'annoncer individuellement chacune de ces deux utilisations.
Les organisations mandatées pour gérer l’utilisation systématique du numéro AVS (par exemple pour la gestion de caisses de pension) ne doivent pas s’annoncer ni se réannoncer comme USN. Ce sont les organisations qui les mandatent qui doivent s’annoncer en tant qu’utilisatrice systématique du numéro AVS (USN). Dans l’annonce, elles doivent nommer une ou plusieurs personnes travaillant dans l'organisation mandatée en tant que responsable de l'utilisation du numéro AVS (RUSN) et doivent fournir une procuration pour ce mandat.
Plus d’information sous Application USNTools.
Utilisation non-systématique du numéro AVS
La LAVS pose les bases légales pour l’utilisation systématique du numéro AVS. Cependant, le numéro AVS peut aussi être utilisé de manière non-systématique, si une base légale ad hoc l’autorise.
Une utilisation non-systématique du numéro AVS consiste à utiliser le numéro AVS sans pour autant le stocker en l’associant à des données personnelles. Par conséquent, il n’y a pas lieu de l’annoncer à la Centrale à qui seules les institutions utilisant le numéro AVS de manière systématique doivent s’annoncer. Une base légale est cependant requise même dans le cas d’une utilisation non-systématique.
A titre d'exemple, dans le cadre du dossier électronique du patient, le numéro AVS peut être utilisé par les communautés de soin pour rechercher l'identifiant du dossier électronique d’un patient sans que ces communautés ne stockent le numéro AVS dans leurs propres bases de données. Son usage n'est que transitoire et donc considéré comme non-systématique. L’article 5 de la loi fédérale sur le dossier électronique du patient (LDEP) prévoit cette utilisation, dans ce cas précis.
Le stockage du numéro AVS, même modifié ou crypté, est considéré comme une utilisation systématique.