La présente ordonnance vise à garantir que les services et institutions qui utilisent systématiquement le numéro d’assuré prennent les mesures techniques et organi­sationnelles suffisantes pour:

a.

s’assurer que le numéro utilisé est correct;

b.

en prévenir toute utilisation abusive.

¹ La présente ordonnance s’applique à tous les services et institutions qui utilisent systématiquement le numéro d’assuré au sens des art. 50d et 50e LAVS.

² Si l’utilisation systématique porte sur des collections de données dans lesquelles aucune mutation liée au numéro d’assuré n’est effectuée, seules sont applicables les dispositions des art. 6 à 8.

Les systèmes informatiques sont conçus de manière à exclure toute possibilité d’informations contradictoires concernant le numéro d’assuré valable attribué à une personne donnée.

¹ Le numéro d’assuré ne peut être saisi manuellement dans une collection de données qu’après vérification de la clé de contrôle suivant la procédure décrite à l’annexe 1.

² La lecture optique du numéro sous forme de code barre est assimilée à une saisie manuelle.

¹ Le numéro d’assuré ne peut être saisi dans une collection de données que si la certitude quant à l’exactitude du numéro est suffisante.

² La certitude quant à l’exactitude du numéro d’assuré est réputée suffisante lorsque ce dernier a été communiqué par une procédure conforme à l’art. 134^quater, al. 2 à 4, du règlement du 31 octobre 1947 sur l’assurance-vieillesse et survivants (RAVS)².

³ La certitude est présumée suffisante lorsqu’il n’existe aucun doute sur l’identité de la personne correspondant au numéro d’assuré que l’on s’apprête à saisir et que la source du numéro est l’une des suivantes:³

a.

certificat d’assuré AVS au sens de l’art. 135^bis RAVS;

b.

carte d’assuré au sens de l’art. 42a de la loi fédérale du 18 mars 1994 sur l’assurance-maladie (LAMal)⁴ valable au moment de la saisie;

c.

communication par écrit ou par voie électronique, d’actualité au moment de la saisie, émanant d’un organe de l’AVS;

d.

communication par écrit ou par voie électronique, d’actualité au moment de la saisie, émanant d’un service ou d’une institution recommandés par la Centrale de compensation (CdC) comme étant suffisamment sûrs.

⁴ La CdC publie sur Internet la liste des services et institutions qu’elle recommande comme étant suffisamment sûrs.

¹ L’accès aux collections de données contenant le numéro d’assuré n’est accordé qu’aux personnes qui ont besoin dudit numéro pour remplir leurs tâches. Les droits de lecture et d’écriture dans lesdites collections de données est réservé à ces personnes.

² Lorsque le numéro d’assuré est utilisé systématiquement dans des systèmes complexes, les mesures de protection nécessaires sont prises sur la base d’une analyse détaillée des risques. Cette analyse doit notamment prendre en considération le risque d’un regroupement illicite de collections de données.

³ L’utilisation de ressources informatiques et d’unités de mémoire respecte les normes minimales de sécurité définies dans l’annexe 2.

Lorsque des collections contenant des jeux de données où figure le numéro d’assuré transitent par un réseau public, ils sont cryptés conformément à l’état de l’art.

Les services et institutions qui utilisent le numéro d’assuré veillent à informer leurs collaborateurs, dans le cadre de cours de formation et de perfectionnement, que le numéro d’assuré ne peut être utilisé qu’en rapport avec leurs tâches et ne peut être communiqué que conformément aux prescriptions légales.

¹ La présente ordonnance entre en vigueur le 1^er décembre 2007, sous réserve des al. 2 et 3.

² L’art. 5, al. 3, let. a, entre en vigueur le 1^er juillet 2008.

³ L’art. 5, al. 3, let. b, entre en vigueur le 1^er janvier 2009.