> For the complete documentation index, see [llms.txt](https://smedai.aivd.ch/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://smedai.aivd.ch/ressources-humaines/informations/protection-des-donnees.md). # Protection des données Protection des données et obligation de garder le secret — AI Vaud *** ## Directive sur la sécurité de l'information et de la protection des données (SIPD) > **Émetteur :** Office de l'assurance-invalidité — Canton de Vaud Avenue du Général-Guisan 8 – 1800 Vevey · Tél. 021 925 24 24 · [www.aivd.ch](https://www.aivd.ch/) **Référence :** Protection des données et obligation de garder le secret (Règlement du personnel AI Vaud art. 13 et 17) ### Informations sur le document | | | | --------------------------- | -------------------------------------------- | | **Date / Version / État** | 12.02.2024 / 4 / Publié | | **Dernière mise à jour** | 12.02.2024 19:26 | | **Référent du document** | Marc SWAN | | **Nom du fichier** | `20231214_directive_protection_donnees.docx` | | **Diffusion / Sensibilité** | OAI VD / Données non-sensibles | ### Historique des versions | Date | Version | Commentaires / Approuvé par | | ---------- | ------- | --------------------------------------------------------------------------------------------------------------------------------------- | | 12.02.2024 | 4.0 | Adjonction du paragraphe 6.2.10 relatif à la sécurité des comptes inactifs | | 15.12.2023 | 3.0 | Reformulation du chapitre 6.2.9 et adjonction d'un paragraphe au chapitre 6.5.2 consacré à la prévention de la fuite de données / CODIR | | 15.09.2023 | 2.0 | Mise à jour selon la nouvelle LPD / CODIR | | 01.12.2019 | 1.0 | Version initiale / CODIR | *** ### Préambule Les termes soulignés dans le texte sont définis dans l'annexe « Glossaire ». Les références légales citées dans le texte et soulignées sont explicitées dans l'annexe « Références légales ». *** ### 1. But et champ d'application #### 1.1 But La présente directive interne a pour but : * de définir la politique et l'organisation de l'AI Vaud en matière de sécurité de l'information et de protection des données (SIPD) ; * de définir des règles internes permettant d'assurer la protection des données et la conservation du secret conformément aux dispositions légales applicables ; * de protéger les intérêts de l'employeur et de l'employé·e dans le contexte de la surveillance des moyens de communication (Internet, courrier électronique, téléphone) au lieu de travail. #### 1.2 Champ d'application La présente directive s'applique à toute personne employée par l'AI Vaud, ainsi qu'aux personnes externes qui peuvent recevoir une autorisation d'accès aux infrastructures informatiques et/ou aux locaux qui dépendent de l'AI Vaud. La relation avec les sous-traitants est également précisée dans cette directive. *** ### 2. Bases légales Par bases ou dispositions légales, il faut comprendre les lois, ordonnances, règlements, directives et autres références normatives applicables. Les bases légales applicables dans le cadre de cette directive sont présentées dans l'annexe « Bases légales ». Les textes juridiques complets jugés pertinents pour cette directive sont cités dans l'annexe « Références légales ». En cas de litige, seuls les textes officiels publiés dans le recueil systématique font foi. *** ### 3. Principes régissant le traitement des données personnelles #### 3.1 Principe de légalité En tant qu'organe public, l'AI Vaud est soumis au respect de la loi (principe de légalité) dans ses actions. Il a le droit de traiter des données personnelles uniquement si la loi l'y autorise expressément ou si le traitement sert à l'accomplissement de sa mission légale. Pour le traitement des données sensibles ainsi que pour le profilage, l'AI Vaud a besoin d'une base légale formelle. L'art. 49b LAVS stipule pour quelles finalités l'AI Vaud est habilité à traiter des données personnelles sensibles de ses bénéficiaires. L'AI Vaud ne peut traiter les données personnelles de ses collaboratrices et collaborateurs que si et dans la mesure où cela est nécessaire à l'exécution du contrat de travail. Cela comprend non seulement le traitement des données pour la gestion du personnel à proprement parler, mais aussi à des fins de sécurité, pour la saisie des heures ou le contrôle des performances. #### 3.2 Principe de finalité L'AI Vaud traite les données personnelles uniquement pour les finalités pour lesquelles elles ont été collectées (principe de finalité). C'est pourquoi les données personnelles des bénéficiaires ne peuvent être traitées généralement que pour l'accomplissement du mandat légal. #### 3.3 Principe de proportionnalité Lors du traitement des données personnelles, l'AI Vaud doit procéder conformément au principe de proportionnalité. Cela signifie notamment qu'il ne collecte pas plus de données personnelles que nécessaire pour accomplir la tâche légale et que les autorisations d'accès sont limitées aux employé·e·s qui en ont effectivement besoin pour remplir leur mission, tout en tenant compte de l'organisation interne, des processus de travail et des possibilités des applications IT utilisées à l'AI Vaud. #### 3.4 Principe de transparence La collecte de données et la finalité du traitement des données doivent être reconnaissables pour les personnes concernées (transparence). #### 3.5 Exactitude L'AI Vaud prend des mesures adéquates pour s'assurer que les données personnelles sont correctes et, dans la mesure où la finalité du traitement l'exige, également complètes. #### 3.6 Sécurité L'AI Vaud prend les mesures appropriées pour garantir la sécurité des fichiers et des données personnelles, notamment contre leur perte, leur destruction, ainsi que tout traitement illicite. #### 3.7 Conservation Les données personnelles doivent être détruites ou rendues anonymes dès qu'elles ne sont plus nécessaires pour la finalité du traitement. À cet égard, l'AI Vaud respecte la directive de l'OFAS sur la gestion, la conservation, l'archivage et la destruction des documents dans les domaines AVS/AI/APG/PC/Ptra/AFamAgr/AFam (DGD), ainsi que la loi cantonale sur l'archivage (LArch) et son règlement d'application (RLArch). #### 3.8 Consentement L'AI Vaud informe les personnes concernées de la collecte de données personnelles, de manière appropriée. Il n'y a pas de devoir d'informer si la personne concernée dispose déjà des informations correspondantes ou si le traitement des données personnelles est prévu par la loi. C'est notamment le cas lorsque les données de l'assuré·e sont traitées en exécution de dispositions applicables en matière de droit des assurances sociales. Lorsque les données personnelles ne sont pas collectées directement auprès de la personne concernée, le devoir d'informer ne s'applique pas non plus si l'information est impossible à donner, ou uniquement en consentant des efforts disproportionnés. En règle générale, l'AI Vaud collecte les données de l'assuré·e directement auprès de la personne concernée. En outre, il ne traite que les données personnelles des bénéficiaires dont il a besoin pour accomplir ses tâches légales. Les autres personnes concernées, dont l'AI Vaud ne traite pas les données ou pas exclusivement pour accomplir son mandat légal, sont informées de manière appropriée, transparente et compréhensible. On notera que cela concerne par exemple aussi les collaboratrices et collaborateurs, lorsque leurs données personnelles ne sont pas traitées uniquement en vue de satisfaire à une obligation légale. Le personnel qui traite des données en dehors des bases légales est en charge de satisfaire au devoir d'information. Tous les traitements doivent figurer dans le registre de traitement des données de l'AI Vaud. #### 3.9 Obligation de garder le secret En matière de protection des données dans les assurances sociales, le principe de base est le secret (art. 33 LPGA), c'est-à-dire ne rien transmettre ou divulguer à moins qu'une base légale l'autorise ou que la personne concernée ait donné son consentement via une autorisation. En outre, seules les données strictement nécessaires au but visé pourront être communiquées (principe de proportionnalité). Les conséquences en cas de violation de cette obligation sont décrites au chapitre 8 « Les sanctions disciplinaires ». Les conditions de transmission des données dans le cadre du traitement des dossiers de bénéficiaires sont précisées dans le document « Atelier sur la protection des données » et dans la Circulaire sur l'obligation de garder le secret et sur la communication des données dans le domaine de l'AVS/AI/APG/PC/AFA/AF (COGSC). L'obligation de garder le secret s'applique également au niveau de ce qui est communiqué oralement. Toute demande d'être délié·e du secret professionnel, quel que soit le tribunal ou la procédure concernée, doit être adressée au Directeur de l'AI Vaud. La levée du secret professionnel ne peut être autorisée que par le Directeur de l'AI Vaud. **L'employé·e doit :** * garder le secret en toutes circonstances, particulièrement dans les lieux publics ou privés, y compris à la réception de l'AI Vaud. L'évocation de situations professionnelles doit se faire avec la plus grande prudence, par exemple en ne citant pas le nom d'un·e bénéficiaire, et se limiter aux besoins de traitement des dossiers, même au sein de l'AI Vaud. Les prescriptions de protection des données sont prises en compte dès la conception et la réalisation des activités de traitement. #### 3.10 Registre des activités de traitement des données L'AI Vaud tient un registre de ses activités de traitement, disponible sur le site de la commission SIPD (COM SIPD) de l'AI Vaud\[^1]. Ce registre sert à l'AI Vaud d'outil de documentation interne de ses traitements de données et facilite le respect de ses autres obligations en matière de protection des données, comme le respect du devoir d'informer ou la réponse à des demandes émanant des personnes concernées (par ex. demande d'accès, de rectification ou de suppression). Toute modification apportée au traitement de données personnelles et tout nouveau traitement de données personnelles doivent être signalés au Délégué à la sécurité de l'information et à la protection des données (DSI / DPD), et le registre concerné doit être adapté ou un nouveau registre créé. \[^1]: La COM SIPD est décrite au chapitre 4.2.3. #### 3.11 Le droit d'accès Les personnes concernées par le droit d'accès sont celles dont les données personnelles sont présentes dans les systèmes. La consultation de son dossier par un·e bénéficiaire est régie par les articles 47 LPGA, 8b, 8c et 9 OPGA. La consultation de son dossier par une collaboratrice ou un collaborateur est régie par les articles 45 LPers et 107 RLPers. Les personnes concernées ont le droit de présenter les demandes suivantes à l'AI Vaud : * droit de demander si l'AI Vaud traite des données personnelles les concernant et, si oui, lesquelles (droit d'accès) ; * droit d'exiger que des données inexactes soient rectifiées ou détruites ; * droit d'interdire la communication de ses données personnelles sous certaines conditions. Le traitement de telles demandes et la réponse apportée s'effectuent selon les processus internes définis à l'AI Vaud. #### 3.12 Analyses d'impact relatives à la protection des données Avant de planifier une nouvelle activité de traitement, le DSI / DPD doit vérifier s'il convient de procéder à une analyse d'impact relative à la protection des données (AIPD). S'il ressort de cet examen qu'il existe un risque élevé pour la personne concernée, une AIPD doit être impérativement conduite. À travers l'AIPD, l'AI Vaud doit évaluer les risques d'un traitement de données pour la sphère privée et les droits fondamentaux de la personne concernée et définir les mesures correspondantes pour réduire ces risques. L'AIPD est utile à l'AI Vaud entre autres pour apporter la preuve du respect des dispositions de protection des données. #### 3.13 Sous-traitance du traitement de données Si le traitement de données personnelles est délégué à un prestataire externe (sous-traitance), l'AI Vaud demeure responsable, vis-à-vis de la personne concernée et de l'autorité de surveillance, de la conformité du traitement des données personnelles déléguées aux exigences de la protection des données. L'AI Vaud veille à ce que le prestataire soit soigneusement choisi et s'assure par contrat que : * le prestataire ne traite pas les données personnelles au-delà de ce que l'AI Vaud est en droit d'effectuer lui-même et qu'aucune obligation légale ou contractuelle de garder le secret n'est enfreinte ; * le prestataire ne traite pas de données personnelles à des fins propres ; * la sécurité des données est garantie ; * l'AI Vaud a les droits de contrôle correspondants. #### 3.14 Communication de données à l'étranger En principe, sauf obligation légale de communication, les données ne sont pas communiquées dans des pays qui ne disposent pas d'une protection des données équivalente. L'envoi d'un courrier postal à un·e bénéficiaire résidant à l'étranger doit se faire en portant une attention particulière à la question de la protection des données. Cette pratique doit être enregistrée dans le registre de traitement des données de l'AI Vaud pour le service concerné. La question du niveau de protection des pays tiers est examinée par le DSI / DPD lors de l'inscription dans le registre. Si un partenaire contractuel se trouve dans un pays ne disposant pas d'une protection équivalente des données, la protection des données est garantie contractuellement, en particulier par la signature de clauses types de protection des données de l'UE (SCC). Si nécessaire, il conviendra de prendre d'autres mesures. Les mesures correspondantes doivent être décidées et mises en œuvre par la Direction de l'AI Vaud. *** ### 4. Organisation de la sécurité de l'information et de la protection des données (SIPD) #### 4.1 Définition L'organisation de la sécurité de l'information et de la protection des données (SIPD) décrit la structure, les fonctions, les tâches et la position de cette organisation dans l'AI Vaud. Cette organisation vise à garantir le respect de la SIPD au sein de l'AI Vaud tout en facilitant le travail du personnel dans ce domaine. #### 4.2 Responsabilités **4.2.1 Direction** La Direction assume la responsabilité générale des valeurs et des dispositions de la SIPD au sein de l'AI Vaud. En particulier, la Direction : * définit la politique générale en matière de SIPD, son champ d'application et les éventuelles exceptions ; * édicte la présente directive ; * désigne une personne assumant les rôles de Délégué à la sécurité de l'information et de délégué à la protection des données (DSI / DPD) pour l'AI Vaud ; * désigne les membres de la commission SIPD (COM SIPD) ; * désigne, pour chaque système d'information utilisé, un responsable d'application (RA) ; * met à disposition les ressources nécessaires et proportionnelles au risque en termes de personnel, de moyens financiers et de temps pour la mise en œuvre systématique de la SIPD au sein de l'AI Vaud. **4.2.2 Délégué à la sécurité de l'information et à la protection des données (DSI / DPD)** Le DSI / DPD est l'interlocuteur des personnes concernées ainsi que des autorités de surveillance (autorité cantonale de protection des données et Office fédéral des assurances sociales (OFAS)) pour toutes les questions liées à la sécurité de l'information et de protection des données. Il répond aux demandes concernant le traitement des données personnelles lorsque les processus internes ne le définissent pas autrement. Il conseille l'AI Vaud en matière de SIPD et encourage les bonnes pratiques dans ce domaine par des formations et des campagnes de sensibilisation. Il met la documentation et les processus nécessaires à la disposition des collaboratrices et collaborateurs, contrôle les activités de traitement et recommande les mesures correctives qui s'imposent. Les responsabilités et activités détaillées du DSI / DPD sont précisées dans un descriptif de rôle, en annexe de ce document. Pour les questions de protection des données, il peut être contacté via une adresse mail spécifique , publiée sur le site Internet de l'AI Vaud. **4.2.3 Commission SIPD (COM SIPD)** La COM SIPD : * échange sur les nouveautés dans le domaine SIPD ; * s'assure de la mise en œuvre uniforme des dispositions SIPD au sein de l'AI Vaud ; * clarifie les questions générales de protection des données ; * prend position sur les propositions de directives et instructions que le DSI / DPD va soumettre à la Direction ; * garantit une évaluation uniforme des risques SIPD au sein de l'AI Vaud avec une approche équilibrée qui tient compte des commentaires et préoccupations des collaboratrices et collaborateurs ; * élabore des concepts de formation en matière SIPD. La COM SIPD se réunit autant de fois que nécessaire, mais un minimum une fois par trimestre. La commission est présidée par le DSI / DPD. **4.2.4 Responsable d'application (RA)** Le RA, désigné pour chaque système d'information, définit avec le DSI / DPD les exigences de sécurité pour le système. De plus, le RA est compétent pour la mise en œuvre des mesures de sécurité et le contrôle périodique de l'utilité et de l'exactitude des rôles, autorisations et accès donnés pour le système d'information dont il est responsable. **4.2.5 Référent SIPD du service** Chaque service désigne un·e référent·e SIPD. Cette personne répond de la mise en œuvre de la SIPD dans son service, et en particulier : * s'assure du respect des prescriptions SIPD lors du traitement de données personnelles tout en considérant l'impact de ces prescriptions sur la flexibilité et la productivité du service ; * fournit les informations nécessaires à la création et la tenue à jour des registres des activités de traitement et des banques de données dans son domaine de responsabilité, conformément aux prescriptions du DSI / DPD ; * participe, lorsque cela est requis, à la réalisation d'une analyse d'impact relative à la protection des données, à l'établissement d'un concept SIPD ainsi qu'à l'élaboration de documents pour le contrôle préalable auprès de l'autorité de surveillance cantonale de protection des données ; * annonce immédiatement des violations de la sécurité des données constatées au DSI / DPD ; * met à disposition du temps pour la participation des collaboratrices ou collaborateurs aux formations SIPD. **4.2.6 Collaboratrice et collaborateur** Chaque collaboratrice et collaborateur est tenu de participer activement à la mise en œuvre de la SIPD dans son domaine de responsabilité. Cela est détaillé dans la suite de ce document et concerne en particulier les obligations suivantes : * participer aux formations dans le domaine SIPD proposées par l'AI Vaud ; * connaître les prescriptions définies de la SIPD, les respecter et mettre en œuvre les mesures y afférentes ; * signaler les incidents et les vulnérabilités de la SIPD et, le cas échéant soumettre des propositions d'amélioration ; * traiter les données personnelles uniquement dans la finalité prévue et dans le respect des dispositions légales applicables dans le domaine SIPD ; * renseigner le DPD / DSI à sa demande sur les traitements de données effectués, en lui donnant si nécessaire l'accès aux systèmes d'information dont il a besoin pour l'accomplissement de ses missions. *** ### 5. Intérêts et risques de l'employeur et de l'employé·e #### 5.1 Intérêts et risques de l'employeur L'AI Vaud applique une politique cohérente au niveau des restrictions liées à la SIPD. Cette politique doit être proportionnée et ne pas contrevenir aux objectifs de productivité et d'innovation notamment technologique. L'utilisation d'un équipement informatique ou de télécommunication (poste virtualisé, ordinateur fixe ou portable, tablette, téléphone mobile) peut porter atteinte à certains intérêts et équipements techniques de l'AI Vaud. Peuvent être affectés : * la capacité de stockage et la bande passante du réseau, suite à une utilisation excessive d'Internet (et des protocoles liés) ou du courrier électronique ; * la sécurité des données et des applications (disponibilité, intégrité, confidentialité), par l'introduction de malware ou l'installation de logiciels étrangers à l'entreprise ; * le temps de travail et d'autres intérêts financiers (perte de productivité, augmentation des coûts pour des moyens et/ou prestations supplémentaires, frais de réseau, etc.) ; * d'autres intérêts de l'entreprise protégés par la loi, tels que sa réputation ou la protection des données. #### 5.2 Intérêts et risques de l'employé·e L'employé·e encourt certains risques en cas d'utilisation abusive d'un équipement informatique ou de télécommunication, par exemple sur le plan du droit du travail (les sanctions peuvent aller jusqu'au licenciement) et, partant, sur le plan économique. L'employé·e qui ne respecte pas ses obligations décrites dans ce document peut être tenu·e responsable s'il en a résulté un dommage en matière de protection des données. Mais elle/il prend aussi des risques du point de vue du droit de la protection des données, même quand elle/il ne fait rien d'illicite : des informations personnelles contenues dans des courriers électroniques peuvent par exemple être utilisées à des fins abusives. *** ### 6. Mesures de protection #### 6.1 Principes Les données personnelles doivent être traitées de manière à pouvoir garantir une sécurité appropriée des données, y compris une protection contre un traitement non autorisé ou illicite et contre une perte accidentelle, une destruction accidentelle ou un endommagement accidentel, par des mesures techniques et organisationnelles appropriées. Les mesures techniques et organisationnelles (TOM) appropriées ont pour vocation d'éliminer ou de réduire les risques suivants lors du traitement de données identifiant des personnes : * utilisation d'un équipement informatique ou de télécommunication non autorisé ; * accès physique non autorisé ; * traitement non autorisé, illicite, falsification ou erreur ; * endommagement, perte ou destruction accidentelle. Les mesures de protection et les obligations qui en découlent sont détaillées dans la suite de ce document et se situent à plusieurs niveaux : **Tableau 1 : Mesures de protection** | Accès aux données | Exploitation des données | Communication de données | | ------------------------------------------------------------------- | ------------------------------------------------------------------ | --------------------------------------------------------------- | | Sécurité des locaux | Utilisation des moyens mis à disposition | Sécurité du réseau | | Sécurité de l'accès aux réseaux Wifi | Sécurité des supports de données | Utilisation d'Internet | | Utilisation d'un VPN | Introduction et enregistrement des données | Utilisation des messageries instantanées | | Sécurité des salles ou installations avec des données sensibles | Sauvegarde des données | Utilisation de la messagerie électronique | | Sécurité des places de travail | Accès aux données des bénéficiaires | Communication de données par messagerie électronique | | Sécurité de l'accès au réseau informatique sur le site de l'AI Vaud | Mandat de représentation et curatelle | Communication de données à l'aide d'un support physique | | Sécurité du matériel non fourni par l'AI Vaud | Accès aux messages électroniques d'un·e employé·e en cas d'absence | Communication de données à l'aide d'un stockage distant (Cloud) | | Identification et authentification | Accès aux dossiers physiques d'un·e employé·e en cas d'absence | | | Accès aux données et télétravail depuis l'étranger | Accès aux données d'un·e employé·e qui quitte l'AI Vaud | | | Sécurité des comptes inactifs | Extraction de données | | | | Traitement de données en externe et sous-traitance | | | | Prise de décision individuelle automatisée | | | | Destruction de données | | L'AI Vaud tient compte de la protection des données dès la conception et la réalisation de ses infrastructures et de ses processus (**Privacy by Design**), et demande à ses prestataires de faire de même. L'AI Vaud s'assure, par le biais de préréglages appropriés dans les programmes de traitement de données utilisés, que seules les données personnelles qui sont absolument nécessaires à l'atteinte de la finalité de traitement visée sont effectivement collectées et traitées (**Privacy by Default**). #### 6.2 Protection de l'accès aux données **6.2.1 Sécurité des locaux** Les locaux sont placés sous alarme et les accès sous vidéo surveillance. L'accès aux bâtiments est réglementé. Un badge permet l'authentification des personnes qui doivent circuler de façon non accompagnée dans les locaux qui dépendent de l'AI Vaud\[^2]. Une procédure d'accueil et de prise en charge est établie pour les visiteurs, afin qu'ils soient accompagnés ou reçoivent le cas échéant un badge de sécurité. Des zones d'accès par niveau de sécurité sont définies. **L'employé·e doit :** * rester vigilant sur les personnes qui le suivent lors du franchissement d'une limite sécurisée (par exemple : entrée dans le bâtiment par l'entrée du personnel, entrée dans la zone sécurisée depuis la réception) ; * en cas de doute sur une personne non accompagnée ou inconnue ; demander à voir un badge d'authentification de l'AI Vaud si celui-ci n'est pas visible ; * signaler immédiatement à la sécurité (depuis l'externe **+41 21 925 24 44**, depuis l'interne **52 444**, si non-réponse : **54 799** ou **52 484**) toute situation suspecte (tentative d'intrusion, personne non autorisée dans les locaux). \[^2]: Voir la directive technique « Badges et visiteurs ». **6.2.2 Sécurité de l'accès aux réseaux Wifi** L'accès au réseau sécurisé Wifi **VD\_GUEST** des salles de conférences est autorisé aux enseignants, conférenciers et animateurs utilisant ces salles, ainsi qu'aux participants aux cours et aux intervenants externes présents pour une séance de travail. L'accès au réseau sécurisé Wifi **VD-CORPORATE** est autorisé aux collaborateurs et collaboratrices de l'AI Vaud pour un usage professionnel. L'utilisation de ce réseau dans un but personnel est tolérée. Sous réserve d'une utilisation professionnelle, il est interdit de : * se connecter à des flux vidéo (streaming) qui peuvent utiliser toute la bande passante disponible ; * d'accéder à des sites douteux ou des services non sécurisés et d'y télécharger des données ou des documents. En dehors de l'AI Vaud, l'employé·e doit prêter une attention particulière à la sécurité des réseaux Wifi auxquels elle/il se connecte. Les réseaux publics non sécurisés ne doivent pas être utilisés. Une connexion via un partage de connexion du mobile professionnel doit être privilégiée dans le doute. **6.2.3 Utilisation d'un VPN** Lors de l'utilisation d'un réseau virtuel privé (VPN), les flux de données peuvent transiter par des serveurs de données se trouvant dans des pays n'offrant pas toutes les garanties en matière de protection des données. > **Il est interdit d'utiliser un VPN pour se connecter à la session AI Vaud.** **6.2.4 Sécurité des salles ou installations avec des données sensibles** L'accès à certains locaux / installations jugés sensibles est restreint, voire journalisé (local informatique du 3e étage, archives au sous-sol, locaux de vidéo surveillance, etc.). **6.2.5 Sécurité des places de travail** **L'employé·e doit :** À l'AI Vaud, en télétravail ou à l'externe : * aménager sa place de travail de telle sorte que les écrans affichant les données ne soient pas visibles par des tiers non autorisés (par exemple : un écran d'ordinateur face à une porte ouverte ; un écran de portable ou de mobile visible dans un lieu public ou à domicile) ; * verrouiller les écrans de visualisation lorsqu'elle/il quitte, même brièvement, sa place de travail sans fermer sa session de travail (l'écran se verrouille par défaut après 15 minutes) ; * garder sous surveillance ou sous clé des documents imprimés ou des supports électroniques (clé USB, CD-ROM, etc.) avec des données personnelles ou confidentielles (par exemple : sur / autour d'une imprimante, dans son bureau, dans un sac, à son domicile) ; À l'AI Vaud : * rendre non visibles à un regard indiscret les documents déposés dans les casiers du courrier interne. Selon le niveau de risque qu'elle/il appréciera en fonction du contenu du document, le collaborateur ou la collaboratrice pourra soit : * déposer les documents dans le casier avec la face imprimée tournée vers le bas ; * placer les documents dans une enveloppe de courrier interne ; * remettre les documents au destinataire en mains propres ; Hors des locaux sécurisés de l'AI Vaud : * garder sous surveillance ou sous clé de façon non visible les appareils portables ou mobiles de l'AI Vaud (protection contre le vol ou la déprédation). **6.2.6 Sécurité de l'accès au réseau informatique sur le site de l'AI Vaud** L'accès (branchement physique) au réseau informatique sur le site de l'AI Vaud n'est permis qu'avec des appareils dûment autorisés (figurant dans l'inventaire du Service Tech) et équipés des systèmes de protection requis. En d'autres termes, il est interdit, sauf autorisation écrite spéciale du Service Tech, de brancher du matériel informatique ou électronique personnel sur le réseau ou un accès USB de l'AI Vaud. L'utilisation des imprimantes en réseau et des photocopieurs requiert une autorisation (identification de l'utilisateur). **6.2.7 Sécurité du matériel non fourni par l'AI Vaud** **L'employé·e doit :** * s'assurer de la sécurité du matériel privé utilisé pour se connecter à la session AI Vaud. En particulier, elle/il doit veiller à ce que ce matériel privé soit protégé à l'aide d'un antivirus tenu à jour et que d'autres utilisateurs de ce matériel privé adoptent un comportement responsable en matière de SIPD. L'utilisation d'un ordinateur public pour se connecter à la session AI Vaud est interdite (cyber café, ordinateur partagé mis à disposition dans un espace de coworking, etc.). L'employé·e est responsable des conséquences d'un piratage de données. L'AI Vaud met à disposition pour se connecter du matériel figurant dans l'inventaire du service Tech et muni des protections, tels que boîtiers de virtualisation, ordinateurs portables, tablettes ou téléphones mobiles. **6.2.8 Identification et authentification** Les comptes utilisateurs qui permettent l'authentification sont uniques. Les collaboratrices et collaborateurs ne partagent pas de compte. La création et l'utilisation de comptes génériques avec des droits spécifiques sont autorisées. Ces comptes font l'objet d'un enregistrement par le Service Tech. Cet enregistrement précise la date de création du compte et, si celui-ci est supprimé, d'effacement, les droits spécifiques octroyés et son utilité. Selon les risques encourus, un double contrôle (« contrôle à quatre yeux ») pourra être mis en place. L'authentification unique (SSO) est utilisée lorsque cela est techniquement possible. Les mesures de protection doivent alors être absolument respectées puisque, grâce à ce mécanisme, l'accès à la machine autorise également l'accès aux applications. Lorsque l'employé·e définit un mot de passe, celui-ci doit être fort (contenir au minimum **8 caractères**, dont des lettres majuscules et minuscules, des chiffres et des caractères non alphabétiques (`!`, `$`, `#`, `%`, `&`)). Une fréquence élevée de changement du mot de passe, si elle n'est pas définie par le système ou le Service Tech, augmente la sécurité. **L'employé·e doit :** * conserver en lieu sûr, c'est-à-dire inaccessible à une autre personne, ses moyens d'authentification tels que badge, mots de passe ou tokens. Un corps de bureau non fermé à clé ou un sac à main laissé sans surveillance ne sont pas considérés comme sûrs. Les moyens d'authentification sont personnels et ne doivent en aucun cas être utilisés par une autre personne. Chaque employé·e est personnellement responsable des conséquences d'un usage abusif de ses droits d'accès, par elle/lui ou par un tiers, sous réserve de l'obtention frauduleuse des moyens d'authentification. **6.2.9 Accès aux données et télétravail depuis l'étranger** L'accès aux données, et par conséquent le télétravail, depuis l'étranger n'est autorisé que pour le personnel frontalier depuis leur lieu de domicile. En raison des dispositions légales en matière de protection des données qui peuvent être insuffisantes dans un état tiers, les restrictions sont les suivantes : > **Hors de la Suisse, sauf exception mentionnée ci-dessous, il est strictement interdit :** **Authentification :** * d'emporter des moyens d'authentification de la Confédération et de l'AI Vaud (token, etc.). **Accès aux applications et données :** * de se connecter aux applications de la Confédération ou de la Centrale de compensation telles que Telezas ; * de se connecter à des applications utilisées à l'AI Vaud ou à des sources contenant des données personnelles d'employé·e·s ou de bénéficiaires, y compris par le biais de portails Web ; * d'emporter un support contenant sous forme physique ou électronique des documents professionnels à caractère interne ou données personnelles traitées par l'AI Vaud. > À noter que les données affichées dans la session virtuelle de l'AI Vaud ne sont pas considérées comme stockées localement sur la machine utilisée pour afficher les données. **Matériel :** * d'emporter du matériel de l'AI Vaud, même éteint, en particulier le mobile professionnel. **Exception** Pour chaque autorisation de télétravail pour du personnel frontalier : * le service Tech procédera à une vérification de l'activation des mesures de sécurité requises (limitation du cache sur les e-mails, cryptage, etc.) et du respect des dispositions en matière de protection des données ; * l'employé·e pourra, le cas échéant, emporter à son domicile son matériel professionnel, y compris le mobile, pour la période de télétravail. **6.2.10 Sécurité des comptes inactifs** Afin d'accroître la protection contre des activités frauduleuses, les comptes utilisateurs restés inactifs pendant plus de **45 jours** sont automatiquement désactivés. Cela signifie qu'il n'est alors plus possible d'accéder à de tels comptes. La désactivation d'un compte ne modifie pas ou ne supprime pas son contenu et la réception des mails n'est pas bloquée. Le service Tech effectue la réactivation des comptes sur demande des personnes concernées. #### 6.3 Protection durant le cycle de vie des données **6.3.1 Utilisation des moyens mis à disposition** **L'employé·e doit :** * utiliser les applications informatiques et les technologies de l'information et de la communication (TIC) mises à sa disposition par l'AI Vaud : * qu'à des fins professionnelles, sous réserve des exceptions citées dans la présente directive (§ 6.4.2) ; * en respectant les missions qui lui sont confiées par l'employeur ; * en préservant les intérêts de l'employeur (§ 5) ; * en respectant les dispositions légales en vigueur (§ 2) et la présente directive ; * de façon à ne pas compromettre le fonctionnement global des systèmes informatiques. L'AI Vaud privilégie les mesures de protection technique et organisationnelle pour prévenir les abus et les dommages de nature technique. En particulier, il protège les données personnelles, notamment celles relatives aux liaisons téléphoniques, contre toutes interventions non autorisées. D'autre part, le Prestataire met en place et gère les mesures techniques visant à réduire les risques liés à l'utilisation des TIC. **6.3.2 Sécurité des supports de données** Les supports externes contenant des données personnelles sont chiffrés (clé USB, ordinateur portable) ou protégés par authentification (tablette, téléphone mobile). **6.3.3 Introduction et enregistrement des données** Dans la mesure des possibilités techniques, des mécanismes automatiques de validation sont mis en place dans les systèmes de saisie et de traitement des données. Les données sont introduites et gérées uniquement par du personnel formé et autorisé. Selon le principe de proportionnalité, seules les données personnelles ou sensibles servant à un but préalablement défini peuvent être enregistrées dans une application. En particulier, les données contenues dans les rapports d'expertises ordonnées dans le cadre de procédures civiles, pénales ou de mise sous tutelle sont, en règle générale, peu utiles dans le cadre de l'instruction AI, car ces expertises contiennent rarement des indications sur les incapacités de travail, les limitations fonctionnelles, les possibilités de réadaptation ou l'aspect invalidant d'une atteinte à la santé. Dans des cas particuliers, elles peuvent être utiles pour être confrontées à des données contemporaines ou des éléments d'anamnèse (cas de LFA, par exemple). Par conséquent, de telles demandes doivent être exceptionnelles, motivées et respecter la procédure « Demande d'un rapport d'expertise ordonnée dans le cadre d'une procédure civile, pénale ou de mise sous tutelle ». > **Il est interdit :** > > * de constituer des dossiers parallèles sous forme électronique ou papier avec des informations personnelles des employé·e·s. Seul le service RH y est autorisé ; > * d'enregistrer des données relatives aux bénéficiaires en dehors des applications prévues à cet effet et figurant dans le registre de traitement des données de l'AI Vaud. Le service Tech et le service Intendance et Sécurité peuvent saisir des informations personnelles requises pour la création et la gestion des comptes utilisateurs et des systèmes de sécurité. **6.3.4 Sauvegarde des données** Une stratégie de sauvegarde est définie et mise en œuvre de manière appropriée par le Prestataire en fonction des données elles-mêmes, de leur quantité et de leur fréquence de modification. Le Prestataire n'est pas responsable de la sauvegarde de données privées (non professionnelles). **6.3.5 Accès aux données des bénéficiaires** Toutes les données sont stockées sur des serveurs centraux dans des centres de données (data center) sous la responsabilité du Prestataire mandaté par l'association GILAI. À ce titre, des mesures de protection technique telles que pare-feu, antivirus ou cryptage des canaux de transmission des données sont mises en place pour réduire les risques d'accès non autorisé aux données. Le droit d'accès à l'application **WEB\@AI** ainsi qu'à la **GED** est strictement réglementé : une liste établie par le directeur définit quels sont les services ou les fonctions qui ont accès aux données des assuré·e·s stockées dans ces deux applications. La consultation d'un dossier de bénéficiaire doit entrer dans le cadre des activités spécifiques de la fonction (dossier sous attribution, suppléance, donner des renseignements et autres nécessités professionnelles). Les questions de sécurité, lutte contre la fraude, management de la qualité / statistiques demeurent réservées. > **Sous peine de sanctions, il est interdit pour l'employé·e de :** > > * traiter des dossiers de personnes qu'elle/il connaît, qu'elle/il fréquente ou dont elle/il est ou était proche, ou envers lesquelles son impartialité pourrait être mise en cause. Dans un tel cas, l'employé·e doit demander d'être dessaisi du dossier avant de le consulter. Cette obligation a pour but d'assurer l'égalité de traitement et la protection de l'employé·e dans l'éventualité de procédures juridiques ; > * consulter des dossiers par intérêt personnel, curiosité ou en-dehors d'un traitement défini dans le registre des traitements de données de l'AI Vaud. Les dossiers confidentiels font l'objet d'un traitement spécifique avec une évaluation de cas en cas des conditions d'impartialité et des obligations qui en découlent. **6.3.6 Mandat de représentation et curatelle** Pour des raisons de possibles conflits d'intérêts, les employé·e·s ne sont pas autorisé·e·s à accepter des mandats de représentation de personnes assurées dont les dossiers sont traités à l'AI Vaud (procuration en leur faveur par exemple pour consulter le dossier ou recevoir les courriers et décisions). Pour les mêmes raisons, ils/elles doivent en principe refuser ou renoncer à des curatelles concernant des personnes assurées dont les dossiers sont traités à l'AI Vaud. Une exception est cependant admise si l'employé·e concerné·e souhaite assumer la curatelle de son enfant handicapé devenu majeur. **6.3.7 Accès aux messages électroniques d'un·e employé·e en cas d'absence** En cas d'absence d'un·e employé·e, des messages, qui pourraient être importants, peuvent rester sans réponse. Une règle permettant de rediriger automatiquement les messages vers la messagerie de la personne suppléante est problématique, car il n'est pas possible de garantir que seuls les messages de nature professionnelle seront redirigés et que, deuxièmement, l'expéditeur n'a pas les moyens d'éviter que son message soit redirigé. **En cas d'absence planifiée**, l'employé·e doit activer les règles d'absences informant les expéditeurs des messages de la durée de l'absence et de la suppléance mise en place. **En cas d'absence de longue durée non planifiée**, la personne responsable hiérarchiquement doit immédiatement informer le Service RH de l'absence et de la suppléance mise en place. Le service RH mandate le service Tech afin qu'il active la réponse automatique des messages, informant de l'absence de la collaboratrice ou du collaborateur et des coordonnées de la personne suppléante. La procédure suivie par le service Tech n'implique pas l'accès à la boîte mail de la collaboratrice ou du collaborateur. **6.3.8 Accès aux dossiers physiques d'un·e employé·e en cas d'absence** En cas d'absence de longue durée non planifiée d'un·e employé·e, des dossiers physiques traités par cette personne peuvent être oubliés s'ils sont stockés sous clé dans une armoire ou un corps de bureau personnel. L'accès aux espaces personnels de stockage physique de l'employé·e doit donc être autorisé sous certaines conditions. **En cas d'absence de longue durée non planifiée :** * la personne responsable hiérarchiquement doit immédiatement informer le Service RH de l'absence et de la suppléance mise en place ; * le service RH organise l'accès aux dossiers physiques comme suit : **Si un contact avec la personne absente est possible :** Le service RH se renseigne auprès de la personne absente pour savoir s'il y a des dossiers physiques sous clé dans une armoire ou un corps de bureau personnel. Si tel est le cas, le service RH organise la transmission de ces dossiers physiques à la personne suppléante en collaboration avec la personne absente et, le cas échéant, avec l'aide du service Intendance pour l'ouverture momentanée des serrures. **Si aucun contact avec la personne absente n'est possible :** Le service RH s'assure qu'il n'y a pas de dossiers physiques en attente de traitement dans une armoire ou un corps de bureau de la personne absente, le cas échéant avec l'aide du service Intendance pour l'ouverture des serrures le temps de la vérification. En présence de dossiers à traiter, le service RH les transmettra à la personne effectuant la suppléance, puis informera par écrit la personne absente de cet accès. > Dans tous les cas, l'accès par le service RH à un mobilier personnel sous clé se fait en présence au minimum d'une autre personne. **6.3.9 Accès aux données d'un·e employé·e qui quitte l'AI Vaud** Lorsqu'un·e employé·e quitte l'AI Vaud, elle/il peut emporter tous les éléments privés se trouvant dans sa messagerie (à l'instar de toutes ses autres données personnelles). Les éléments de nature professionnelle qui peuvent encore servir à l'entreprise ou qui sont en cours de traitement doivent être transmis au supérieur compétent. À la fin du dernier jour de travail de l'employé·e, et après accord de la personne responsable hiérarchiquement, la messagerie et le répertoire privé de l'employé·e doivent être vidés et bloqués. **6.3.10 Extraction des données** Des données personnelles peuvent être extraites, traitées et publiées par des cadres en dehors de l'application Web\@AI qu'à des fins de statistiques et d'aide au traitement opérationnel (listings de contrôle). L'AI Vaud établit et tient à jour l'inventaire des données extraites. Cet inventaire précise la date d'extraction, ou la périodicité, les données extraites, l'utilisation qui en sera faite, la durée de conservation et le sort réservé à ces données à l'échéance de conservation. Les données extraites ne peuvent être ni utilisées ni copiées ou transférées à d'autres fins que celles définies dans l'inventaire. **6.3.11 Traitement de données en externe et sous-traitance** > **Il est interdit :** > > * de traiter des données à l'aide d'outils ou de plateformes externes qui ne figurent pas dans le registre des traitements de données de l'AI Vaud. **En particulier, le transfert de données personnelles vers des outils d'intelligence artificielle est strictement interdit.** Il en est de même de toute donnée, document, ou information internes de l'AI Vaud (qui n'est pas de nature publique) en rapport avec des aspects organisationnels ou opérationnels ; > * de sous-traiter le traitement de données personnelles à une partie tierce (sous-traitant) sans une évaluation préalable de la conformité en matière de SIPD et, le cas échéant, la mise en œuvre de mesures spécifiques. L'évaluation est effectuée par le DSI / DPD. Pour les mesures de réadaptation, cette évaluation est effectuée en collaboration avec le service Management des contrats. Lors de la sous-traitance, l'AI Vaud demeure toujours responsable, vis-à-vis de la personne concernée et de l'autorité de surveillance, de la conformité du traitement des données personnelles. **L'employé·e doit :** * garder le secret en toutes circonstances, particulièrement dans les lieux publics ou privés, y compris la réception de l'AI Vaud. L'évocation de situations professionnelles doit se faire avec la plus grande prudence, par exemple en ne citant pas le nom d'un bénéficiaire, et se limiter aux besoins de traitement des dossiers, même au sein de l'AI Vaud. **6.3.12 Prise de décision individuelle automatisée** La prise d'une décision individuelle automatisée par une machine sans l'intervention d'un·e employé·e est soumise à autorisation préalable par la Direction. Elle doit faire l'objet d'une déclaration spécifique en matière de protection des données et d'une communication aux personnes concernées par la décision. **6.3.13 Destruction des données** Il ne suffit pas d'effacer simplement ses données d'un support pour considérer qu'elles sont détruites. Il faut véritablement s'assurer qu'elles ne seront plus jamais accessibles. Il en va de même pour les données qui sont contenues sur papier ou sur des supports mobiles. Les copies de sauvegardes doivent également être détruites. Les données personnelles n'ont pas pour vocation d'être conservées sans aucune limite de temps. Leur durée de conservation est définie dans un calendrier de conservation, ainsi que les mécanismes pour leur destruction définitive. > **Il est interdit** d'éliminer hors de l'AI Vaud des informations confidentielles ou des données personnelles imprimées sur papier. Cette interdiction s'applique notamment lors du télétravail. **Pour la destruction définitive, l'employé·e doit :** * éliminer les données personnelles et informations confidentielles imprimées sur papier en les plaçant dans les containers de l'AI Vaud désignés pour l'élimination sécurisée. Leurs contenus seront ensuite détruits par déchiquetage sécurisé sur site ou dans une entreprise spécialisée. En cas de nécessité, une déchiqueteuse est disponible au 1er étage de l'AI Vaud ; * remettre les CD-ROM au service Intendance et Sécurité qui effectuera une destruction sécurisée par déchiquetage ; * remettre les supports électroniques au service Tech qui procédera à l'effacement sécurisé des données, voire à la destruction physique du support si celui-ci n'est pas réutilisé. #### 6.4 Protection durant la communication de données **6.4.1 Sécurité du réseau** La communication de données entre les sessions de travail de l'AI Vaud et le data center est sécurisé selon des protocoles mis en place et gérés par le Prestataire. Cette sécurité est activée, quel que soit le matériel professionnel ou privé utilisé pour se connecter à la session (ordinateur portable, tablette, etc.). En dehors du réseau mis en place pour l'échange de données avec le data center, il n'existe aucune sécurité absolue, en particulier au niveau de l'utilisation d'Internet et de l'envoi de messages non cryptés. En cas de problème, aucun organisme n'est responsable de l'interception des données (contrairement à la poste ou au téléphone). La responsabilité individuelle d'un·e employé·e de l'AI Vaud est donc engagée. Elle/il n'est pas responsable des courriers concernant des bénéficiaires reçus via la messagerie électronique. Mais si elle/il envoie un courrier électronique non crypté comportant des données sur une personne assurée qui permettent de l'identifier, elle/il sera tenu pour responsable des conséquences en cas de diffusion erronée ou d'interception. > **Il est interdit :** > > * de traiter des données à l'aide d'outils ou de plateformes externes qui ne figurent pas dans le registre des traitements de données de l'AI Vaud. En particulier, la communication de données personnelles vers des outils d'intelligence artificielle est strictement interdite. Il en est de même de toute donnée, document, ou information internes de l'AI Vaud (qui n'est pas de nature publique) en rapport avec des aspects organisationnels ou opérationnels ; > * de communiquer des données personnelles ou confidentielles par messagerie électronique ou support amovible vers un environnement non sécurisé par le Prestataire (par exemple : envoyer des données sur sa messagerie privée, copier des données sur un ordinateur privé). **6.4.2 Utilisation d'Internet** L'accès Internet est ouvert à tous les employé·e·s. L'utilisation d'Internet est réservée, durant le temps de travail, essentiellement aux activités professionnelles et spécifiques de l'AI Vaud. L'accès à des services payants n'est autorisé qu'avec l'aval de la Direction de l'AI Vaud et, le cas échéant, aux conditions qu'elle fixe. L'utilisation d'Internet à des fins privées n'est possible que de façon exceptionnelle selon les conditions définies dans la directive « Activités privées ». **6.4.3 Utilisation des messageries instantanées** > **Il est interdit** d'échanger des données personnelles ou sensibles traitées par l'AI Vaud à l'aide de messageries instantanées publiques (WhatsApp, Telegram, Messenger, etc.). Pour autant qu'aucune notice interne ne l'interdise spécifiquement, l'échange de données est possible à l'aide des messageries instantanées internes de l'AI Vaud (Unify / OpenScape, Teams, etc.). **6.4.4 Utilisation de la messagerie électronique** L'utilisation de la messagerie électronique n'est autorisée en principe qu'à titre professionnel. Dans ce cas, l'envoi d'un message électronique depuis la messagerie professionnelle se fait toujours au titre d'employé·e de l'AI Vaud puisque le destinataire reçoit le message avec des en-têtes de l'AI Vaud. **L'employé·e doit :** * utiliser systématiquement et sans modification la signature électronique officielle définie par l'AI Vaud. L'usage privé de la messagerie professionnelle doit rester exceptionnel et se faire sans la signature officielle au titre d'employé·e de l'AI Vaud. **6.4.5 Communication de données par messagerie électronique** Une erreur de manipulation lors de l'adressage d'un message électronique (erreur de ligne dans le carnet d'adresses, envoi par erreur en copie, etc.) est très vite arrivée. Une fois le message électronique envoyé, il est impossible de rattraper la situation, même avec la fonction de rappel. La journalisation des communications de données permet de tracer les expéditeurs et les destinataires des données et la manière dont les supports ont été transmis. Cela s'avère utile dans des cas d'abus, de mauvaise utilisation ou d'action malencontreuse. L'utilisation des messages électroniques pour la communication des données personnelles ou confidentielles, en particulier lors du traitement des dossiers des bénéficiaires, n'est autorisée qu'aux **trois conditions cumulatives** suivantes : **1. Édition préalable dans Web\@AI** Toute formule officielle relative à un dossier de bénéficiaire, telle que courrier d'information ou de réponse à une demande de renseignements, convocation, lettre avec rappel ou note d'entretien doit être éditée au préalable dans l'application Web\@AI et sauvegardée dans la GED. Cette façon de procéder assure la tenue à jour du dossier électronique du bénéficiaire (journalisation et pièces, production de statistiques). Elle permet aussi de gérer les éventuels rappels, les appels téléphoniques ainsi que la suppléance en cas d'absence de l'employé·e. Avec la messagerie électronique, aucune donnée n'est enregistrée dans l'application. **2. Canal crypté ou contenu anonymisé** Le destinataire doit recevoir le message par le biais d'un canal crypté ou avec un contenu rendu totalement anonyme. L'employé·e doit : * utiliser un canal crypté autorisé (icône « Crypter » dans l'onglet Message du bandeau de la messagerie). La rubrique « Objet » du message n'étant pas cryptée, son contenu doit préalablement être rendu anonyme. La référence à un NSS dans cette rubrique est tolérée, mais doit être évitée dans la mesure du possible. L'AI Vaud accepte le risque que cela peut présenter au niveau de la protection des données ; * dans le cas contraire, rendre totalement anonyme le contenu de sorte qu'il ne soit pas possible d'identifier le bénéficiaire dans une quelconque partie du message (objet, corps du texte, historique du message en cas de réponse à un message reçu, pièce jointe). **3. Archivage dans le dossier électronique** Toute information reçue ou envoyée par messagerie électronique avec des données pertinentes pour le traitement d'un dossier de bénéficiaire doit figurer dans le dossier électronique de ce dernier avec l'indication de la date d'envoi, l'expéditeur et le destinataire. La marche à suivre est expliquée dans le document « Réception et stockage des courriels concernant des assurés ». **6.4.6 Communication de données à l'aide d'un support physique** Il est essentiel de protéger les supports de données physiques durant leur transport afin d'éviter qu'en cas de perte ou – plus grave – de vol, les données deviennent accessibles. Plus les données contenues sur les supports physiques sont sensibles, plus la communication doit être sécurisée. **L'employé·e doit :** * s'assurer que le destinataire d'un support de données est correctement désigné et peut être authentifié de manière sûre ; * transmettre le support de données de façon sécurisée (toute personne autre que le destinataire désigné ne doit pas pouvoir lire les données transmises) ; * enregistrer une journalisation indiquant la date d'expédition, l'expéditeur, le destinataire, le type de support utilisé et la nature des données transmises. **6.4.7 Communication de données à l'aide d'un stockage distant (Cloud)** L'évolution technologique rend obsolète l'utilisation de supports physiques (CD-ROM, clé USB, etc.) pour la transmission de données sous forme électronique. Le développement de stockages distants (Cloud) permet maintenant la communication de données volumineuses. Toutefois, une telle pratique peut présenter des risques en matière de SIPD, notamment si le Cloud est à l'étranger ou insuffisamment sécurisé. > **Il est interdit** de communiquer des données personnelles via un Cloud mis à disposition par un tiers (transfert par dépôt de fichiers / SwissTransfer, transfert par ftp / FileZilla, etc.). Des exceptions sont possibles pour des communications spécifiques, notamment vers des organes d'exécution des assurances sociales. Ces exceptions doivent être préalablement autorisées par le service Tech et sont enregistrées dans le registre de traitement des données. **L'employé·e doit :** * utiliser les solutions de communication de données mises à disposition par l'AI Vaud. Lorsque cela est techniquement possible, ces outils sont intégrés directement dans les applications métiers. #### 6.5 Suivi des mesures de protection **6.5.1 Journalisations (fichiers journaux)** Il est parfois utile de garder une trace des accès, des communications et de tous les traitements effectués sur les données, tels que l'introduction de nouvelles données, leur modification ou destruction. En conservant une trace de ces différentes actions, il est possible d'effectuer des contrôles et, en cas de problèmes, de remonter à la source d'un incident, d'un accès frauduleux ou d'un traitement non autorisé sur les données. Les journalisations effectuées dans le cadre des activités de l'AI Vaud sont inventoriées dans le registre des traitements de données. **6.5.2 Surveillance et contrôles** Il est admis que, par la remise de la présente directive, le personnel est informé de façon suffisante sur les surveillances effectuées et les possibilités de contrôle. L'art. 26, al. 1 OLT 3 interdit d'utiliser des systèmes de surveillance ou de contrôle destinés à surveiller le comportement des collaboratrices et collaborateurs à leur poste de travail. S'agissant de l'utilisation d'Internet et du courrier électronique au lieu de travail, cela signifie qu'il est interdit de procéder à l'analyse permanente des fichiers journaux nominaux des collaboratrices et collaborateurs à des fins de surveillance des comportements d'utilisation. Tout traitement de données doit être licite (art. 5, al. 1, LPD). Le traitement de données personnelles ne peut être effectué que dans le but indiqué lors de leur collecte (art. 6, LPD). L'art. 7 LPD dit en outre qu'un traitement de données doit être effectué conformément au principe de la proportionnalité. L'AI Vaud procède à la surveillance de ses employé·e·s quant à l'utilisation des TIC, en particulier du Web\@AI, d'Internet et du courrier électronique, qu'à des fins statistiques ou de garantie de la sécurité informatique et de la protection des données, voire en vue de constater des abus, soit un non-respect des lois, directives et règlements applicables. La façon dont l'AI Vaud effectue cette surveillance et les éventuels contrôles subséquents est décrite ci-après. **L'AI Vaud :** * peut demander ponctuellement aux responsables des journalisations, qui figurent dans le registre de traitement des données, des données anonymes, aléatoires et couvrant une durée limitée pour réaliser la surveillance décrite au paragraphe précédent ; * peut demander aux responsables des journalisations, qui figurent dans le registre de traitement des données, des données concernant une personne déterminée et analyser ces données que si des abus ont été constatés lors de la surveillance anonyme ou en cas de soupçon fondé d'un abus ; * n'effectue pas de contrôles systématiques ; * ne consulte pas le contenu des messages électroniques privés, c'est-à-dire des messages dont l'objet comporte expressément la mention « Privé » ou « Personnel » ou qui sont archivés dans un dossier avec l'une de ces mentions ; * ne procède pas à la surveillance des conversations téléphoniques privées et professionnelles, que ce soit sous forme d'écoute ou d'enregistrement. En raison du caractère sensible des données, l'AI Vaud effectue ponctuellement une surveillance des consultations des dossiers des bénéficiaires par les employé·e·s. Cette surveillance, de par sa nature, n'est pas anonyme. Elle est réalisée uniquement par un membre désigné de la Direction de l'AI Vaud ou une personne désignée par cette Direction. Afin de prévenir une fuite de données de bénéficiaires consécutive par exemple à un piratage ou une erreur humaine, le GILAI détecte et analyse tout contenu digital avec des numéros NSS sortant de l'environnement sécurisé de l'AI Vaud. Les cas pouvant présenter des risques font l'objet d'un traitement spécifique par l'AI Vaud (blocage partiel ou complet, recherche de l'origine, prise de mesures adaptées pour maintenir voire renforcer la sécurité de l'information). Les éléments sont stockés durant **10 ans**. En cas de soupçon de comportement illicite, les dispositions légales en matière de surveillance des télécommunications, des écoutes ou des enregistrements téléphoniques aux fins d'obtention de preuves sont réservées. Dans ce cas, l'AI Vaud fera intervenir l'autorité judiciaire compétente. Le personnel du Prestataire est soumis à la protection des données, à l'exception de requêtes formulées par l'AI Vaud en cas d'abus ou de soupçon fondé d'un abus. Sur ordre de la Direction de l'AI Vaud, une personne désignée peut demander des données de contrôle au Prestataire, être amenée à procéder à des analyses sur une personne déterminée et à en communiquer les résultats à la Direction de l'AI Vaud. Elle est compétente pour décider du contrôle visant à garantir la sécurité et à établir des statistiques à des fins de gestion du réseau. *** ### 7. Perte, vol ou autre infraction pouvant porter préjudice à l'AI Vaud **L'employé·e doit :** * annoncer immédiatement à la Direction de l'AI Vaud tout cas de perte, vol ou autre infraction dont elle/il a connaissance et pouvant porter préjudice à l'AI Vaud, en particulier au niveau des moyens d'accès et d'authentification, des appareils et des supports de données ; * annoncer immédiatement au service Tech toute violation ou tentative de violation de la sécurité des données (phishing, appel téléphonique suspect, etc.) ; * annoncer immédiatement à la sécurité toute tentative d'intrusion dans les locaux. La Direction de l'AI Vaud prendra alors toutes les mesures de protection jugées nécessaires pour assurer la protection des données au sens de la présente directive. *** ### 8. Les sanctions disciplinaires Tout manquement au présent règlement sera considéré comme une faute et pourra faire l'objet d'une correspondance de l'employeur ou de sanctions disciplinaires prévues par la Lpers (avertissement, licenciement ordinaire, licenciement pour justes motifs). L'AI Vaud est compétent pour prendre des mesures disciplinaires prévues par la Lpers. En cas d'abus mineurs, sans dérangement technique, l'AI Vaud peut préférer informer l'ensemble du personnel de l'abus constaté et de la réalisation d'analyses portant sur des personnes déterminées, en cas de récidive. La limitation de l'utilisation des TIC, en particulier l'accès à des sites Internet ou leur blocage, pourrait être envisagée, si cela n'entrave pas l'activité professionnelle. Si l'AI Vaud a des soupçons concrets qu'un acte illicite a été commis lors de l'utilisation des TIC, en particulier avec Internet ou à l'aide du courrier électronique, il est autorisé à sauvegarder les moyens de preuve nécessaires. L'AI Vaud peut porter plainte contre inconnu en cas de contrôle anonyme ou contre une personne identifiée si les conditions d'une analyse par rapport à celle-ci sont remplies. La responsabilité des dommages causés illicitement est régie par l'art. 78 LPGA et par la LRCF. *** ## Annexes ### Abréviations | Sigle | Signification | | ------------- | ------------------------------------------------------------------------------------------------ | | **AIPD** | Analyse d'impact relative à la protection des données | | **BLV** | Bases légales vaudoises (anciennement Recueil systématique vaudois, RSV) | | **DSI / DPD** | Délégué à la sécurité de l'information et à la protection des données | | **FTP** | File Transfer Protocol | | **GT SIPD** | Groupe de travail permanent consacré à la SIPD | | **IA** | Intelligence artificielle | | **RA** | Responsable d'application | | **RS** | Recueil systématique du droit fédéral | | **SCC** | En anglais « Standard Contractual Clauses » (de la Commission européenne) | | **SIPD** | Sécurité de l'information (SI) et protection des données (PD) | | **SSO** | En anglais « Single Sign-On » ou authentification unique | | **TIC** | Technologies de l'information et de la communication | | **TOM** | En anglais « Technical and Organisational Measures » ou mesures techniques et organisationnelles | | **VPN** | En anglais « Virtual Private Network » ou réseau virtuel privé | ### Glossaire **AI Vaud** Sauf précision particulière, l'AI Vaud désigne l'entité juridique employant les collaboratrices et collaborateurs de l'Office de l'assurance-invalidité pour le canton de Vaud et du Service médical régional Suisse Romande (SMR SR). Lorsqu'il est question des données (de l'AI Vaud), cela fait référence à toutes les données traitées par des employé·e·s de l'AI Vaud (entité juridique), que cela soit dans le cadre de l'exécution de la LAI ou d'une activité de sous-traitance pour un tiers (par exemple AMINH, IPJAD). **Authentification** L'authentification permet de vérifier qu'un individu est bien celui qu'il prétend être. L'authentification se fait à l'aide de preuves que l'individu présente au système. Ces preuves sont de trois types. Il peut s'agir d'un objet que l'individu possède (un badge par exemple) ou d'une information que l'individu connaît (un mot de passe par exemple) ou alors d'une propriété qui caractérise l'individu (une propriété comportementale, telle que la signature, ou une propriété morphologique telle qu'une empreinte digitale). On parle d'authentification forte quand au moins deux modalités sont combinées (badge et mot de passe par exemple). Ainsi, l'authentification est utilisée pour permettre aux utilisateurs de pénétrer dans les locaux et d'accéder aux données en se connectant à leur ordinateur. **Authentification unique** Méthode permettant à un utilisateur d'accéder à plusieurs applications informatiques (ou sites web sécurisés) en ne procédant qu'à une seule authentification. Aussi appelé « Single Sign-On » ou SSO en anglais. **Communication** On entend par communication le fait de transmettre des données personnelles ou de les rendre accessibles. Ainsi, une communication peut avoir lieu par l'octroi d'un accès en ligne aux données personnelles. **Data center** Désigne l'infrastructure hautement sécurisée du Prestataire pour l'hébergement de données, composée notamment d'un réseau d'ordinateurs centraux, de serveurs, d'espaces de stockage numérique, d'équipements de réseaux et de télécommunication. Termes synonymes : centre informatique, centre de données. **Données personnelles** Toutes les informations qui se rapportent à une personne identifiée ou identifiable sont des données personnelles. **Données sensibles** Les données sensibles sont des données personnelles se rapportant aux opinions ou activités religieuses, philosophiques, politiques ou syndicales, ainsi qu'à une origine ethnique, à la sphère intime de la personne, en particulier à son état psychique, mental ou physique, aux mesures et aides individuelles découlant des législations sociales, aux poursuites ou sanctions pénales et administratives. Les données contenant des informations sur l'octroi de prestations ou l'état de santé sont donc des données sensibles. **Fichier** Le droit suisse emploie le terme de fichier pour désigner une collection de données personnelles qui est organisée. La LPrD qualifie de fichier « tout ensemble structuré de données personnelles accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ». **File Transfer Protocol** File Transfer Protocol (FTP) est un protocole standard pour la transmission de fichiers entre ordinateurs sur Internet par le biais de connexions TCP/IP (Transmission Control Protocol / Internet Protocol). Il existe des versions sécurisées désignées par les acronymes FTPS, SFTP ou SSH. **Identification** L'identification permet de connaître l'identité d'un individu, de le distinguer parmi d'autres, de reconnaître celui qui a introduit, modifié ou détruit des données dans le système à un moment donné. **Intelligence artificielle** Dispositif conçu pour imiter, puis dépasser les capacités cognitives d'un être humain, et utilisant une variété de technologies telles que l'apprentissage automatique et la compréhension du langage naturel. Cela inclut notamment les chatbots (agents conversationnels), les assistants virtuels, les agents AI, les outils d'aide à la rédaction et de traduction. **Journalisation** En informatique, la journalisation désigne un processus permettant de protéger le système de fichiers en cas de coupure d'alimentation ou de pannes matérielles. Les modifications apportées aux fichiers stockés sur ce dernier sont en permanence enregistrées dans le journal. La journalisation peut aussi désigner l'enregistrement, manuel ou automatique, d'une action (par exemple la journalisation Web\@AI). **Personne concernée** La personne physique dont les données personnelles font l'objet d'un traitement, par ex. la personne assurée ou l'employé·e. **Prestataire** Le Prestataire est l'entreprise mandatée par l'association GILAI pour gérer l'informatique de l'AI Vaud et les data centers contenant ses données. **Profilage** Toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique. **Protection des données** Ensemble de dispositifs juridiques et techniques visant à protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l'objet d'un traitement (légalité, finalité, proportionnalité, transparence, exactitude, sécurité, conservation, consentement). **Responsable du traitement** La ou le « responsable du traitement » est la personne morale, l'autorité, l'établissement ou un autre organe qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles. Si l'organe d'exécution traite des données personnelles pour l'accomplissement de sa mission légale ou traite les données de ses employé·e·s qui sont nécessaires à l'exécution du contrat de travail, il est considéré comme « responsable du traitement » au sens du droit sur la protection des données. **Sécurité de l'information** Ensemble de normes, directives et pratiques visant à protéger la confidentialité, l'intégrité et la disponibilité de l'information. **Sous-traitant** La personne privée ou l'organe public qui traite des données personnelles pour le compte du responsable du traitement. Si un organe d'exécution enregistre par exemple ses données dans le centre de données d'un prestataire informatique, celui-ci est considéré comme un sous-traitant. **Système d'information** Ensemble organisé de ressources qui permet de collecter, stocker, traiter et distribuer de l'information. **Technologies de l'information et de la communication** Les notions de technologies de l'information et de la communication (TIC) regroupent les techniques principalement de l'informatique, de l'audiovisuel, des multimédias, d'Internet et des télécommunications qui permettent aux utilisateurs de communiquer, d'accéder aux sources d'information, de stocker, de manipuler, de produire et de transmettre l'information sous toutes les formes : texte, musique, son, image, vidéo et interface graphique interactive. En particulier, la messagerie électronique, les tablettes électroniques, les ordinateurs portables, les téléphones fixes et mobiles et les applications informatiques font partie des TIC. **Traitement de données** Toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données. Exemples de traitement de données personnelles : * **Collecte** : sondage, questionnaire, formulaire en ligne, entretiens, observation de suivi de l'activité en ligne, échange de données (interne ou externe). * **Utilisation** : enregistrement, stockage, consultation, mise à jour, transmission, archivage. * **Suppression** : effacement, destruction, portage, anonymisation. ### Bases légales #### Généralités * Les bases légales **fédérales**, référencées dans le recueil systématique (RS), sont disponibles sur le site : . * Les bases légales **vaudoises**, référencées dans la base législative vaudoise (BLV, anciennement RSV), sont disponibles sur le site : . * Les bases légales **européennes**, référencées par l'identifiant européen de législation (ELI), sont disponibles sur le site : . #### Engagements et devoirs de l'employé·e * Loi sur le personnel de l'État de Vaud (LPers-VD) du 12 novembre 2001 (BLV 172.31), art. 50 al. 1 et 2. #### Sécurité de l'information et Protection des données (SIPD) * Loi sur la protection des données personnelles (LPrD) du 11 septembre 2007 (BLV 172.65)\[^3]. * Règlement d'application de la loi du 11 septembre 2007 sur la protection des données personnelles (RLPrD) du 29 octobre 2008 (BLV 172.65.1)\[^4]. * Loi fédérale sur la protection des données (LPD) du 25 septembre 2020 (RS 235.1). * Ordonnance sur la protection des données (OPDo) du 31 août 2022 (RS 235.11). * Règlement général sur la protection des données (RGPD) du 27 avril 2016 (ELI : ). * Loi fédérale sur la partie générale du droit des assurances sociales (LPGA) du 6 octobre 2000 (état le 1er janvier 2022) (RS 830.1), art. 46. * Directives sur la gestion des dossiers dans les domaines AVS/AI/APG/PC/AfamAgr/Afam (DGD), valable dès le 1er octobre 2022. * Loi sur l'archivage (LArch) du 14 juin 2011 (BLV 432.11). * Règlement d'application de la loi du 14 juin 2011 sur l'archivage (RLArch) du 19 décembre 2011 (BLV 432.11.1). * Directive relative à la sécurité de l'information eAVS/AI – P-16, V00-42 / en cours d'élaboration, 18.04.2022. * Manuel Mise en œuvre systématique de la protection des données dans les organes d'exécution du 1er pilier, eAVS/AI, 19 avril 2023. * Recommandations sur les exigences minimales relatives aux systèmes d'information des organes d'exécution du 1er pilier / des allocations familiales, valable à partir du 1er janvier 2022. * Memento Mise en œuvre de l'organisation de la protection des données dans les organes d'exécution du 1er pilier, V1.0, eAVS/AI, 15.05.2023. * Mémento Mise en œuvre des droits des personnes concernées dans les organes d'exécution du 1er pilier, V1.1, eAVS/AI, 19.05.2023. \[^3]: En cours de révision. \[^4]: En cours de révision. #### Traitement des données * Loi fédérale complétant le Code civil suisse (Livre cinquième : Droit des obligations) du 30 mars 1911 (état le 9 février 2023) (RS 220), art. 328b\[^5]. * Loi fédérale sur l'assurance-invalidité (LAI) du 19 juin 1959 (RS 831.20), art. 66. * Loi fédérale sur l'assurance-vieillesse et survivants (LAVS) du 20 décembre 1946 (RS 831.10), art. 49b\[^6]. \[^5]: Modifié avec l'entrée en vigueur de la nLPD au 1er septembre 2023. \[^6]: Art. 49b, nouvelle formulation et nouvel alinéa 2, entrée en vigueur prévue le 1er septembre 2023. #### Obligation de garder le secret, communication et consultation des données * Loi fédérale sur la partie générale du droit des assurances sociales (LPGA) du 6 octobre 2000 (état le 1er janvier 2022) (RS 830.1), art. 32, 33, 47 et 48. * Ordonnance sur la partie générale du droit des assurances sociales (OPGA) du 11 septembre 2002 (RS 830.11), art. 8b, 8c et 9. * Circulaire sur l'obligation de garder le secret et sur la communication des données dans le domaine de l'AVS/AI/APG/PC/AFA/AF (COGSC), valable dès le 1er janvier 2014. * Loi fédérale sur l'assurance-invalidité (LAI) du 19 juin 1959 (RS 831.20), art. 66a, 66c, 68bis. * Loi fédérale sur l'assurance-vieillesse et survivants (LAVS) du 20 décembre 1946 (RS 831.10), art. 50a. * Loi sur le personnel de l'État de Vaud (LPers-VD) du 12 novembre 2001 (BLV 172.31), art. 45. * Règlement d'application de la loi du 12 novembre 2001 sur le personnel de l'État de Vaud (RLPers-VD) du 9 décembre 2002 (BLV 172.31.1), art. 107. #### Surveillance de l'utilisation d'Internet et du courrier électronique au lieu de travail * Ordonnance 3 relative à la loi sur le travail (OLT 3) (Protection de la santé) du 18 août 1993 (RS 822.113), art. 26. #### Responsabilité et sanctions disciplinaires * Code pénal suisse du 21 décembre 1937 (état le 23 janvier 2023), art. 179novies\[^7]. * Loi fédérale sur la partie générale du droit des assurances sociales (LPGA) du 6 octobre 2000 (RS 830.1), art. 78. * Loi fédérale sur la responsabilité de la Confédération, des membres de ses autorités et de ses fonctionnaires (Loi sur la responsabilité, LRCF) du 14 mars 1958 (RS 170.32). \[^7]: Nouvelle formulation avec l'entrée en vigueur de la nLPD. *** ### Références légales #### Loi sur le personnel de l'État de Vaud (LPers-VD) du 12 novembre 2001 (BLV 172.31) **Art. 45 — Accès aux dossiers personnels** > 1. Les collaborateurs disposent du droit de consulter leurs dossiers personnels. > 2. Un règlement définit les modalités de la consultation. **Art. 50 — Engagements et devoirs du collaborateur** > 1. Le collaborateur s'engage à fournir des prestations de qualité. Il accomplit ses tâches dans un souci d'efficacité et de conscience professionnelle. Il travaille dans un esprit d'entraide et de collaboration. > 2. Le collaborateur doit agir, en toutes circonstances, de manière professionnelle et conformément aux intérêts de l'État et du service public, dans le respect des normes en vigueur, des missions et des directives de son supérieur. #### Règlement d'application de la LPers-VD (RLPers-VD) du 9 décembre 2002 (BLV 172.31.1) **Art. 107 — c) Modalités d'accès aux dossiers** > 1. En tout temps, le collaborateur peut demander à consulter son dossier personnel et son dossier technique. > 2. Le dossier est consulté sur place. Le collaborateur peut obtenir copie des documents qui y figurent. #### Loi fédérale sur la partie générale du droit des assurances sociales (LPGA) du 6 octobre 2000 (RS 830.1) **Art. 32 — Assistance administrative** > 1. Les autorités administratives et judiciaires de la Confédération, des cantons, des districts, des circonscriptions et des communes fournissent gratuitement aux organes des assurances sociales, dans des cas particuliers et sur demande écrite et motivée, les données qui leur sont nécessaires pour : > * a. fixer ou modifier des prestations, ou encore en réclamer la restitution ; > * b. prévenir des versements indus ; > * c. fixer et percevoir les cotisations ; > * d. faire valoir une prétention récursoire contre le tiers responsable. > 2. Les organes des assurances sociales se prêtent mutuellement assistance aux mêmes conditions. 2bis. Si les organes d'une assurance sociale ou les autorités administratives et judiciaires de la Confédération, des cantons, des districts, des arrondissements ou des communes apprennent dans l'exercice de leurs fonctions qu'un assuré perçoit des prestations indues, ils peuvent en informer les organes des assurances sociales concernées ainsi que ceux des institutions de prévoyance touchées. > 3. Les organismes visés à l'art. 75a se communiquent les données nécessaires pour accomplir les tâches qui leur sont assignées en vertu de l'annexe II de l'Accord du 21 juin 1999 entre la Confédération suisse, d'une part, et la Communauté européenne et ses États membres, d'autre part, sur la libre circulation des personnes (accord sur la libre circulation des personnes) et d'autres traités internationaux en matière de sécurité sociale. **Art. 33 — Obligation de garder le secret** > Les personnes qui participent à l'application des lois sur les assurances sociales ainsi qu'à son contrôle ou à sa surveillance sont tenues de garder le secret à l'égard des tiers. **Art. 46 — Gestion des documents** > Lors de chaque procédure relevant des assurances sociales, l'assureur enregistre de manière systématique tous les documents qui peuvent être déterminants. **Art. 47 — Consultation du dossier** > 1. Ont le droit de consulter le dossier, dans la mesure où les intérêts privés prépondérants sont sauvegardés : > * a. l'assuré, pour les données qui le concernent ; > * b. les parties, s'agissant des données qui leur sont nécessaires pour exercer un droit ou remplir une obligation qui découle d'une loi sur les assurances sociales ou pour faire valoir un moyen de droit contre une décision fondée sur cette même loi ; > * c. les autorités habilitées à statuer sur les recours contre des décisions fondées sur une loi sur les assurances sociales, pour les données nécessaires à l'accomplissement de cette tâche ; > * d. le tiers responsable et son assureur, pour les données qui leur sont nécessaires pour se déterminer sur une prétention récursoire de l'assurance sociale concernée. > 2. S'il s'agit de données sur la santé dont la communication pourrait entraîner une atteinte à la santé de la personne autorisée à consulter le dossier, celle-ci peut être tenue de désigner un médecin qui les lui communiquera. **Art. 48 — Prise en considération de pièces tenues secrètes** > Une pièce dont la consultation a été refusée à une partie ne peut être utilisée à son désavantage que si l'assureur lui en a communiqué, oralement ou par écrit, le contenu essentiel se rapportant à l'affaire et lui a donné en outre l'occasion de s'exprimer et de fournir des contre-preuves. #### Ordonnance sur la partie générale du droit des assurances sociales (OPGA) du 11 septembre 2002 (RS 830.11) **Art. 8b — Forme de la consultation du dossier** > 1. L'assureur peut subordonner la consultation du dossier à une demande écrite. > 2. La consultation du dossier a lieu en principe au siège de l'assureur ou de ses organes d'exécution. Sur demande du requérant, l'assureur peut lui fournir les copies des pièces du dossier. Sont réservés les art. 47, al. 2, LPGA et 8, al. 5, de la loi fédérale du 19 juin 1992 sur la protection des données. > 3. L'assureur doit remettre pour consultation les pièces du dossier ou des copies de celles-ci : > * a. aux autorités ; > * b. aux autres assureurs, ainsi qu'aux personnes habilitées à représenter les parties devant les tribunaux au sens de l'art. 2 de la loi du 23 juin 2000 sur la libre circulation des avocats. **Art. 8c — Consultation du matériel recueilli lors d'une observation** > 1. Si l'assureur informe l'assuré de vive voix dans ses locaux de l'observation qui a été réalisée, il présente à celui-ci l'intégralité du matériel recueilli et lui indique qu'il peut en demander la copie. > 2. Si l'assureur informe l'assuré de l'observation par écrit, il lui offre la possibilité de consulter l'intégralité du matériel recueilli dans ses locaux. Il lui indique qu'il peut en demander la copie. **Art. 9 — Frais de consultation du dossier** > 1. La consultation du dossier est en principe gratuite. > 2. Un émolument calculé conformément à l'ordonnance du 10 septembre 1969 sur les frais et indemnités en procédure administrative peut être perçu si la consultation du dossier occasionne un volume de travail particulièrement important. Est réservé l'art. 2 de l'ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données. #### Loi fédérale sur l'assurance-invalidité (LAI) du 19 juin 1959 (RS 831.20) **Art. 66 — Dispositions administratives de la LAVS** > À moins que la présente loi n'en dispose autrement, les dispositions de la LAVS concernant les systèmes d'information, le traitement de données personnelles, les employeurs, les caisses de compensation, le règlement des comptes et des paiements, la comptabilité, la révision des caisses et les contrôles des employeurs, la couverture des frais d'administration, la prise en charge des coûts et des taxes postales, la Centrale de compensation et le numéro AVS sont applicables par analogie. La responsabilité pour les dommages est régie par l'art. 78 LPGA et, par analogie, par les art. 52, 70 et 71a LAVS. **Art. 66a — Communication de données** > 1. Dans la mesure où aucun intérêt privé prépondérant ne s'y oppose, les organes chargés d'appliquer la présente loi ou d'en contrôler ou surveiller l'application peuvent communiquer des données, en dérogation à l'obligation de garder le secret selon l'art. 33 LPGA : > * a. aux autorités fiscales, lorsqu'elles se rapportent au versement des rentes de l'AI et qu'elles sont nécessaires à l'application de lois fiscales ; > * b. aux autorités chargées d'appliquer la loi fédérale du 12 juin 1959 sur la taxe d'exemption de l'obligation de servir, conformément à l'art. 24 de ladite loi ; > * c. au Service de renseignement de la Confédération (SRC) ou aux organes de sûreté des cantons à son intention, lorsqu'il existe une menace concrète pour la sécurité intérieure ou extérieure au sens de l'art. 19, al. 2, de la loi fédérale du 25 septembre 2015 sur le renseignement ; > * cbis. aux médecins traitants, si les renseignements et documents transmis servent à déterminer les mesures de réadaptation appropriées ; l'échange de données peut se faire oralement selon les cas ; > * d. à la Centrale de compensation (art. 71 LAVS), lorsque des données médicales sont requises pour la saisie et le traitement de demandes de prestations et pour la transmission de celles-ci à l'étranger en vertu d'accords internationaux. > 2. Au surplus, l'art. 50a LAVS, y compris ses dérogations à la LPGA, est applicable par analogie. > 3. L'assurance-invalidité met à la disposition de la Caisse nationale suisse d'assurance en cas d'accidents les données personnelles anonymisées nécessaires à l'analyse des risques d'accident des personnes désignées à l'art. 1a, al. 1, let. c, LAA. **Art. 66c — Capacité à conduire un véhicule motorisé** > 1. En cas de doute sur les capacités physiques ou psychiques de l'assuré à conduire un véhicule motorisé ou un bateau ou à exercer un service nautique à bord d'un bateau en toute sécurité, l'office AI peut signaler l'assuré à l'autorité cantonale compétente (art. 22 de la LF du 19 déc. 1958 sur la circulation routière et 17b, al. 4, de la LF du 3 oct. 1975 sur la navigation intérieure). > 2. L'office AI informe l'assuré du fait qu'elle l'a signalé à l'autorité compétente. > 3. L'office AI remet, au cas par cas et sur demande, les documents correspondants à l'autorité cantonale. **Art. 68bis — Formes de collaboration interinstitutionnelle** > 1. Afin de faciliter, pour les assurés qui ont fait l'objet d'une communication en vue d'une détection précoce ou qui ont déposé une demande à l'AI pour faire valoir leur droit aux prestations et dont la capacité de gain est en cours d'évaluation, l'accès aux mesures de réadaptation prévues par l'assurance-invalidité, par l'assurance-chômage et par les cantons, les offices AI collaborent étroitement avec : > * a. les assureurs et les organes d'exécution des assurances sociales ; > * b. les entreprises d'assurance soumises à la LSA ; > * c. les institutions de prévoyance professionnelle soumises à la loi du 17 décembre 1993 sur le libre passage ; > * d. les organes d'exécution cantonaux chargés de favoriser la réadaptation professionnelle ; > * e. les organes d'exécution des lois cantonales relatives à l'aide sociale ; > * ebis. les organes d'exécution publics et privés de la législation sur l'asile, sur les étrangers et sur l'intégration ; > * f. d'autres institutions publiques ou privées importantes pour la réadaptation des assurés. 1bis. L'assurance-invalidité collabore avec les instances cantonales chargées du soutien à l'insertion professionnelle des jeunes. Elle peut en outre participer au financement des instances cantonales chargées de la coordination des mesures de soutien : > * a. si ces instances cantonales prennent en charge les jeunes présentant une problématique multiple, et > * b. si une convention règle la collaboration entre ces instances cantonales et l'office AI ainsi que la participation financière de l'assurance. 1ter. Pour les mineurs dès l'âge de 13 ans et les jeunes adultes jusqu'à ce qu'ils atteignent l'âge de 25 ans qui sont menacés d'invalidité et qui ont déposé une demande de prestations de l'assurance, les offices AI peuvent participer, sur la base d'une convention avec les instances cantonales compétentes prévues à l'al. 1, let. d, aux frais des mesures préparant à une formation professionnelle initiale au sens de l'art. 16, al. 1. 1quater. L'assurance-invalidité prend à sa charge un tiers au maximum des coûts par canton visés à l'al. 1bis et des coûts par mesure visés à l'al. 1ter. Le Conseil fédéral peut fixer le plafond de ces contributions et en subordonner l'octroi à d'autres conditions ou charges. Il peut attribuer à l'OFAS la compétence de régler les exigences minimales que les conventions doivent remplir. > 2. Les offices AI ainsi que les assureurs et les organes d'application des assurances sociales sont mutuellement déliés de l'obligation de garder le secret (art. 33 LPGA), aux conditions suivantes : > * a. la loi applicable prévoit une base légale déliant les assureurs et les organes d'exécution des assurances sociales de cette obligation ; > * b. aucun intérêt privé prépondérant ne s'y oppose ; > * c. les renseignements et documents transmis servent : > * soit à déterminer les mesures de réadaptation appropriées pour la personne concernée ; > * soit à clarifier les prétentions de la personne concernée envers les assurances sociales. > 3. L'obligation pour les offices AI de garder le secret est également levée, aux conditions de l'al. 2, let. b et c, à l'égard des institutions et des organes d'exécution cantonaux visés aux al. 1, let. b à f, et 1bis, pour autant que la loi applicable prévoie une base légale déliant les institutions et organes d'exécution de cette obligation et qu'ils accordent la réciprocité aux offices AI. > 4. En dérogation à l'art. 32 LPGA et à l'art. 50a, al. 1, LAVS, l'échange de données au sens des al. 2 et 3 peut aussi se faire oralement selon les cas. La personne concernée doit être informée subséquemment de l'échange de données et de son contenu. > 5. Lorsqu'un office AI rend une décision qui touche le domaine des prestations d'une institution ou d'un organe d'exécution cantonal visés aux al. 1, let. b à f, et 1bis, il est tenu de lui remettre une copie de la décision. #### Loi fédérale sur l'assurance-vieillesse et survivants (LAVS) du 20 décembre 1946 (RS 831.10) **Art. 49b — Traitement de données personnelles** > 1. Les organes chargés d'appliquer la présente loi ou d'en contrôler ou surveiller l'exécution sont habilités à traiter ou à faire traiter les données personnelles, y compris les données sensibles, qui leur sont nécessaires pour accomplir les tâches qui leur sont assignées par la présente loi ou en vertu d'accords internationaux, notamment pour : > * a. calculer et percevoir les cotisations ; > * b. établir le droit aux prestations, les calculer, les allouer et les coordonner avec celles d'autres assurances sociales ; > * c. établir le droit à des subventions, les calculer, les verser et en contrôler l'usage ; > * d. faire valoir une prétention récursoire contre le tiers responsable ; > * e. surveiller l'exécution de la présente loi ; > * f. établir des statistiques ; > * g. attribuer ou vérifier le numéro d'assuré AVS (numéro AVS). > 2. Pour accomplir ces tâches, ils sont en outre habilités à traiter ou à faire traiter des données personnelles, notamment des données permettant d'évaluer la santé, la gravité de l'affection physique ou psychique, les besoins et la situation économique de la personne concernée. **Art. 50a — Communication de données** > 1. Dans la mesure où aucun intérêt privé prépondérant ne s'y oppose, les organes chargés d'appliquer la présente loi ou d'en contrôler ou surveiller l'application peuvent communiquer des données, en dérogation à l'art. 33 LPGA : > * a. à d'autres organes chargés d'appliquer la présente loi ou d'en contrôler ou surveiller l'exécution, lorsqu'elles sont nécessaires à l'accomplissement des tâches que leur assigne la présente loi ; > * b. aux organes d'une autre assurance sociale, lorsque, en dérogation à l'art. 32, al. 2, LPGA, l'obligation de les communiquer résulte d'une loi fédérale ; > * bbis. aux organes d'une autre assurance sociale et d'autres services ou institutions habilités à utiliser le numéro AVS, si ces données sont nécessaires à l'attribution ou à la vérification de ce numéro ; > * bter. aux services chargés de l'exploitation de la banque de données centrale pour les actes de l'état civil ou de la gestion du système d'information commun aux domaines des étrangers et de l'asile, si ces données sont nécessaires à l'attribution ou à la vérification du numéro AVS ; > * c. aux organes de la statistique fédérale, conformément à la loi du 9 octobre 1992 sur la statistique fédérale ; > * cbis. aux registres cantonaux des tumeurs et au registre du cancer de l'enfant conformément à la loi fédérale du 18 mars 2016 sur l'enregistrement des maladies oncologiques ; > * d. aux autorités d'instruction pénale, lorsqu'il s'agit de dénoncer ou de prévenir un crime ; > * dbis. au Service de renseignement de la Confédération (SRC) ou aux organes de sûreté des cantons à son intention, lorsqu'il existe une menace concrète pour la sûreté intérieure ou extérieure au sens de l'art. 19, al. 2, de la loi fédérale du 25 septembre 2015 sur le renseignement ; > * e. dans des cas d'espèce et sur demande écrite et motivée : > * aux autorités compétentes en matière d'aide sociale, lorsqu'elles leur sont nécessaires pour fixer ou modifier des prestations, en exiger la restitution ou prévenir des versements indus ; > * aux tribunaux civils, lorsqu'elles leur sont nécessaires pour régler un litige relevant du droit de la famille ou des successions ; > * aux tribunaux pénaux et aux organes d'instruction pénale, lorsqu'elles leur sont nécessaires pour établir les faits en cas de crime ou de délit ; > * aux offices des poursuites, conformément aux art. 91, 163 et 222 de la loi fédérale du 11 avril 1889 sur la poursuite pour dettes et la faillite ; > * aux autorités fiscales, lorsqu'elles leur sont nécessaires pour appliquer les lois fiscales ; > * aux autorités de protection de l'enfant et de l'adulte visées à l'art. 448, al. 4, CC ; > * aux autorités migratoires visées à l'art. 97, al. 1, de la loi fédérale du 16 décembre 2005 sur les étrangers et l'intégration. > 2. Les données nécessaires à la lutte contre le travail au noir peuvent être communiquées conformément aux art. 11 et 12 de la loi du 17 juin 2005 sur le travail au noir. > 3. En dérogation à l'art. 33 LPGA, les données d'intérêt général qui se rapportent à l'application de la présente loi peuvent être publiées. L'anonymat des assurés doit être garanti. > 4. Dans les autres cas, des données peuvent être communiquées à des tiers, en dérogation à l'art. 33 LPGA : > * a. s'agissant de données non personnelles, lorsqu'un intérêt prépondérant le justifie ; > * b. s'agissant de données personnelles, lorsque la personne concernée y a, en l'espèce, consenti par écrit ou, s'il n'est pas possible d'obtenir son consentement, lorsque les circonstances permettent de présumer qu'il en va de l'intérêt de l'assuré. > 5. Seules les données qui sont nécessaires au but en question peuvent être communiquées. > 6. Le Conseil fédéral règle les modalités de la communication et l'information de la personne concernée. > 7. Les données sont communiquées en principe par écrit et gratuitement. Le Conseil fédéral peut prévoir la perception d'émoluments pour les cas nécessitant des travaux particulièrement importants. #### Code des obligations (CO) du 30 mars 1911 (RS 220) — Titre dixième : Du contrat de travail **Art. 328b** > L'employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail. En outre, les dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données sont applicables. #### Ordonnance 3 relative à la loi sur le travail (OLT 3) du 18 août 1993 (RS 822.113) **Art. 26** > 1. Il est interdit d'utiliser des systèmes de surveillance ou de contrôle destinés à surveiller le comportement des travailleurs à leur poste de travail. > 2. Lorsque des systèmes de surveillance ou de contrôle sont nécessaires pour d'autres raisons, ils doivent notamment être conçus et disposés de façon à ne pas porter atteinte à la santé et à la liberté de mouvement des travailleurs. #### Code pénal suisse du 21 décembre 1937 (RS 311.0) **Art. 179novies — Soustraction de données personnelles** > Celui qui aura soustrait des données personnelles sensibles qui ne sont pas accessibles à tout un chacun sera, sur plainte, puni d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire. *** ### Responsabilités et activités détaillées du DSI / DPD #### Rôle de Délégué à la sécurité de l'information (DSI)\[^8] * Coordonne les aspects de la sécurité de l'information au sein de l'AI Vaud en collaboration avec le GILAI, notamment lors de la gestion d'incidents de sécurité de l'information. * Est interlocuteur vis-à-vis de l'OFAS pour les incidents de sécurité de l'information pour lesquels les lignes directrices en matière de sécurité de l'information émises par les organes d'exécution prévoient l'information de l'OFAS. * Encourage une culture de la sécurité de l'information au sein de l'AI Vaud en réalisant des formations et des campagnes de sensibilisation et en mettant la documentation et les processus nécessaires à la disposition des employé·e·s. * Informe régulièrement la Direction sur l'état actuel des aspects de la sécurité de l'information au sein de l'AI Vaud. * Adresse des recommandations à la Direction de l'AI Vaud. * Recueille, traite et analyse les informations qualitatives et quantitatives nécessaires au SMSI (enquêtes, audits, statistiques, etc.). * Coordonne les démarches en matière d'audits annuels externes de sécurité de l'information de l'AI Vaud ainsi que d'éventuels prestataires. \[^8]: D'après « Directive relative à la sécurité de l'information » eAVS/AI-P16, V00-42. #### Rôle de Délégué à la protection des données (DPD)\[^9] * Rapporte directement à la Direction de l'AI Vaud avec qui les activités sont coordonnées pour assurer au DPD : * L'indépendance nécessaire et lui éviter tout conflit d'intérêt. En particulier, la Direction de l'AI Vaud ne prendra aucune sanction à l'encontre du DPD à la suite de mesures correctives proposées ou des recommandations faites par le DPD. * Les ressources nécessaires en temps pour accomplir les tâches qui lui sont confiées. * L'accès à tous les renseignements nécessaires, aux registres des activités de traitement, aux documents et données personnelles ainsi qu'aux systèmes informatiques afin qu'il puisse exercer son rôle. * Qu'il soit informé des violations de la sécurité des données. Les employé·e·s doivent être instruits qu'ils seront tenus de permettre au DPD d'accéder aux informations et aux traitements des données, et de collaborer avec ce dernier. * Est l'interlocuteur des personnes concernées pour les questions liées au traitement des données personnelles et répond à leurs demandes lorsque les processus internes ne le définissent pas autrement. * Dirige la commission SIPD conformément à la Directive sur la protection des données et exerce les tâches qui y sont liées. * Conseille l'AI Vaud sur les questions de protection des données. * Met à disposition des modèles et des processus pour la mise en œuvre systématique de la protection des données. * Élabore des documents concernant la protection des données à l'attention de la Direction. * Évalue les projets et mesures de l'AI Vaud qui concernent la protection des données. * Contrôle le traitement de données et recommande des mesures correctives. * Établit des rapports périodiques pour la Direction. * Forme les collaboratrices et collaborateurs à tous les échelons. * Coordonne et conseille les responsables de départements pour l'exécution des analyses d'impact relatives à la protection des données. * Remet les documents pour l'exécution de contrôles préalables auprès de l'autorité de surveillance cantonale de protection des données. * Coordonne les clarifications et annonces des violations de la sécurité des données auprès de l'autorité de surveillance de protection des données. > Le DPD a une fonction de **conseil et de contrôle**. Il ne décide pas des traitements des données et n'a pas de pouvoir d'instruction en ce sens. La responsabilité à l'égard des violations de la protection des données est régie par les dispositions légales applicables. \[^9]: D'après « Mise en œuvre de l'organisation de la protection des données dans les organes d'exécution du 1er pilier », eAVS/AI, V 1.0. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://smedai.aivd.ch/ressources-humaines/informations/protection-des-donnees.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.