Mesures de sécurité de protection des données dans le secteur des caisses de pension suisses

Dans un monde de plus en plus numérique, la protection des données sensibles est essentielle. Les caisses de pension, en particulier, ont l’immense responsabilité de préserver la confiance de leurs assurés – un défi d’autant plus complexe lorsque la caisse de pension est intégrée dans l’environnement informatique d’un grand groupe d’entreprises.

Le Tribunal administratif fédéral suisse a clairement statué, dans son arrêt du 10 avril 2012 (A-4467/2011) : les institutions de prévoyance ne peuvent transmettre aux employeurs que les données personnelles objectivement nécessaires à l’exécution des tâches prévues dans le contrat de travail ou dans le cadre de la prévoyance professionnelle. Tout accès non autorisé aux données personnelles des assurés ou des retraités constitue une violation du principe de sécurité des données. Il est donc impératif d’assurer une séparation entre l’employeur et la caisse de pension non seulement sur le plan technique, mais aussi contractuel et organisationnel. Les systèmes informatiques partagés ne doivent en aucun cas permettre un accès non autorisé de l’employeur aux données personnelles des assurés. Les services informatiques doivent rester hermétiques à toute tentative d’accès indu aux données par l’employeur.

Lorsque la caisse de pension est intégrée à l’infrastructure informatique et à l’organisation d’un groupe d’entreprises, les mesures contractuelles suivantes peuvent contribuer à assurer la séparation et la protection des données :

  1. Des règles claires pour les employeurs et les sociétés de services informatiques du groupe : les accords devraient contenir des obligations strictes de confidentialité et de traitement des données uniquement à des fins déterminées. L’accès à ces données ne peut être autorisé que dans le cadre d’objectifs clairement définis contractuellement.

  2. Contrats de sous-traitance avec les prestataires externes : Ces contrats doivent garantir que le traitement des données n’est effectué que sur instruction de la caisse de pension. Si les prestataires font partie du même groupe d’entreprises, il doit être clairement stipulé que la caisse de pension est la seule instance habilitée à donner des instructions à ces prestataires.

  3. Autorisation en cas de sous-traitance : Si un prestataire souhaite recourir à d’autres sous-traitants, cela ne doit être possible qu’avec l’accord explicite et préalable de la caisse de pension. La transmission de données personnelles à un autre sous-traitant n’est autorisée qu’une fois la validation officielle obtenue.

  4. Restrictions concernant les procurations : Pour garantir la transparence et le contrôle : si une société informatique du groupe reçoit une procuration pour conclure des contrats et accords de traitement des données au nom des sociétés du groupe, des restrictions claires devraient être définies. Ces restrictions doivent assurer que les systèmes de gestion technique de la caisse de pension ne puissent être ni influencés ni utilisés de manière abusive.

  5. Sanctions en cas de violation : Les contrats doivent prévoir des sanctions en cas de non-respect des exigences en matière de protection des données.