LOI n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé
Article 47:
« L'agence régionale de santé est tenue informée par les organismes situés dans son ressort de tout projet concernant l'organisation et le fonctionnement de leurs systèmes d'information. Le directeur général détermine en fonction de la situation sanitaire, pour chaque établissement, les données utiles que celui-ci doit transmettre de façon régulière, et notamment les disponibilités en lits et places. Le directeur général décide également de la fréquence de mise à jour et de transmission des données issues des établissements de soins et médico-sociaux. 
« Les agents de l'agence régionale de santé n'ont accès aux données de santé à caractère personnel que si elles sont strictement nécessaires à l'accomplissement de leurs missions. Ils sont tenus au secret professionnel. Lorsque ces données sont utilisées à des fins d'études, elles ne comportent ni le nom ni le numéro d'inscription au répertoire national d'identification des personnes physiques et des précautions sont prises pour assurer la traçabilité des accès dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. »
VII. - L'article L. 1111-8-1 du code de la santé publique est remplacé par les dispositions suivantes :
« Art. L. 1111-8-1. - Le numéro d'inscription au répertoire national d'identification des personnes physiques est utilisé comme identifiant de santé des personnes pour leur prise en charge à des fins sanitaires et médico-sociales dans les conditions prévues à l'article L. 1110-4. 
« Les données de santé rattachées à l'identifiant de santé sont collectées, transmises et conservées dans le respect du secret professionnel et des référentiels de sécurité et d'interopérabilité mentionnés à l'article L. 1110-4-1.
« Un décret en Conseil d'État pris après avis de la Commission nationale de l'informatique et des libertés fixe les modalités qui autorisent l'utilisation de cet identifiant et qui en empêchent l'utilisation à des fins autres que sanitaires et médico-sociales. »
VIII. - La loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est ainsi modifiée :
1° L'article 8 est ainsi modifié :
a) Au 8° du II, après les mots : « nécessaires à le recherche », sont insérés les mots : « , aux études et évaluations » et au III, les mots : « et X » sont supprimés ;
b) Au III, les mots : « et X » sont supprimés ;
c) Au IV, avant les mots : « au I de l'article 25 », sont insérés les mots : « au V de l'article 22, » ;
2° L'article 22 est complété par un V ainsi rédigé :
« V. - Les traitements de données de santé à caractère personnel mis en œuvre par les organismes ou services chargés d'une mission de service public figurant sur une liste fixée par arrêtés des ministres chargés de la santé et de la sécurité sociale pris après avis de la Commission nationale de l'informatique et des libertés, afin de répondre, en cas de situation d'urgence, à une alerte sanitaire au sens de l'article L. 1413-2 du code de la santé publique, sont soumis au régime de la déclaration préalable prévu par le présent article. Le responsable du traitement rend compte chaque année à la Commission nationale de l'informatique et des libertés des traitements ainsi mis en œuvre. 
« Les conditions dans lesquelles ces traitements peuvent utiliser le numéro d'inscription au répertoire national d'identification des personnes physiques sont définies par décret en Conseil d'État pris après avis de la Commission nationale de l'informatique et des libertés. » ;
3° L'article 27 est complété par un IV ainsi rédigé :
« IV. - Les dispositions du 1° du I et du II du présent article ne sont pas applicables :
« 1° Aux traitements à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, qui sont soumis aux dispositions du chapitre IX ;
« 2° Aux traitements mis en œuvre afin de répondre à une alerte sanitaire, qui sont soumis aux dispositions du V de l'article 22. » ;
4° Le chapitre IX est ainsi modifié : 
a) Le chapitre est intitulé : « Traitements de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé » ;
b) Les articles 53 et 54 sont remplacés par les dispositions suivantes :
« Art. 53. - Les traitements automatisés de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, ainsi que l'évaluation ou l'analyse des pratiques ou des activités de soins ou de prévention, sont soumis aux dispositions de la présente loi à l'exception des articles 23 à 26, 32 et 38.
« Toutefois, les dispositions du présent chapitre ne sont pas applicables :
« 1° Aux traitements de données à caractère personnel ayant pour fin le suivi thérapeutique ou médical individuel des patients ;
« 2° Aux traitements permettant d'effectuer des études à partir des données recueillies en application du 1°, lorsque ces études sont réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif ;
« 3° Aux traitements effectués à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d'un régime de base d'assurance maladie ;
« 4° Aux traitements effectués au sein des établissements de santé par les médecins responsables de l'information médicale dans les conditions prévues au deuxième alinéa de l'article L. 6113-7 du code de la santé publique ;
« 5° Aux traitements effectués par les agences régionales de santé, par l'État et par la personne publique désignée par lui en application du premier alinéa de l'article L. 6113-8 du même code ;
« 6° Aux traitements mis en œuvre par les organismes ou services chargés d'une mission de service public figurant sur une liste fixée par arrêté des ministres chargés de la santé et de la sécurité sociale pris après avis de la Commission nationale de l'informatique et des libertés, afin de répondre à une alerte sanitaire dans les conditions prévues par le V de l'article 22.
« Art. 54. - I. - Les traitements de données à caractère personnel ayant une finalité d'intérêt général de recherche, d'étude ou d'évaluation dans le domaine de la santé sont autorisés par la Commission nationale de l'informatique et des libertés dans le respect des principes définis par la présente loi et en fonction de l'intérêt public que la recherche, l'étude ou l'évaluation présente.
« II. - La Commission nationale de l'informatique et des libertés prend sa décision après avis :
« 1° Du comité compétent de protection des personnes mentionné à l'article L. 1123-6 du code de la santé publique pour les demandes d'autorisation relatives à des recherches impliquant la personne humaine ;
« 2° Du comité d'expertise scientifique pour la recherche, les études ou l'évaluation dans le domaine de la santé, dont un décret en Conseil d'État pris après avis de la même commission définit la composition et les règles de fonctionnement, pour les demandes d'autorisation relatives à des études ou des évaluations, ainsi qu'à des recherches n'impliquant pas la personne humaine.
« Le comité d'expertise donne à la Commission un avis sur la nécessité du recours à des données à caractère personnel et la pertinence de celles-ci par rapport à la finalité du traitement, au regard de son intérêt scientifique et de la méthodologie retenue.
« Dans des conditions définies par décret en Conseil d'État, l'Institut national des données de santé, prévu à l'article L. 1462-1 du code de la santé publique, peut être saisi sur le caractère d'intérêt public que présente la recherche, l'étude ou l'évaluation justifiant la demande de traitement.
« III. - Les dispositions des II et III de l'article 25 sont applicables aux demandes d'autorisation de traitements sur le fondement du présent article.