La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, notamment ses articles 6 et 12 ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et notamment ses articles 1, 15, 19, 26, 27, 34 et 40 ;    Vu l'article 378 du Code Pénal ;    Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;    Vu la délibération n° 85-07 du 19 février 1985 portant adoption d'une recommandation sur les traitements automatisés d'informations médicales nominatives utilisés à des fins de recherche médicale ;    Vu la délibération n° 88-125 du 22 novembre 1988 portant avis sur le projet de décision du Directeur général de l'INSERM concernant un traitement automatisé de données médicales mis en oeuvre par le centre coopérateur de données sur l'épidémiologie de l'immunodéficience humaine (service commun n° 4) afin de réaliser des recherches cliniques et épidémiologiques ;    Vu le projet de décision présenté par le Directeur Général de l'Assistance Publique de PARIS ;    Après avoir entendu Madame Louise CADOUX en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que le traitement automatisé de données médicales mis en oeuvre par l'unité d'immunologie de l'Hôpital Broussais est destiné à améliorer la surveillance épidémiologique de cette maladie, à renforcer l'organisation des essais thérapeutiques et à réaliser des études épidémiologiques en collaboration avec d'autres centres dans le cadre du dispositif d'information mis en place par l'INSERM ;    Considérant néanmoins que ces recherches doivent être faites en respectant les droits et libertés des individus, leur identité humaine et leur vie privée ; qu'en particulier, elles ne doivent engendrer aucune discrimination d'ordre social, racial ou professionnel ;    Considérant, en outre que les données médicales indirectement nominatives, collectées aux fins de recherche, doivent être réservées à l'usage médical ;    Considérant que ce traitement est conforme, tant en ce qui concerne sa finalité que les données enregistrées, au système qui, conçu par l'INSERM, a fait l'objet d'un avis favorable de la CNIL par délibération n° 88-125 du 22 novembre 1988 ;    Considérant que l'application est mise en oeuvre sur un microordinateur, situé dans le service médical concerné ;    Considérant que le traitement ne comporte pas de liaisons techniques avec d'autres traitements ;    Considérant que l'accès à l'application est protégé par une procédure de mots de passe individuels placés sous la responsabilité du coordinateur médical local ;    Prenant acte de ce que ce coordinateur médical s'est engagé, selon les dispositions de l'article 29 de la loi du 6 janvier 1978 à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés ; qu'à cet effet, il mettra en oeuvre les mesures instaurées par le centre coopérateur de données épidémiologiques sur l'immunodéficience humaine notamment en ce qui concerne l'anonymisation des données ;
- Sur l'information préalable des patients :    Considérant qu'en application des dispositions des articles 26 et 27 de la loi du 6 janvier 1978, les patients doivent être informés individuellement de l'enregistrement informatique de leurs données médicales sous forme nominative, de façon à ce qu'ils puissent éventuellement s'y opposer et exprimer leur consentement libre et éclairé ;    Considérant que, pour la conduite du traitement des malades atteints du virus de l'immunodéficience humaine, l'explication, que le médecin est apte à donner est essentielle, qu'en l'espèce, les médecins traitants s'engagent à remettre individuellement aux patients une lettre d'information sur la finalité et les conditions de mise en oeuvre du traitement informatique, sur les destinataires des informations et les modalités d'exercice du droit d'accès, de façon à ce qu'ils puissent exprimer un consentement libre et éclairé ;    - Sur le consentement des patients    Considérant d'une part, qu'aux termes de l'article 31, premier alinéa de la loi du 6 janvier 1978 "il est interdit de mettre ou conserver en mémoire informatisée, sauf accord exprès de l'intéressé, des données nominatives qui directement ou indirectement, font apparaître les origines raciales ou les opinions politiques, philosophiques ou religieuses ou les appartenances syndicales des personnes" ;    Considérant d'autre part, qu'aux termes de l'article 6 de la convention du conseil de l'Europe, applicable à compter du 1er octobre 1985, "les données à caractère personnel révélant l'origine raciale, les opinions politiques, les convictions religieuses ou autres convictions, ainsi que les données à caractère personnel relatives à la santé ou à la vie sexuelle, ne peuvent être traitées automatiquement à moins que le droit interne ne prévoie des garanties appropriées. Il en est de même des données à caractère personnel concernant des condamnations pénales" ;
Considérant que les données médicales ne sont pas au nombre de celles pour lesquelles le législateur français impose, avant leur traitement informatisé, le consentement exprès des personnes concernées ; qu'en revanche, elles figurent dans l'énumération des données pour lesquelles la convention du conseil de l'Europe prévoit, à la charge des Etats contractants, que des garanties appropriées doivent être prises ; que la CNIL a compétence pour apprécier et prescrire aux détenteurs de fichiers ces garanties ; qu'ainsi la CNIL peut proportionner ses exigences aux finalités de l'application, en particulier lorsqu'elle fixe les modalités du recueil du consentement des intéressés, consentement qui constitue une des garanties essentielles des droits des patients ;    Considérant qu'en l'espèce, compte tenu de la nature des informations recueillies, et des caractéristiques de la maladie, le consentement des patients doit, pour offrir une garantie suffisante, être préalable à toute saisie informatique des données les concernant et délivré de manière expresse, c'est-à-dire par écrit ; que toutefois, il y a lieu de laisser le médecin traitant choisir les circonstances dans lesquelles il recueille cet accord après avoir informé le patient et établi avec lui les relations de confiance nécessaires au traitement de cette infection ;
- Sur le droit d'accès :    Considérant que le droit d'accès constitue l'une des garanties essentielles de la protection des individus ; qu'en conséquence, les personnes concernées sont informées que, conformément à l'article 40 de la loi du 6 janvier 1978, elles peuvent exercer leur droit d'accès et obtenir communication des données médicales les concernant par l'intermédiaire du médecin de leur choix et du médecin du centre habilité à détenir l'identité du patient ;    Considérant enfin que les données recueillies pour l'application, objet de la présente délibération, tant par le service médical concerné que par le centre coopérateur de données sur l'épidémiologie de cette affection ne sont pas transférés en dehors du territoire national ;
Emet sous les réserves précitées, un avis favorable au projet de décision qui lui est présenté.     Le Président, Jacques FAUVET.