La Commission Nationale de l'Informatique et des Libertés ;    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et notamment ses articles 6 et 8 ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés ;    Vu l'article 378 du Code Pénal ;    Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi susvisée ;    Vu le décret n° 79-506 du 28 juin 1979 portant code de déontologie médicale, notamment ses articles 3, 7, 11 et 42 ;    Vu la délibération de la CNIL n° 85-07 du 19 février 1985 portant adoption d'une recommandation sur les traitements automatisés d'informations médicales nominatives utilisés à des fins de recherche médicale ;    Vu les procès-verbaux des auditions auxquelles le rapporteur a procédé ;    Après avoir entendu Madame Louise CADOUX, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant qu'en application de l'article 6 de la loi du 6 janvier 1978, la Commission a été saisie par le Gouvernement d'un avant-projet de loi sur les sciences de la vie et les droits de l'homme dont le titre VI est consacré "aux traitements de données nominatives ayant pour fins la connaissance, la protection ou l'amélioration de la santé" ;    Considérant que ce titre VI a pour objet de modifier, non seulement certaines des dispositions de la loi du 6 janvier 1978, notamment l'article 27 de cette loi sur l'information des personnes sur lesquelles sont recueillies des informations nominatives, mais également l'article 378 du Code Pénal en levant le secret médical pour permettre à des fins de connaissance, de protection ou d'amélioration de la santé, les traitements automatisés ou manuels de données nominatives de santé transmises par les membres des professions médicales ou les pharmaciens ; que ce titre vise les traitements d'informations mis en oeuvre tant dans le secteur de la recherche épidémiologique, et pour l'évaluation du système de soins, en particulier de son coût ;     Considérant que le retard en France de la recherche épidémiologique, qui contribue dans le monde entier au progrès de la science médicale et à l'amélioration de la santé publique, ne résulte pas des difficultés d'application de la loi du 6 janvier 1978 ;    Considérant qu'il résulte des auditions auxquelles le rapporteur a procédé, que l'ensemble du dispositif de l'avant-projet de loi s'inspire de l'idée que, dans une société solidaire, toute personne bénéficiant de soins a le devoir de contribuer à l'amélioration de la santé publique, en mettant à la disposition des chercheurs les données médicales recueillies lors de son traitement ;    Considérant en premier lieu, qu'au regard de la loi du 6 janvier 1978, cette utilisation des données médicales constitue, dans son principe, une extension légitime de la finalité de soins que dans la mesure où les traitements d'informations mis en oeuvre, hors de l'intérêt thérapeutique direct des patients, ne produisent que des résultats statistiques et anonymes, ne permettant ni de prendre des décisions à l'égard des patients comme des médecins, ni de restreindre des libertés et des droits individuels, ni d'engendrer des discriminations d'ordre social, racial ou professionnel, ni de porter atteinte à la vie privée ;
Considérant que le champ d'application du titre VI de l'avant-projet de loi soumis à l'examen de la Commission Nationale de l'Informatique et des Libertés devrait être précisé en ce sens ; que le terme "notamment" figurant à l'article 49 doit être supprimé et que l'expression "banques de données médicales" doit faire l'objet d'une définition plus précise ;    Considérant en deuxième lieu que, dès lors qu'ils portent sur des données de santé directement ou indirectement nominatives, les traitements envisagés doivent, conformément à l'article 6 de la Convention du Conseil de l'Europe susvisée faire l'objet de garanties appropriées et respecter les principes définis par la loi du 6 janvier 1978 ;    Considérant à cet égard, que le titre VI de l'avant-projet de loi dispose que les personnes dont les données de santé sont susceptibles d'être transmises et utilisées aux fins précitées, sont "informées dans les locaux où s'exercent des activités de prévention, de diagnostic et de soin, de l'éventualité de cette utilisation, ainsi que des conditions d'exercice de leur droit d'opposition qu'elles pourront exercer à tout moment" ; qu'"elles sont renseignées à leur demande, par le praticien, sur la nature de cette utilisation" ;    Considérant que l'information individuelle donnée par le médecin traitant sur l'objet de la transmission, les destinataires et le droit d'accès, ainsi que le recueil du consentement libre et éclairé, comme le droit de revenir à tout moment sur ce consentement, constituent pour les patients une garantie essentielle du respect de leurs libertés et de leurs droits, en particulier de leur droit à la vie privée ;    Considérant qu'en prévoyant seulement pour les patients, à la charge des médecins traitants, une information générale sur l'utilisation éventuelle à des fins de recherche des données de santé les concernant et, en retenant la règle selon laquelle "qui ne dit mot consent", au lieu de prescrire le recueil du consentement de l'intéressé, l'avant-projet de loi ne garantit pas suffisamment le droit des malades ;
Considérant toutefois que, s'il y a lieu d'affirmer le principe du droit à l'information et du consentement des patients qui en est le corollaire, il apparaît que des dérogations à ces principes doivent pouvoir être accordées de manière exceptionnelle par la CNIL, après avis de comités d'éthique, à certaines conditions qu'il appartient au législateur de définir ; que la CNIL recommande que ces dérogations soient limitées aux cas où :    1°) l'information est de nature à porter une grave atteinte à la personne, si pour des raisons légitimes que le médecin apprécie en conscience, le malade peut être tenu dans l'ignorance d'un diagnostic ou d'un pronostic grave, comme le prévoit l'article 42 du code de déontologie médicale dont la nature n'est pour l'instant que réglementaire ;    2°) il n'est pas possible d'informer la personne de l'utilisation de ses données de santé, en raison des modalités particulières du recueil de celles-ci, notamment du temps écoulé entre cette collecte et l'exploitation des données aux fins susvisées ;    3°) lorsque la protection des patients est suffisamment assurée du fait du caractère indirectement nominatif des données transmises qui nécessiterait pour indentifier la personne, des délais, des coûts et des activités déraisonnables et disproportionnés ;    Considérant que, pour faciliter la participation des patients aux travaux statistiques de santé publique, il serait opportun de rechercher les moyens de procéder à une meilleure information du public sur les recherches épidémiologiques entreprises et leur portée en matière de prévention et de délivrance de soins ; qu'il résulte d'ailleurs des auditions auxquelles a procédé le rapporteur que, dans une très grande majorité de cas, le consentement des patients pour la participation à des travaux de recherche épidémiologiques serait volontiers accordé ;    Considérant qu'il est souhaitable que le projet de loi prévoit que soit recueilli le consentement personnel des mineurs en fonction de leur âge ou de la nature des données traitées ;    Considérant en troisième lieu, que l'avant-projet de loi ne donne pas de garanties suffisantes sur les destinataires des données médicales directement ou indirectement nominatives ; qu'il conviendrait de modifier le texte de façon à préciser que ces données ne peuvent être transmises qu'aux organismes ou institutions ayant reçu une habilitation à recevoir et à traiter ces données médicales pour les fins précédemment énoncées, habilitation résultant de l'avis d'un comité d'éthique ;
Considérant en quatrième lieu, qu'aucune des missions de l'INSEE, chargé de coordonner les enquêtes statistiques des services publics relatives à l'évolution et au mouvement des personnes et des biens, ne l'autorise à recevoir et à traiter des données nominatives de santé ; que seuls les services dépendant du Ministère chargé de la Santé devraient être habilités à traiter ces données et à la condition que ces données aient été avant leur transmission, rendues anonymes de telle façon qu'il soit impossible d'identifier les personnes dont les données de santé sont ainsi traitées ; que la publication de tableaux statistiques issus de ces données, doit, pour la même raison, admettre des tailles d'agrégats suffisamment importantes ;    Considérant en cinquième lieu, que le rôle, le statut et la responsabilité des médecins chargés par l'avant-projet de loi de recevoir les données nominatives de santé et de veiller à leur confidentialité, devraient être précisés, notamment en ce qui concerne l'appréciation confiée à ces derniers de "l'utilité, au regard de la finalité du traitement, des opérations mises en oeuvre" ; qu'il conviendrait d'indiquer que ces médecins devraient être agréés par les comités d'éthique ;    Considérant que, des observations qui précèdent, il résulte que l'absence d'avis des comités d'éthique prévus au titre III de l'avant-projet de loi sur les transmissions et les utilisations de données, envisagé dans le titre VI de l'avant-projet de loi, affaiblit les garanties auxquelles ont droit les malades ;    Considérant en sixième lieu, qu'il convient de s'interroger sur la possibilité d'étendre à l'ensemble des membres des professions de santé, la faculté de transmettre des données de santé nominatives aux fins précitées, dans la mesure où ceux-ci peuvent être amenés, dans le cadre de leur profession à transmettre des données pour des traitements relevant du champ d'application de l'avant-projet de loi ;
Estime que, compte tenu des risques que font courir aux libertés et à la vie privée, la diffusion d'informations par les techniques informatiques, et la participation d'un grand nombre de partenaires aux traitements mis en oeuvre, le dispositif prévu par le titre VI de l'avant-projet de loi n'assure pas un équilibre satisfaisant entre l'intérêt de la santé publique et le respect des libertés fondamentales et les droits de l'homme, notamment du droit au respect de sa vie privée ;    Qu'il n'apporte pas non plus, en l'état actuel de sa rédaction, toutes les garanties appropriées requises par l'article 6 de la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Souhaite être saisie pour avis du projet de loi.     Le Président, Jacques FAUVET.