La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 88-1138 du 20 décembre 1988 sur la protection des personnes qui se prêtent à des recherches biomédicales ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 94-548 du 1er juillet 1994 ;
Vu les articles 226-13 et 226-14 du nouveau code pénal ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;
Vu l'arrêté du 1er juillet 1992 portant création du groupement d'intérêt public dénomme "Agence nationale de recherche sur le sida" ;
Vu l'avis favorable du comité consultatif de protection des personnes dans la recherche biomédicale de l'hôpital NECKER Après avoir entendu Monsieur Jean- Pierre MICHEL,en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du gouvernement en ses observations ;
Considérant que l'agence nationale de recherche sur le sida, groupement d'intérêt public créé par arrêté du 1er juillet 1992, saisi la Commission Nationale de l'Informatique et des Libertés, d'une demande d'avis relative a un traitement automatisé de données directement nominatives concernant un essai multicentrique international ayant pour finalité l'étude de l'évaluation chez des patients de moins de seize ans infectés par le VIH et déjà traités par des antiviraux de la toxicité et la tolérance de nouveaux traitements ; que cet essai relève des dispositions de la loi n° 88-1138 du 20 décembre 1988 sur la protection des personnes qui se prêtent a des recherches biomédicales ;
Considérant que les données sont recueillies sur une durée de dix huit mois auprès de 150 patients de moins de 16 ans, à partir de cahiers d'observation établis sur support papier ; que pour la France, ces cahiers sont adressés au "service commun 10" de L'INSERM, spécialisé dans la conduite d'essais thérapeutiques et qui centralise les applications informatiques de L'ANRS, centre coordonnateur de l'essai ; que ce "service commun 10" de L'INSERM les transmet ensuite, après certification et validation, via le réseau INTERNET au MRC - HIV Clinical Trials Center à Londres, organisme spécialisé dans la recherche sur le sida ;
Considérant que les données sont relatives au code identifiant le patient dans l'essai, à sa date de naissance, son sexe, son origine géographique, son diagnostic et ses antécédents médicaux ;
Considérant qu'en application des dispositions de la loi du 20 décembre 1988 précitée et des articles 34 et 40 de la loi du 6 janvier 1978, une notice d'information accompagnée d'une fiche de recueil de "consentement éclairé" est remise à chaque patient ; qu'elle comporte une mention  spécifique sur la donnée relative à l'origine géographique, dont on ne peut exclure qu'elle puisse révéler directement ou non les origines raciales de la personne au sens de l'article 31 de la loi du 6 janvier 1978 ;
Considérant, s'agissant du recours au réseau Internet qu'un risque non négligeable d'intrusion dans le réseau interne de l'utilisateur et de son système d'information existe, selon le type d'accès choisi ; que dans le domaine médical, il peut ainsi être porté gravement atteinte à la confidentialité des données médicales identifiantes traitées par ce système d'information ;
Considérant que pour assurer la sécurité des données ainsi recueillies, l'ANRS s'est engagée à ce que le serveur connecté à l'Internet ne soit pas connecté aux serveurs du "service commun n° 10" de l'INSERM supportant des données identifiantes ; que l'INSERM a, en outre, décidé l'installation de barrières logicielles dites "pare-feu" pour protéger l'ensemble de ses applications ;
Considérant, à cet égard, qu'il apparait essentiel à la Commission de prévoir, avec l'aide d'un spécialiste du service central de sécurité des systèmes d'information, une visite au "Service commun 10" de l'INSERM afin de vérifier le bon fonctionnement de cette protection logicielle dont l'efficacité dépend en grande partie de ses modalités d'installation, que le Service Central de sécurité des systèmes d'information en a accepté le principe ;
Emet un avis favorable au projet d'acte réglementaire présenté par l'Agence nationale de recherche sur le sida concernant un traitement automatisé de données indirectement nominatives ayant pour finalité un essai multicentrique international sur l'évaluation chez des patients de moins de seize ans infectés par le VIH et déjà traités par des antiviraux de la toxicité et la tolérance de nouveaux traitements.
Le Président, Jacques FAUVET