Art. 1er. -  Il est inséré, dans la loi no 78-17 du 6 janvier 1978 relative     à l'informatique, aux fichiers et aux libertés, un chapitre V bis ainsi     rédigé:
    << Chapitre V bis
    << Traitements automatisés de données nominatives
    ayant pour fin la recherche dans le domaine de la santé
      << Art. 40-1. -  Les traitements automatisés de données nominatives ayant     pour fin la recherche dans le domaine de la santé sont soumis aux     dispositions de la présente loi, à l'exception des articles 15, 16, 17, 26 et     27.
      << Les traitements de données ayant pour fin le suivi thérapeutique ou     médical individuel des patients ne sont pas soumis aux dispositions du     présent chapitre. Il en va de même des traitements permettant d'effectuer des     études à partir des données ainsi recueillies si ces études sont réalisées     par les personnels assurant ce suivi et destinées à leur usage exclusif.
      << Art. 40-2. -  Pour chaque demande de mise en oeuvre d'un traitement de     données, un comité consultatif sur le traitement de l'information en matière     de recherche dans le domaine de la santé, institué auprès du ministre chargé     de la recherche et composé de personnes compétentes en matière de recherche     dans le domaine de la santé, d'épidémiologie, de génétique et de     biostatistique, émet un avis sur la méthodologie de la recherche au regard     des dispositions de la présente loi, la nécessité du recours à des données     nominatives et la pertinence de celles-ci par rapport à l'objectif de la     recherche, préalablement à la saisine de la Commission nationale de     l'informatique et des libertés.
      << Le comité consultatif dispose d'un mois pour transmettre son avis au     demandeur. A défaut, l'avis est réputé favorable. En cas d'urgence, ce délai     peut être ramené à quinze jours.
      << Le président du comité consultatif peut mettre en oeuvre une procédure     simplifiée.
      << La mise en oeuvre du traitement de données est ensuite soumise à     l'autorisation de la Commission nationale de l'informatique et des libertés,     qui dispose, à compter de sa saisine par le demandeur, d'un délai de deux     mois, renouvelable une seule fois, pour se prononcer. A défaut de décision     dans ce délai, le traitement de données est autorisé.
      << Art. 40-3. -  Nonobstant les règles relatives au secret professionnel,
     les membres des professions de santé peuvent transmettre les données     nominatives qu'ils détiennent dans le cadre d'un traitement automatisé de     données autorisé en application de l'article 40-1.
      << Lorsque ces données permettent l'identification des personnes, elles     doivent être codées avant leur transmission. Toutefois, il peut être dérogé à     cette obligation lorsque le traitement de données est associé à des études de     pharmacovigilance ou à des protocoles de recherche réalisés dans le cadre     d'études coopératives nationales ou internationales; il peut également y être     dérogé si une particularité de la recherche l'exige. La demande     d'autorisation comporte la justification scientifique et technique de la     dérogation et, sauf autorisation motivée de la Commission nationale de     l'informatique et des libertés donnée après avis du comité consultatif pour     le traitement de l'information en matière de recherche dans le domaine de la     santé, les données transmises ne peuvent être conservées sous une forme     nominative au-delà de la durée nécessaire à la recherche.
      << La présentation des résultats du traitement de données ne peut en aucun     cas permettre l'identification directe ou indirecte des personnes concernées.      << Les données sont reçues par le responsable de la recherche désigné à cet     effet par la personne physique ou morale autorisée à mettre en oeuvre le     traitement. Ce responsable veille à la sécurité des informations et de leur     traitement, ainsi qu'au respect de la finalité de celui-ci.
      << Les personnes appelées à mettre en oeuvre le traitement de données ainsi     que celles qui ont accès aux données sur lesquelles il porte sont astreintes     au secret professionnel sous les peines prévues à l'article 226-13 du code     pénal.
      << Art. 40-4. -  Toute personne a le droit de s'opposer à ce que des données     nominatives la concernant fassent l'objet d'un traitement visé à l'article     40-1.
      << Dans le cas où la recherche nécessite le recueil de prélèvements     biologiques identifiants, le consentement éclairé et exprès des personnes     concernées doit être obtenu préalablement à la mise en oeuvre du traitement     de données.
      << Les informations concernant les personnes décédées, y compris celles qui     figurent sur les certificats des causes de décès, peuvent faire l'objet d'un     traitement de données, sauf si l'intéressé a, de son vivant, exprimé son     refus par écrit.
      << Art. 40-5. -  Les personnes auprès desquelles sont recueillies des     données nominatives ou à propos desquelles de telles données sont transmises     sont, avant le début du traitement de ces données, individuellement     informées:
      << 1o De la nature des informations transmises;
      << 2o De la finalité du traitement de données;
      << 3o Des personnes physiques ou morales destinataires des données;
      << 4o Du droit d'accès et de rectification institué au chapitre V;
      << 5o Du droit d'opposition institué aux premier et troisième alinéas de     l'article 40-4 ou, dans le cas prévu au deuxième alinéa de cet article, de     l'obligation de recueillir leur consentement.
      << Toutefois, ces informations peuvent ne pas être délivrées si, pour des     raisons légitimes que le médecin traitant apprécie en conscience, le malade     est laissé dans l'ignorance d'un diagnostic ou d'un pronostic grave.
      << Dans le cas où les données ont été initialement recueillies pour un autre     objet que le traitement, il peut être dérogé à l'obligation d'information     individuelle lorsque celle-ci se heurte à la difficulté de retrouver les     personnes concernées. Les dérogations à l'obligation d'informer les personnes     de l'utilisation de données les concernant à des fins de recherche sont     mentionnées dans le dossier de demande d'autorisation transmis à la     Commission nationale de l'informatique et des libertés, qui statue sur ce     point.
      << Art. 40-6. -  Sont destinataires de l'information et exercent les droits     prévus aux articles 40-4 et 40-5 les titulaires de l'autorité parentale, pour     les mineurs, ou le tuteur, pour les personnes faisant l'objet d'une mesure de     protection légale.
      << Art. 40-7. -  Une information relative aux dispositions du présent     chapitre doit être assurée dans tout établissement ou centre où s'exercent     des activités de prévention, de diagnostic et de soins donnant lieu à la     transmission de données nominatives en vue d'un traitement visé à l'article     40-1.
      << Art. 40-8. -  La mise en oeuvre d'un traitement automatisé de données en     violation des conditions prévues par le présent chapitre entraîne le retrait     temporaire ou définitif, par la Commission nationale de l'informatique et des     libertés, de l'autorisation délivrée en application des dispositions de     l'article 40-2.
      << Il en est de même en cas de refus de se soumettre au contrôle prévu par     le 2o de l'article 21.
      << Art. 40-9. -  La transmission hors du territoire français de données     nominatives non codées faisant l'objet d'un traitement automatisé ayant pour     fin la recherche dans le domaine de la santé n'est autorisée, dans les     conditions prévues à l'article 40-2, que si la législation de l'Etat     destinataire apporte une protection équivalente à la loi française.
      << Art. 40-10. -  Un décret en Conseil d'Etat précise les modalités     d'application du présent chapitre. >>