QUESTION ÉCRITE E-2403/01

posée par Erik Meijer (GUE/NGL) à la Commission

(21 août 2001)

Objet: Conséquences d'analyses génétiques pratiquées à grande échelle en Islande pour la protection de la vie privée et les droits des patients

1. Quelles sont les conséquences de la réglementation islandaise évoquée dans une série de questions précédentes qui impose la participation à des analyses génétiques à grande échelle dans le cadre des accords de coopération entre l'Islande et l'Union européenne?

2. Les données islandaises sont-elles utilisées par des entreprises établies dans les États membres de l'Union européenne? Dans l'affirmative, quelles sont ces entreprises?

3. La Commission s'attend-elle à ce que des entreprises fassent pression pour promouvoir le modèle islandais dans les États membres de l'Union européenne?

4. La Commission prévoit-elle que des États membres acquiesceront au souhait visé au paragraphe 3? Considère-t-elle cette possibilité comme négative ou positive?

5. Comme la Commission escompte-t-elle éviter que des centres médicaux privés fassent un usage abusif des données personnelles ainsi recueillies en les transmettant à des entreprises commerciales amies telles que des compagnies d'assurance pouvant exclure du bénéfice de leurs prestations les personnes présentant des risques de santé accrus et leurs descendants, ou leur imposer une prime plus élevée?

6. Comment la réglementation communautaire actuelle assure-t-elle la protection de la vie privée en ce qui concerne le danger évoqué au paragraphe 5?

7. La Commission prépare-t-elle des mesures pour empêcher l'usage abusif du système islandais dans l'Union européenne?

Réponse communeaux questions écrites E-2402/01 et E-2403/01donnée par M. Bolkestein au nom de la Commission

(25 octobre 2001)

La Directive 95/46/CE relative la protection des données à caractère personnel a été incorporée à l'accord sur l'Espace économique européen (ci-après EEE) par la décision numéro 83/1999 du Comité mixte de l'EEE. Cette incorporation signifie que les États membres de l'EEE c'est-à-dire, les 15 États membres de l'Union européenne, plus l'Islande, le Liechtenstein et la Norvège sont tenus de mettre en oeuvre les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à cette directive. En contrepartie, les États membres de l'EEE ne peuvent ni restreindre ni interdire la libre circulation des données à caractère personnel entre eux pour des raisons relatives à la protection des droits fondamentaux des personnes, notamment leur vie privée, à l'égard du traitement de ces données.

La tâche de veiller au respect des obligations découlant de l'accord sur l'EEE par les États de l'Association européenne de libre échange (ci-après AELE) qui font partie de cet accord (l'Islande, le Liechtenstein et la Norvège) est de la compétence de l'Autorité de surveillance AELE. À ce propos, la Commission envisage de demander à l'Autorité de surveillance AELE des informations complémentaires sur la transposition de la directive 95/46/CE en Islande, selon les procédures établies dans le cadre de l'accord sur l'EEE.

Par ailleurs, selon les règles de l'accord sur l'EEE l'adoption de la législation islandaise en la matière est communiquée à l'Autorité de Surveillance de l'AELE et non pas à la Commission. Toutefois, la Commission connaît tant l'existence de la loi de décembre 1998 sur les banques de données du secteur de la santé que celle d'une licence accordée à la société Decode.

Selon les informations dont dispose la Commission, les données traitées par la société Decode doivent être qualifiées de données à caractère personnel au sens de la directive 95/46/CE. Nombre de données traitées doivent, de plus, être qualifiées de données relatives à la santé qui bénéficient d'une protection spécifique sur la base de la même directive. Le traitement de telles données est en principe prohibé mais peut être autorisé sur la base du consentement explicite de la personne concernée. D'après les informations dont dispose la Commission, le traitement de données par la société Decode ne s'effectue pas sur une telle base. En tout état de cause, la Commission relève que la notion même de consentement est problématique en ce qui concerne les données génétiques. En effet, le propre des données génétiques est de fournir des informations non seulement sur la personne concernée mais sur les personnes appartenant à sa lignée génétique.

La directive 95/46/CE autorise également le traitement de données relatives à la santé dans d'autres hypothèses dont la plus relevante est celle qui est fondée sur la législation nationale d'un État membre pour un motif d'intérêt public important sous réserve de garanties appropriées. Cette directive ne permet en outre la réutilisation de données collectées pour d'autres finalités déterminées, à des fins statistiques ou scientifiques, que pour autant que les États membres prévoient des garanties appropriées. La Commission ne dispose toutefois pas d'informations suffisantes pour apprécier la qualité des garanties apportées au traitement des données en question.

La Commission souligne également que l'ensemble des obligations et droits résultant de la directive 95/46/CE s'applique à un tel traitement de données, en particulier l'obligation de traiter les données personnelles loyalement et licitement, de limiter les données traitées aux données adéquates, pertinentes et non excessives, d'informer la personne concernée, de lui accorder un droit d'accès, d'opposition et de rectification, d'assurer la sécurité des données, de ne pas prendre de décisions individuelles affectant un individu sur la base d'un seul traitement automatisé ainsi que les dispositions relatives aux flux transfrontières de données.

La Commission rappelle à ce propos la déclaration des Commissaires européens à la protection des données, réunis à St Jacques de Compostelle les 18-20 septembre 1998, lesquels s'étaient déclarés très préoccupés par ce qui n'était à cette époque qu'un projet et avaient demandé au Gouvernement islandais de le reconsidérer eu égard à la protection des données personnelles.

La Commission souhaite encore faire état de la règle du secret médical, présente dans les États européens, qui limite strictement la communication de données médicales pour des raisons étrangères à une relation thérapeutique.

Par ailleurs, la Commission souligne que l'article 3 de la Charte des droits fondamentaux de l'Union européenne garantit à toute personne son intégrité physique et mentale, que ses articles 7 et 8 reconnaissent à tout individu le droit au respect de sa vie privée et familiale et son droit à la protection des données à caractère personnel et que son article 21 interdit toute discrimination fondée sur les caractéristiques génétiques.

Enfin, pour ce qui est de l'utilisation éventuelle des données islandaises par des entreprises établies dans les États membres, la Commission ne dispose pas d'éléments concrets à ce propos. Elle ne peut non plus se prononcer ni quant au risque ni quant à la probabilité qu'un État membre acquiesce au souhait d'une compagnie privée de disposer de données identiques à celles dont dispose la société Decode. Quoi qu'il en soit, si un État membre adoptait une réglementation similaire à la législation islandaise de 1998, la Commission procéderait à l'évaluation de sa conformité avec les règles communautaires, en particulier celles relative à la protection des données à caractère personnel. Dans ce contexte, la Commission devrait consulter le groupe de travail indépendant sur la protection des données institué par l'article 29 de la directive 95/46/CE, groupe de travail qui rassemble les Commissaires européens de protection des données.