QUESTION ÉCRITE E-2402/01

posée par Erik Meijer (GUE/NGL) à la Commission

(21 août 2001)

Objet: Conséquences d'analyses génétiques pratiquées à grande échelle en Islande pour les droits civils et les intérêts commerciaux

1. La Commission sait-elle que l'Islande a adopté une législation qui fait de ce pays le laboratoire international d'analyses génétiques à grande échelle imposant la participation de ses habitants considérés comme sujets d'expérience et permettant la centralisation de données médicales personnelles émanant des médecins traitants et des hôpitaux, ainsi que des données relatives à l'ADN de l'ensemble de la population, et leur stockage dans une base de données, en liaison avec les arbres généalogiques familiaux tenus à jour depuis des siècles, et que ce matériel est mis à la disposition de l'entreprise Decode, qui utilise ces données à des fins de recherche au bénéfice de l'industrie pharmaceutique internationale, cependant qu'en vertu de décisions judiciaires les ressortissants islandais ne sont pas autorisés à faire supprimer de cette administration centrale les données relatives à eux-mêmes ou à leurs ascendants?

2. Cette législation fait-elle également de l'Islande le laboratoire international des aspects éthiques et juridiques de la protection de la vie privée en ce qui concerne les données génétiques, la protection y étant en l'occurrence nettement inférieure à celle qui est d'usage au niveau international? En dehors de Singapour, comparable à certains égards à l'Islande, la Commission connaît-elle d'autres États où des mesures analogues sont en vigueur? Cette façon d'agir est-elle conforme aux règles communautaires relatives à la protection de la vie privée?

3. La Commission convient-elle que, dans le modèle islandais, l'intérêt commercial l'emporte largement sur l'intérêt individuel si l'on compare les trois intérêts en cause, à savoir l'intérêt général de la recherche médicale, l'intérêt personnel de ceux qui peuvent s'en trouver lésés et l'intérêt commercial des entreprises pharmaceutiques intéressées? Dans la négative, pourquoi?

Source: Documentaire norvégien Decoding the Icelanders (Décodage des Islandais), diffusé par IKON-TV aux Pays-Bas.

Réponse communeaux questions écrites E-2402/01 et E-2403/01donnée par M. Bolkestein au nom de la Commission

(25 octobre 2001)

La Directive 95/46/CE relative la protection des données à caractère personnel a été incorporée à l'accord sur l'Espace économique européen (ci-après EEE) par la décision numéro 83/1999 du Comité mixte de l'EEE. Cette incorporation signifie que les États membres de l'EEE c'est-à-dire, les 15 États membres de l'Union européenne, plus l'Islande, le Liechtenstein et la Norvège sont tenus de mettre en oeuvre les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à cette directive. En contrepartie, les États membres de l'EEE ne peuvent ni restreindre ni interdire la libre circulation des données à caractère personnel entre eux pour des raisons relatives à la protection des droits fondamentaux des personnes, notamment leur vie privée, à l'égard du traitement de ces données.

La tâche de veiller au respect des obligations découlant de l'accord sur l'EEE par les États de l'Association européenne de libre échange (ci-après AELE) qui font partie de cet accord (l'Islande, le Liechtenstein et la Norvège) est de la compétence de l'Autorité de surveillance AELE. À ce propos, la Commission envisage de demander à l'Autorité de surveillance AELE des informations complémentaires sur la transposition de la directive 95/46/CE en Islande, selon les procédures établies dans le cadre de l'accord sur l'EEE.

Par ailleurs, selon les règles de l'accord sur l'EEE l'adoption de la législation islandaise en la matière est communiquée à l'Autorité de Surveillance de l'AELE et non pas à la Commission. Toutefois, la Commission connaît tant l'existence de la loi de décembre 1998 sur les banques de données du secteur de la santé que celle d'une licence accordée à la société Decode.

Selon les informations dont dispose la Commission, les données traitées par la société Decode doivent être qualifiées de données à caractère personnel au sens de la directive 95/46/CE. Nombre de données traitées doivent, de plus, être qualifiées de données relatives à la santé qui bénéficient d'une protection spécifique sur la base de la même directive. Le traitement de telles données est en principe prohibé mais peut être autorisé sur la base du consentement explicite de la personne concernée. D'après les informations dont dispose la Commission, le traitement de données par la société Decode ne s'effectue pas sur une telle base. En tout état de cause, la Commission relève que la notion même de consentement est problématique en ce qui concerne les données génétiques. En effet, le propre des données génétiques est de fournir des informations non seulement sur la personne concernée mais sur les personnes appartenant à sa lignée génétique.

La directive 95/46/CE autorise également le traitement de données relatives à la santé dans d'autres hypothèses dont la plus relevante est celle qui est fondée sur la législation nationale d'un État membre pour un motif d'intérêt public important sous réserve de garanties appropriées. Cette directive ne permet en outre la réutilisation de données collectées pour d'autres finalités déterminées, à des fins statistiques ou scientifiques, que pour autant que les États membres prévoient des garanties appropriées. La Commission ne dispose toutefois pas d'informations suffisantes pour apprécier la qualité des garanties apportées au traitement des données en question.

La Commission souligne également que l'ensemble des obligations et droits résultant de la directive 95/46/CE s'applique à un tel traitement de données, en particulier l'obligation de traiter les données personnelles loyalement et licitement, de limiter les données traitées aux données adéquates, pertinentes et non excessives, d'informer la personne concernée, de lui accorder un droit d'accès, d'opposition et de rectification, d'assurer la sécurité des données, de ne pas prendre de décisions individuelles affectant un individu sur la base d'un seul traitement automatisé ainsi que les dispositions relatives aux flux transfrontières de données.

La Commission rappelle à ce propos la déclaration des Commissaires européens à la protection des données, réunis à St Jacques de Compostelle les 18-20 septembre 1998, lesquels s'étaient déclarés très préoccupés par ce qui n'était à cette époque qu'un projet et avaient demandé au Gouvernement islandais de le reconsidérer eu égard à la protection des données personnelles.

La Commission souhaite encore faire état de la règle du secret médical, présente dans les États européens, qui limite strictement la communication de données médicales pour des raisons étrangères à une relation thérapeutique.

Par ailleurs, la Commission souligne que l'article 3 de la Charte des droits fondamentaux de l'Union européenne garantit à toute personne son intégrité physique et mentale, que ses articles 7 et 8 reconnaissent à tout individu le droit au respect de sa vie privée et familiale et son droit à la protection des données à caractère personnel et que son article 21 interdit toute discrimination fondée sur les caractéristiques génétiques.

Enfin, pour ce qui est de l'utilisation éventuelle des données islandaises par des entreprises établies dans les États membres, la Commission ne dispose pas d'éléments concrets à ce propos. Elle ne peut non plus se prononcer ni quant au risque ni quant à la probabilité qu'un État membre acquiesce au souhait d'une compagnie privée de disposer de données identiques à celles dont dispose la société Decode. Quoi qu'il en soit, si un État membre adoptait une réglementation similaire à la législation islandaise de 1998, la Commission procéderait à l'évaluation de sa conformité avec les règles communautaires, en particulier celles relative à la protection des données à caractère personnel. Dans ce contexte, la Commission devrait consulter le groupe de travail indépendant sur la protection des données institué par l'article 29 de la directive 95/46/CE, groupe de travail qui rassemble les Commissaires européens de protection des données.