Legifrance - Le service public de l'accès au droit

Le décret du 20 octobre 2005 susvisé est ainsi modifié :
1° Au 6° de l'article 3 du titre Ier, les mots : « aux articles 53 et 62 » sont remplacés par les mots : « à l'article 53 » ;
2° Après l'article 12 du chapitre II du titre II, est inséré un article 12-1 ainsi rédigé :

« Art. 12-1.-Les traitements de données de santé mis en œuvre afin de répondre à une alerte sanitaire conformément aux dispositions du V de l'article 22 de la loi n° 78-17 du 6 janvier 1978, peuvent recourir au numéro d'inscription au répertoire national d'identification des personnes physiques lorsque c'est le seul moyen de collecter des données de santé à caractère personnel nécessaires pour faire face à l'urgence sanitaire.
« Le numéro d'inscription au répertoire national d'identification des personnes physiques est collecté soit directement auprès des personnes concernées, soit indirectement auprès de leurs proches ou de toutes personnes morales habilitées à traiter ce numéro dans le cadre de leurs missions ou activités.
« Sa transmission et sa conservation sur support électronique ou numérique font l'objet d'un chiffrement, conforme aux recommandations ou référentiels adoptés par la commission nationale de l'informatique et des libertés. Il est conservé pour la durée nécessaire à l'appariement de données. »

Le chapitre IV du titre II du décret du 20 octobre 2005 susvisé est remplacé par les dispositions suivantes :

« Chapitre IV
« Dispositions particulières relatives aux demandes d'autorisation de traitements de données à caractère personnel ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé

« Section 1
« Présentation et instruction des demandes d'autorisations de traitements

« Art. 20.-Dans les cas prévus au II de l'article 54 de la loi du 6 janvier 1978 susvisée, les dossiers de demande d'autorisation de traitement de données à caractère personnel ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé sont signés par la personne qui a qualité pour représenter le responsable de traitement.
Ils sont déposés auprès du secrétariat unique confié, conformément au 2° de l'article L. 1462-1 du code de la santé publique, à l'Institut national des données de santé, qui les transmet dans un délai maximal de sept jours ouvrés au comité compétent pour rendre un avis sur le projet.

« Art. 21.-Chaque dossier déposé auprès du secrétariat unique mentionné à l'article 20 doit comporter :
« 1° L'identité, l'adresse, les titres, expériences, fonctions et déclarations d'intérêt en lien avec l'objet de la recherche du responsable du traitement et du responsable de la recherche, de l'étude ou de l'évaluation, ainsi que, le cas échéant, l'identité et l'adresse du commanditaire de la recherche, de l'étude ou de l'évaluation et de la personne publique qui en a fait la demande. Si ces responsables ou commanditaires ne sont établis ni sur le territoire national, ni sur celui d'un autre Etat membre de l'Union européenne, sont indiquées l'identité, l'adresse et les fonctions de leur représentant en France.
« Les missions ou l'objet social de l'organisme concerné sont également précisés ;
« 2° Les catégories de personnes qui seront appelées à mettre en œuvre le traitement ainsi que celles qui auront accès aux données ;
« 3° La méthodologie de l'étude ou de l'évaluation ou le protocole de recherche, indiquant notamment l'objectif du traitement de données à caractère personnel, les catégories de personnes concernées par le traitement, l'origine, la nature et la liste des données à caractère personnel utilisées et la justification du recours à celles-ci, la durée et les modalités d'organisation de la recherche, de l'étude ou de l'évaluation, la méthode d'analyse des données, ainsi que, lorsque les caractéristiques de l'étude, de la recherche ou de l'évaluation l'exigent, la justification du nombre de personnes et la méthode d'observation ou d'investigation retenue ;
« 4° Le type de diffusion ou de publication des résultats de l'étude, de la recherche ou de l'évaluation par le demandeur ;
« 5° S'il y a lieu, les mesures envisagées pour communiquer aux personnes concernées par le traitement les informations figurant à l'article 57 de la loi du 6 janvier 1978 susvisée ainsi que la justification de toute demande de dérogation à cette obligation d'information. Lorsque la demande d'autorisation concerne une recherche, étude ou évaluation impliquant la personne humaine, doit être produit le projet de document d'information mentionné à l'article L. 1122-1 du code la santé publique et les documents de recueil du consentement exprès des personnes concernées conformément à l'article 56 de la même loi ;
« 6° Les caractéristiques du traitement, notamment la durée de conservation des données ;
« 7° Le cas échéant, la justification scientifique et technique de toute demande de dérogation à l'interdiction de conservation des données sous une forme nominative au-delà de la durée nécessaire à la recherche ;
« 8° Les avis rendus antérieurement par des instances scientifiques ou éthiques ;
« 9° Les rapprochements ou interconnexions envisagés ou toute autre forme de mise en relation des informations ;
« 10° Les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;
« 11° Le cas échéant, la mention de toute transmission de données à caractère personnel vers un Etat n'appartenant pas à l'Union européenne ;
« 12° Le cas échéant, la liste des traitements répondant aux caractéristiques prévues au VI de l'article 54 de la loi du 6 janvier 1978 susvisée. Le dossier précise, en ce cas, les catégories de données, les destinataires ou les catégories de destinataires.
« Le secrétariat unique vérifie que chaque dossier produit à l'appui d'une demande comporte tous les éléments énoncés ci-dessus.
« Toute modification de ces éléments doit être portée à la connaissance du secrétariat précité qui, le cas échéant, en fait part aux instances compétentes.

« Art. 22.-Dès que le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, mentionné au 2° du II de l'article 54 de la loi du 6 janvier 1978 susvisée, saisi par le secrétariat unique prévu par le 2° de l'article L. 1462-1 du code de la santé publique, a rendu son avis, celui-ci est notifié au secrétariat unique, par tout moyen permettant de dater la réception de cette notification.
« L'avis rendu par le comité est transmis au demandeur de l'autorisation.
« A l'expiration d'un délai d'un mois à compter de la date de réception du dossier complet par le comité, l'avis dudit comité est réputé favorable. En cas d'urgence, ce délai peut être ramené à quinze jours, dans les conditions prévues à l'article 32.

« Art. 23.-Lorsque le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé rend un avis favorable, le cas échéant de façon tacite, ou un avis avec recommandations, réservé ou défavorable, le demandeur informe le secrétariat unique de sa volonté de saisir ou non la commission. Il peut rectifier ou compléter son dossier de demande d'autorisation sur les points qui ont fondé le refus, les réserves ou les recommandations du comité.
« Si le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé ou le comité de protection des personnes rend un avis favorable ou lorsque le demandeur a informé le secrétariat de sa volonté que la commission soit saisie, le secrétariat unique précité transmet sans délai le dossier produit à l'appui de la demande accompagné des avis rendus, ou de l'avis de réception ou du récépissé de la demande d'avis lorsque le comité compétent a rendu un avis tacitement favorable, à la commission, qui se prononce dans les conditions prévues au III de l'article 54 de la loi précitée.
« Le secrétariat unique informe chaque comité des suites données à son avis.
« Le secrétariat unique tient à la disposition du demandeur de l'autorisation, les informations relatives à l'état d'avancement de l'instruction de son dossier jusqu'à l'avis rendu par la commission.

« Art. 24.-Conformément aux dispositions du sixième alinéa du II de l'article 54 de la loi n° 78-17 du 6 janvier 1978 susvisée, l'Institut national des données de santé prévu à l'article L. 1462-1 du code de la santé publique peut être saisi par la commission ou le ministre chargé de la santé pour qu'il se prononce sur le caractère d'intérêt public que présente une recherche, une étude ou une évaluation justifiant une demande d'autorisation de traitement de données en application du chapitre IX de la même loi. Il peut évoquer le cas de sa propre initiative, au plus tard une semaine après avis du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, lorsque la demande d'autorisation concerne une recherche, une étude ou une évaluation n'impliquant pas la personne humaine.
« Il rend un avis motivé dans un délai d'un mois à compter de sa saisine. Le cas échéant, la saisine de l'Institut national des données de santé suspend le délai d'instruction de la commission fixé par le III de l'article 25 ou par l'article 28 de la loi du 6 janvier 1978 susvisée.
« L'Institut national des données de santé peut se prononcer sans débat sur des traitements similaires à ceux qu'il a déjà examinés c'est-à-dire des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
« Lorsque l'Institut national des données de santé est saisi, le secrétariat unique mentionné à l'article 20 en avise le demandeur sans délai.
« L'avis rendu par l'Institut national des données de santé est transmis à l'auteur de la saisine et au demandeur.

« Section 2
« Composition et fonctionnement du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la Santé (CEREES)

« Art. 25.-Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé prévu par l'article 54 de la loi du 6 janvier 1978 susvisé comprend vingt et un membres, nommés par arrêté conjoint du ministre chargé de la recherche et du ministre chargé de la santé, après appel à candidatures public, en raison de leurs compétences en matière de recherche dans les domaines de la santé, de l'épidémiologie, de la génétique, de la biostatistique et des sciences humaines et sociales et en matière de traitement des données à caractère personnel, sur proposition d'un comité de sélection, dont la composition est fixée par arrêté des ministres chargés de la santé et de la recherche.
« Parmi les candidats figurent au moins trois personnes choisies pour leur connaissance des données de santé, proposées au comité de sélection respectivement par la Caisse nationale d'assurance maladie des travailleurs salariés, l'Agence nationale de santé publique et l'Institut national de la santé et de la recherche médicale.
« Le président du comité d'expertise est nommé par arrêté conjoint du ministre chargé de la recherche et du ministre chargé de la santé parmi les membres du comité et sur proposition du comité, statuant à la majorité des membres qui le constituent par un vote à bulletin secret.
« Le mandat des membres et du président du comité d'expertise est de trois ans, renouvelable une fois. Les membres démissionnaires ou décédés sont remplacés pour la durée restant à courir de leur mandat.

« Art. 26.-Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé est saisi, préalablement à la saisine de la commission de toute demande de mise en œuvre des traitements de données à caractère personnel ayant pour finalités la recherche, l'étude ou l'évaluation dans le domaine de la santé et n'impliquant pas la personne humaine, conformément au 2° du II de l'article 54 de la loi du 6 janvier 1978 susvisée.
« Il peut être consulté, en outre, par les ministères concernés, par la commission, par l'Institut national des données de santé et par les organismes publics et privés qui ont recours à des traitements de données à caractère personnel dans ce domaine.
« Les avis qu'il rend sont publiés par l'Institut national des données de santé.

« Art. 27.-I.-Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé se réunit au moins douze fois par an sur convocation de son président. Il ne peut valablement siéger que si la moitié au moins de ses membres est présente.
« Le président peut, en raison de la charge de travail, fixer des réunions supplémentaires.
« Chaque dossier est évalué par deux membres du comité, sauf exception motivée par le président, qui assure la distribution des dossiers entre les membres du comité en fonction de leurs compétences.
« II.-Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé rend ses avis à la majorité des membres présents. Le vote a lieu à main levée. En cas de partage égal des voix, celle du président est prépondérante.
« Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé peut se prononcer sans débat sur des traitements similaires à ceux qu'il a déjà examinés c'est-à-dire des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
« Lorsque l'avis rendu est favorable avec recommandations, réservé ou défavorable, il doit être motivé. S'il le juge pertinent, le comité accompagne l'avis favorable d'éléments justificatifs. La motivation de l'avis et les éléments justificatifs sont communiqués au demandeur, au secrétariat unique et à la commission si elle est saisie. Pour les traitements autorisés par la commission, la motivation de l'avis du comité les éléments justificatifs sont publiés par l'Institut national des données de santé à la fin de la recherche, de l'étude ou de l'évaluation.
« III.-Les séances du comité ne sont pas publiques. Un représentant de l'Institut national des données de santé peut y assister sans prendre part aux délibérations.
« IV.-Le comité peut faire appel à des experts extérieurs choisis par le président du comité sur proposition de ses membres, notamment pour la participation à certaines des sections mentionnées au 2° du II de l'article 54 de la loi du 6 janvier 1978. Ces experts sont soumis aux obligations prévues par l'article L. 1451-1 du code de la santé publique.
« Les membres du comité et les experts extérieurs sont tenus au secret professionnel.
« V.-Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé adopte son règlement intérieur qui définit les modalités de son fonctionnement et, le cas échéant, l'organisation des sections mentionnées au 2° du II de l'article 54 de la loi du 6 janvier 1978 et qui est approuvé par le ministre chargé de la recherche et par le ministre chargé de la santé.
« Le président peut déléguer sa signature à un membre du comité d'expertise nommément désigné.

« Art. 28.-Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé peut entendre les représentants de l'organisme ayant présenté la demande ainsi que le responsable du traitement.

« Art. 29.-Les membres du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé et les experts extérieurs auxquels il fait appel reçoivent, dans l'exercice de leur mission, une indemnité dont le montant est fixé par arrêté conjoint des ministres chargés du budget, de la santé et de la recherche. Ils ont droit en outre au remboursement des frais qu'occasionne l'exécution de leur mission, dans les conditions prévues par le décret du 28 mai 1990 susvisé.

« Art. 30.-Les dossiers, rapports, délibérations et avis sont conservés par le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé dans des conditions assurant leur confidentialité, pendant une durée maximale de dix ans, avant leur versement aux Archives nationales.

« Art. 31.-Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé établit un rapport annuel d'activité qui est adressé au ministre chargé de la recherche, au ministre chargé de la santé, des affaires sociales et de la sécurité sociale et au président de la commission.

« Art. 32.-En application du II de l'article 54, en cas d'urgence, le ministre chargé de la recherche ou le ministre chargé de la santé, des affaires sociales et de la sécurité sociale peut demander au comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé de statuer dans un délai qui peut être réduit à quinze jours. Il en informe le demandeur et le secrétariat unique.

« Section 3
« Composition et fonctionnement des comités de protection des personnes (CPP)

« Art. 33.-La composition et le fonctionnement des comités de protection des personnes sont fixés par les articles R. 1123-1 et suivants du même code.

« Section 4
« Procédures simplifiées

« Art. 34.-Pour les catégories les plus usuelles de traitements automatisés portant sur des données à caractère personnel autorisés en application du chapitre IX de la loi n° 78-17 du 6 janvier 1978, la commission ou, par délégation, le président ou le vice-président délégué établit, en concertation avec le comité d'expertise et des organismes publics et privés représentatifs, des méthodologies de référence.
« La commission ou, par délégation, le président ou le vice-président délégué homologue les méthodologies de référence ainsi établies. Celles-ci sont publiées au Journal officiel de la République française.

« Art. 34-1.-L'Institut national des données de santé peut adresser à la commission des contributions en vue d'éventuelles recommandations de la commission relatives aux traitements visés au chapitre IX de la loi n° 78-17 du 6 janvier 1978 et mentionnées à l'article 11 de cette même loi.
« Ces propositions sont rendues publiques. Elles peuvent s'appliquer à des catégories d'opérations pouvant constituer des étapes indépendantes de traitements automatisés.
« Les dossiers de demande peuvent se référer aux recommandations publiées par la commission.

« Art. 34-2.-Lorsque le responsable d'un traitement ou d'une catégorie de traitements similaires de données à caractère personnel a pris un engagement de conformité à l'une des méthodologies de référence homologuées conformément à l'article 34, seul cet engagement est envoyé à la commission qui en accuse réception. Dès lors, le responsable du traitement ou des traitements déclarés conformes peut le ou les mettre en œuvre. Le responsable des traitements tient à jour la liste des traitements entrant dans le cadre d'un engagement de conformité. Pour les traitements qui ne sont pas enregistrés dans le répertoire public mentionné à l'article L. 1121-15 du code de la santé publique, les traitements sont enregistrés dans un répertoire public mis à disposition par le secrétariat unique.

« Art. 34-3.-Pour la mise à disposition des jeux de données agrégées ou des échantillons mentionnés au V de l'article 54 de la loi du 6 janvier 1978 susvisée, les demandes d'homologation des conditions de cette mise à disposition sont transmises à la commission accompagnées d'un avis du comité d'expertise. La commission se prononce dans le délai de trois mois. Elle motive sa décision en cas de refus.

« Art. 34-4.-Dans le cadre de l'autorisation dont il bénéficie en application du VI de l'article 54 de la loi du 6 janvier 1978 susvisée, le responsable de traitement tient à jour la liste et les caractéristiques des traitements mis en œuvre.
« Il communique annuellement cette liste à la commission.

« Section 5
« Modalités d'information des personnes intéressées

« Art. 35.-Sauf dérogation accordée par la commission, la communication, avant le début du traitement, aux personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises, des informations prévues au I de l'article 57 de la loi du 6 janvier 1978 susvisée, a lieu dans les conditions suivantes :
« 1° Lorsque les données à caractère personnel sont recueillies directement auprès des personnes intéressées par questionnaire écrit, celui-ci ou à défaut la lettre qui l'accompagne porte la mention lisible de ces informations ;
« 2° Lorsque les données à caractère personnel sont recueillies oralement, l'enquêteur remet ou fait préalablement parvenir aux personnes intéressées un document contenant ces informations ;
« 3° Dans le cas où les données à caractère personnel ont été initialement recueillies pour un autre objet que le traitement envisagé, le professionnel de santé en contact direct avec la personne intéressée et effectivement chargé de sa prise en charge thérapeutique l'informe par écrit, excepté dans les cas prévus au II et au III de l'article 57.

« Art. 36.-Pour l'application du III de l'article 57, les personnes concernées sont informées de la réutilisation possible de ces données, préalablement rendues non directement identifiantes, à des fins de recherche, d'études ou d'évaluation dans les conditions mentionnées à l'article L. 1461-3 du code de la santé publique, ainsi que de leurs droits. Elles en sont informées par une mention figurant sur le site internet des établissements de santé, des établissements médico-sociaux, des organismes d'assurance maladie obligatoire ou des organismes d'assurance maladie complémentaire, et sur des supports permettant de la porter à la connaissance des personnes concernées, notamment des affiches dans les locaux ouverts au public ou des documents qui leur sont remis. Cette information est mise en œuvre par les directeurs des établissements de santé, des directeurs des établissements médico-sociaux et des directeurs des organismes d'assurance maladie obligatoire et complémentaire.

« Art. 37.-Les personnes accueillies dans les établissements ou les centres où s'exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d'un traitement ayant pour fin la recherche, une étude ou une évaluation dans le domaine de la santé sont informées des mentions prescrites au I de l'article 57 de la loi du 6 janvier 1978 susvisée par la remise d'un document ou par tout autre moyen approprié leur permettant de prendre utilement connaissance de ces mentions.

« Art. 38.-La personne qui entend s'opposer au traitement à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé des données à caractère personnel la concernant peut exprimer son refus par tout moyen auprès soit du responsable de la recherche, de l'étude ou de l'évaluation, soit de l'établissement ou du professionnel de santé détenteur de ces données excepté dans le cas prévu au II de l'article R. 1461-9 du code de la santé publique.

« Art. 39.-Lorsque la recherche, l'étude ou l'évaluation nécessite le recueil de prélèvements biologiques identifiants, le consentement de la personne concernée ou de ses représentants légaux doit être recueilli, préalablement au traitement, sous forme écrite. En cas d'impossibilité de le recueillir sous cette forme, le consentement exprès de la personne concernée est attesté par un tiers indépendant de l'organisme qui met en œuvre le traitement.

« Art. 40.-Les articles 74 à 78 du présent décret sont applicables lorsqu'une sanction est susceptible d'être prononcée en application de l'article 60 de la loi du 6 janvier 1978 susvisée. »

Le chapitre V du titre II du décret du 20 octobre 2005 susvisé est abrogé.

Le titre IX du décret du 20 octobre 2005 susvisé est ainsi modifié :
1° L'article 111 est ainsi modifié :
a) Le premier alinéa du I est remplacé par les dispositions suivantes :
« I. - Les dispositions du présent décret sont applicables en Polynésie française, en Nouvelle-Calédonie, à Wallis-et-Futuna et dans les Terres australes antarctiques françaises dans leur rédaction issue du décret n° 2016-1872 du 26 décembre 2016 modifiant le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, sous réserve des adaptations suivantes : » ;
b) Au 6° du I, le d est supprimé ;
c) Au premier alinéa du II, après les mots : « pour son application » sont insérés les mots : « à Mayotte » ;
d) Au 3° du II, après les mots : « pour La Réunion » sont insérés les mots : « et Mayotte » ;
2° A l'article 113, les mots : « à Mayotte » sont supprimés ;
3° A l'article 117, les mots : « Indépendamment de leur application à Mayotte, les » sont remplacés par le mot : « Les ».

Les demandes d'autorisations de traitements relevant du chapitre IX ou du chapitre X de la loi n° 78-17 du 6 janvier 1978 susvisée transmises à la Commission nationale de l'informatique et des libertés, antérieurement à l'entrée en vigueur des articles 2 et 3 du présent décret, sont examinées conformément aux dispositions de ces mêmes chapitres, dans leur rédaction antérieure à la loi n° 2016-41 du 26 janvier 2016 susvisée, en vigueur au moment de la transmission de la demande.

Les dispositions des articles 2 à 4 du présent décret entrent en vigueur à la date à laquelle seront toutes deux intervenues l'approbation de la convention constitutive de l'Institut national des données de santé et l'installation du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé.

La ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche, le ministre de l'économie et des finances, la ministre des affaires sociales et de la santé et la ministre des outre-mer sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.