| Loi relative à l'informatique, aux fichiers et aux libertés |
ChapitreIer : Principes et définitions.
Article 1
L'informatique doitêtre au service de chaque citoyen. Son développement doit s'opérerdans le cadre de la coopération internationale. Elle ne doit porteratteinte ni à l'identité humaine, ni aux droits de l'homme, nià la vie privée, ni aux libertés individuelles oupubliques.
Article 2
Aucune décision dejustice impliquant une appréciation sur un comportement humain ne peutavoir pour fondement un traitement automatisé d'informations donnant unedéfinition du profil ou de la personnalité del'intéressé.
Aucune décisionadministrative ou privée impliquant une appréciation sur un comportementhumain ne peut avoir pour seul fondement un traitement automatiséd'informations donnant une définition du profil ou de lapersonnalité de l'intéressé.
Article 3
Toute personne a le droitde connaître et de contester les informations et les raisonnementsutilisés dans les traitements automatisés dont lesrésultats lui sont opposés.
Article 4
Sont réputéesnominatives au sens de la présente loi les informations qui permettent,sous quelque forme que ce soit, directement ou non, l'identification despersonnes physiques auxquelles elles s'appliquent, que le traitement soiteffectué par une personne physique ou par une personne morale.
Article 5
Est dénommétraitement automatisé d'informations nominatives au sens de laprésente loi tout ensemble d'opérations réaliséespar des moyens automatiques, relatif à la collecte, l'enregistrement,l'élaboration, la modification, la conservation et la destructiond'informations nominatives ainsi que tout ensemble d'opérations demême nature se rapportant à l'exploitation de fichiers ou bases dedonnées et notamment les interconnexions ou rapprochements,consultations ou communications d'informations nominatives.
ChapitreII : La Commission nationale de l'informatique et des libertés.
ATTRIBUTIONS.
Article 6
Une Commission nationale del'informatique et des libertés est instituée. Elle estchargée de veiller au respect des dispositions de la présenteloi, notamment en informant toutes les personnes concernées de leursdroits et obligations, en se concertant avec elles et en contrôlant lesapplications de l'informatique aux traitements des informations nominatives. Lacommission dispose à cet effet d'un pouvoir réglementaire, dansles cas prévus par la présente loi.
Article 7
Les créditsnécessaires à la commission nationale pour l'accomplissement desa mission sont inscrits au budget du ministère de la justice. Lesdispositions de la loi du 10 août 1922 relative au contrôlefinancier ne sont pas applicables à leur gestion. Les comptes de lacommission sont présentés au contrôle de la Cour descomptes.
Toutefois, les fraisentraînés par l'accomplissement de certaines des formalitésvisées aux articles 15, 16, 17 et 24 de la présente loi peuventdonner lieu à la perception des redevances.
Article 8
La Commission nationale del'informatique et des libertés est une autorité administrativeindépendante.
Elle est composée dedix-sept membres nommés pour cinq ans ou pour la durée de leurmandat :
- deuxdéputés et deux sénateurs élus, respectivement parl'Assemblée nationale et par le Sénat ;
- deux membres du Conseiléconomique et social, élus par cette assemblée ;
- deux membres ou anciensmembres du Conseil d'Etat, dont l'un d'un grade au moins égal àcelui de conseiller, élus par l'assemblée généraledu Conseil d'Etat ;
- deux membres ou anciensmembres de la Cour de cassation, dont l'un d'un grade au moins égalà celui de conseiller, élus par l'assembléegénérale de la Cour de cassation ;
- deux membres ou anciensmembres de la Cour des comptes, dont l'un d'un grade au moins égalà celui de conseiller-maître, élus par l'assembléegénérale de la Cour des comptes ;
- deux personnesqualifiées pour leur connaissance des applications de l'informatique,nommées par décret sur proposition respectivement duprésident de l'Assemblée nationale et du président duSénat ;
- troispersonnalités désignées en raison de leur autoritéet de leur compétence par décret en Conseil des ministres.
La commission éliten son sein, pour cinq ans, un président et deux vice-présidents.
La commissionétablit son règlement intérieur.
En cas de partage des voix,celle du président est prépondérante.
Si, en cours de mandat, leprésident ou un membre de la commission cesse d'exercer ses fonctions,le mandat de son successeur est limité à la périoderestant à courir.
La qualité de membrede la commission est incompatible :
- avec celle de membre duGouvernement ;
- avec l'exercice defonctions ou la détention de participation dans les entreprisesconcourant à la fabrication de matériel utilisé eninformatique ou en télécommunication ou à la fourniture deservices en informatique ou en télécommunication.
La commissionapprécie dans chaque cas les incompatibilités qu'elle peutopposer à ses membres.
Sauf démission, ilne peut être mis fin aux fonctions de membre qu'en casd'empêchement constaté par la commission dans les conditionsqu'elle définit.
Article 9
Un commissaire duGouvernement, désigné par le Premier ministre, siègeauprès de la commission.
Il peut, dans les dix joursd'une délibération, provoquer une secondedélibération.
Article 10
Modifié par Loi99-641 27 Juillet 1999 art 41 JORF 28 juillet 1999.
La commission dispose deservices qui sont dirigés par le président ou, surdélégation, par un vice-président et placés sousson autorité.
La commission peut chargerle président ou le vice-président déléguéd'exercer ses attributions en ce qui concerne l'application des articles 16, 17et 21 (4°, 5° et 6°), ainsi que des articles 40-13 et 40-14.
Les agents de la commissionnationale sont nommés par le président ou levice-président délégué.
Article 11
La commission peut demanderaux premiers présidents de cour d'appel ou aux présidents detribunaux administratifs de déléguer un magistrat de leurressort, éventuellement assisté d'experts, pour des missionsd'investigation et de contrôle effectuées sous sa direction.
Article 12
Modifié par Loi92-1336 16 Décembre 1992 art 256 et 333 JORF 23 décembre 1992 envigueur le 1er mars 1994.
Les membres et les agentsde la commission sont astreints au secret professionnel pour les faits, actesou renseignements dont ils ont pu avoir connaissance en raison de leursfonctions, dans les conditions prévues à l'article 413-10 du codepénal et, sous réserve de ce qui est nécessaire àl'établissement du rapport annuel prévu ci-après, auxarticles 226-13 et 226-14 du code pénal.
Article 13
Dans l'exercice de leursattributions, les membres de la Commission nationale de l'informatique et deslibertés ne reçoivent d'instruction d'aucune autorité.
Les informaticiensappelés, soit à donner les renseignements à la commission,soit à témoigner devant elle, sont déliés en tantque de besoin de leur obligation de discrétion.
Chapitre III : Formalités préalables à lamise en oeuvre des traitements automatisés.
Article 14
La Commission nationale del'informatique et des libertés veille à ce que les traitementsautomatisés, publics ou privés, d'informations nominatives,soient effectués conformément aux dispositions de la présenteloi.
Article 15
Hormis les cas oùils doivent être autorisés par la loi, les traitementsautomatisés d'informations nominatives opérés pour lecompte de l'Etat, d'un établissement public ou d'une collectivitéterritoriale, ou d'une personne morale de droit privé gérant unservice public, sont décidés par un acte réglementairepris après avis motivé de la Commission nationale del'informatique et des libertés .
Si l'avis de la commissionest défavorable, il ne peut être passé outre que par undécret pris sur avis conforme du Conseil d'Etat ou, s'agissant d'unecollectivité territoriale, en vertu d'une décision de son organedélibérant approuvée par décret pris sur avisconforme du Conseil d'Etat.
Si, au terme d'undélai de deux mois renouvelable une seule fois sur décision duprésident, l'avis de la commission n'est pas notifié, il estréputé favorable.
Article 16
Les traitementsautomatisés d'informations nominatives effectués pour le comptede personnes autres que celles qui sont soumises aux dispositions de l'article15 doivent, préalablement à leur mise en oeuvre, faire l'objetd'une déclaration, auprès de la Commission nationale del'informatique et des libertés.
Cette déclarationcomporte l'engagement que le traitement satisfait aux exigences de la loi.
Dès qu'il areçu le récépissé délivré sansdélai par la commission, le demandeur peut mettre en oeuvre letraitement. Il n'est exonéré d'aucune de sesresponsabilités.
Article 17
Pour les catégoriesles plus courantes de traitements à caractère public ouprivé, qui ne comportent manifestement pas d'atteinte à la vieprivée ou aux libertés, la commission nationale de l'informatiqueet des libertés établit et publie des normes simplifiéesinspirées des caractéristiques mentionnées àl'article 19.
Pour les traitementsrépondant à ces normes, seule une déclarationsimplifiée de conformité à l'une de ces normes estdéposée auprès de la commission. Sauf décisionparticulière de celle-ci, le récépissé dedéclaration est délivré sans délai. Dèsréception de ce récépissé, le demandeur peut mettreen oeuvre le traitement. Il n'est exonéré d'aucune de sesresponsabilités.
Article 18
L'utilisation durépertoire national d'identification des personnes physiques en vued'effectuer des traitements nominatifs est autorisée par décreten Conseil d'Etat pris après avis de la commission .
Article 19
La demande d'avis ou ladéclaration doit préciser :
- la personne quiprésente la demande et celle qui a pouvoir de décider lacréation du traitement ou, si elle réside àl'étranger, son représentant en France ;
- lescaractéristiques, la finalité et, s'il y a lieu, ladénomination du traitement ;
- le service ou lesservices chargés de mettre en oeuvre celui-ci ;
- le service auprèsduquel s'exerce le droit d'accès défini au chapitre V ci-dessous ainsique les mesures prises pour faciliter l'exercice de ce droit ;
- les catégories depersonnes qui, à raison de leurs fonctions ou pour les besoins duservice, ont directement accès aux informations enregistrées ;
- les informationsnominatives traitées, leur origine et la durée de leurconservation ainsi que leurs destinataires ou catégories dedestinataires habilités à recevoir communication de cesinformations ;
- les rapprochements,interconnexions ou toute autre forme de mise en relation de ces informationsainsi que leur cession à des tiers ;
- les dispositions prisespour assurer la sécurité des traitements et des informations etla garantie des secrets protégés par la loi ;
- si le traitement estdestiné à l'expédition d'informations nominatives entre leterritoire français et l'étranger, sous quelque forme que cesoit, y compris lorsqu'il est l'objet d'opérations partiellementeffectuées sur le territoire français à partird'opérations antérieurement réalisées hors deFrance.
Toute modification auxmentions énumérées ci-dessus, ou toute suppression detraitement, est portée à la connaissance de la commission.
Peuvent ne pas comportercertaines des mentions énumérées ci-dessus les demandesd'avis relatives aux traitements automatisés d'informations nominativesintéressant la sûreté de l'Etat, la défense et lasécurité publique.
Article 20
L'acte réglementaireprévu pour les traitements régis par l'article 15 ci-dessusprécise notamment :
- la dénomination etla finalité du traitement ;
- le service auprèsduquel s'exerce le droit d'accès défini au chapitre V ci-dessous;
- les catégoriesd'informations nominatives enregistrées ainsi que les destinataires oucatégories de destinataires habilités à recevoircommunication de ces informations.
Des décrets enConseil d'Etat peuvent disposer que les actes réglementaires relatifsà certains traitements intéressant la sûreté del'Etat, la défense et la sécurité publique ne seront paspubliés.
Article 21
Pour l'exercice de samission de contrôle, la commission :
1° Prend desdécisions individuelles ou réglementaires dans les casprévus par la présente loi ;
2° Peut, pardécision particulière, charger un ou plusieurs de ses membres ou
de ses agents, assistés, le cas échéant, d'experts, de
procéder, à l'égard de tout traitement, à des
vérifications sur place et de se faire communiquer tous renseignements
et documents utiles à sa mission ;
3° Edicte, le cas
échéant, des règlements types en vue d'assurer la
sécurité des systèmes ; en cas de circonstances exceptionnelles,
elle peut prescrire des mesures de sécurité pouvant aller
jusqu'à la destruction des supports d'informations ;
4° Adresse aux
intéressés des avertissements et dénonce au parquet les
infractions dont elle a connaissance, conformément à l'article 40
du code de procédure pénale ;
5° Veille à ce
que les modalités de mise en oeuvre du droit d'accès et de
rectification indiquées dans les actes et déclarations
prévus aux articles 15 et 16 n'entravent pas le libre exercice de ce
droit ;
6° Reçoit les
réclamations, pétitions et plaintes ;
7° Se tient
informée des activités industrielles et de services qui
concourent à la mise en oeuvre de l'informatique.
Les ministres,
autorités publiques, dirigeants d'entreprises, publiques ou
privées, responsables de groupements divers et plus
généralement les détenteurs ou utilisateurs de fichiers
nominatifs ne peuvent s'opposer à l'action de la commission ou de ses
membres pour quelque motif que ce soit et doivent au contraire prendre toutes
mesures utiles afin de faciliter sa tâche.
Article 22
La commission met à
la disposition du public la liste des traitements qui précise pour
chacun d'eux :
- la loi ou l'acte
réglementaire décidant de sa création ou la date de sa
déclaration ;
- sa dénomination et
sa finalité ;
- le service auprès
duquel est exercé le droit d'accès prévu au chapitre V
ci-dessous ;
- les catégories
d'informations nominatives enregistrées ainsi que les destinataires ou
catégories de destinataires habilités à recevoir
communication de ces informations.
Sont tenus à la
disposition du public, dans les conditions fixées par décret, les
décisions, avis ou recommandations de la commission dont la connaissance
est utile à l'application ou à l'interprétation de la
présente loi.
Article 23
La commission présente
chaque année au Président de la République et au Parlement
un rapport rendant compte de l'exécution de sa mission. Ce rapport est
publié.
Ce rapport décrira
notamment les procédures et méthodes de travail suivies par la
commission et contiendra en annexe toutes informations sur l'organisation de la
commission et de ses services, propres à faciliter les relations du
public avec celle-ci.
Article 24
Sur proposition ou
après avis de la commission , la transmission entre le territoire
français et l'étranger, sous quelque forme que ce soit,
d'informations nominatives faisant l'objet de traitements automatisés
régis par l'article 16 ci-dessus peut être soumise à
autorisation préalable ou réglementée selon des
modalités fixées par décret en Conseil d'Etat, en vue
d'assurer le respect des principes posés par la présente loi.
Chapitre IV : Collecte, enregistrement et conservation des
informations nominatives.
Article 25
La collecte de
données opérée par tout moyen frauduleux, déloyal
ou illicite est interdite.
Article 26
Toute personne physique a
le droit de s'opposer, pour des raisons légitimes, à ce que des
informations nominatives la concernant fassent l'objet d'un traitement.
Ce droit ne s'applique pas
aux traitements limitativement désignés dans l'acte
réglementaire prévu à l'article 15.
Article 27
Les personnes auprès
desquelles sont recueillies des informations nominatives doivent être
informées :
- du caractère
obligatoire ou facultatif des réponses ;
- des conséquences
à leur égard d'un défaut de réponse ;
- des personnes physiques
ou morales destinataires des informations ;
- de l'existence d'un droit
d'accès et de rectification.
Lorsque de telles
informations sont recueillies par voie de questionnaires, ceux-ci doivent
porter mention de ces prescriptions.
Ces dispositions ne
s'appliquent pas à la collecte des informations nécessaires
à la constatation des infractions.
Article 28
Modifié par Loi
2000-321 12 Avril 2000 art 5 JORF 13 avril 2000.
I - Au-delà de la
durée nécessaire à la réalisation des
finalités pour lesquelles elles ont été collectées
ou traitées, les informations ne peuvent être conservées
sous une forme nominative qu'en vue de leur traitement à des fins
historiques, statistiques ou scientifiques. Le choix des informations qui
seront ainsi conservées est opéré dans les conditions
prévues à l'article 4-1 de la loi n° 79-18 du 3 janvier 1979
sur les archives.
II. - Les informations
ainsi conservées, autres que celles visées à l'article 31,
ne peuvent faire l'objet d'un traitement à d'autres fins qu'à des
fins historiques, statistiques ou scientifiques, à moins que ce
traitement n'ait reçu l'accord exprès des
intéressés ou ne soit autorisé par la commission dans
l'intérêt des personnes concernées.
Lorsque ces informations
comportent des données mentionnées à l'article 31, un tel
traitement ne peut être mis en oeuvre, à moins qu'il n'ait
reçu l'accord exprès des intéressés, ou qu'il n'ait
été autorisé, pour des motifs d'intérêt
public et dans l'intérêt des personnes concernées, par décret
en Conseil d'Etat sur proposition ou avis conforme de la commission.
Article 29
Toute personne ordonnant ou
effectuant un traitement d'informations nominatives s'engage de ce fait,
vis-à-vis des personnes concernées, à prendre toutes
précautions utiles afin de préserver la sécurité
des informations et notamment d'empêcher qu'elles ne soient
déformées, endommagées ou communiquées à des
tiers non autorisés.
Article 29-1
Créé par
Loi 2000-321 12 Avril 2000 art 5 JORF 13 avril 2000.
Les dispositions de la
présente loi ne font pas obstacle à l'application, au
bénéfice de tiers, des dispositions du titre Ier de la loi n°
78-753 du 17 juillet 1978 portant
diverses mesures d'amélioration des relations entre
l'administration et le public et diverses dispositions d'ordre administratif,
social et fiscal et des dispositions du titre II de la loi n° 79-18 du 3
janvier 1979 précitée.
En conséquence, ne
peut être regardé comme un tiers non autorisé au sens de
l'article 29 le titulaire d'un droit d'accès aux documents
administratifs ou aux archives publiques exercé conformément aux
lois n° 78-753 du 17 juillet 1978 précitée et n° 79-18 du
3 janvier 1979 précitée.
Article 30
Sauf dispositions
législatives contraires, les juridictions et autorités publiques
agissant dans le cadre de leurs attributions légales ainsi que, sur avis
conforme de la commission nationale , les personnes morales gérant un
service public peuvent seules procéder au traitement automatisé
des informations nominatives concernant les infractions, condamnations ou
mesures de sûreté.
Jusqu'à la mise en
oeuvre du fichier des conducteurs prévu par la loi n° 70-539 du 24
juin 1970, les entreprises d'assurances sont autorisées, sous le
contrôle de la commission, à traiter elles-mêmes les informations
mentionnées à l'article 5 de ladite loi et concernant les
personnes visées au dernier alinéa dudit article.
Article 31
Modifié par Loi
92-1336 16 Décembre 1992 art 257 JORF 23 décembre 1992 en vigueur
le 1er mars 1994.
Il est interdit de mettre
ou conserver en mémoire informatisée, sauf accord exprès
de l'intéressé, des données nominatives qui, directement
ou indirectement, font apparaître les origines raciales ou les opinions
politiques, philosophiques ou religieuses ou les appartenances syndicales ou les
moeurs des personnes.
Toutefois, les
églises et les groupements à caractère religieux,
philosophique, politique ou syndical peuvent tenir registre de leurs membres ou
de leurs correspondants sous forme automatisée. Aucun contrôle ne
peut être exercé, de ce chef, à leur encontre.
Pour des motifs
d'intérêt public, il peut aussi être fait exception à
l'interdiction ci-dessus sur proposition ou avis conforme de la commission par
décret en Conseil d'Etat.
COLLECTE,
ENREGISTREMENT ET CONSERVATION DES INFORMATIONS NOMINATIVES
Article 32
Abrogé par Loi
88-227 11 Mars 1988 art 13 JORF 12 mars 1988.
Chapitre IV : Collecte, enregistrement et conservation des
informations nominatives.
Article 33
Les dispositions des
articles 24, 30 et 31 ne s'appliquent pas aux informations nominatives
traitées par les organismes de la presse écrite ou audiovisuelle
dans le cadre des lois qui les régissent et dans les cas où leur
application aurait pour effet de limiter l'exercice de la liberté
d'expression.
Article 33-1
Créé par
Loi 2000-321 12 Avril 2000 art 5 JORF 13 avril 2000.
Les modalités
d'application du présent chapitre sont fixées par décret
en Conseil d'Etat pris après avis de la commission.
Chapitre V
: Exercice du droit d'accès.
Article 34
Toute personne justifiant
de son identité a le droit d'interroger les services ou organismes
chargés de mettre en oeuvre les traitements automatisés dont la
liste est accessible au public en application de l'article 22 ci-dessus en vue
de savoir si ces traitements portent sur des informations nominatives la
concernant et, le cas échéant, d'en obtenir communication.
Article 35
Le titulaire du droit
d'accès peut obtenir communication des informations le concernant. La
communication, en langage clair, doit être conforme au contenu des
enregistrements.
Une copie est
délivrée au titulaire du droit d'accès qui en fait la
demande contre perception d'une redevance forfaitaire variable selon la
catégorie de traitement dont le montant est fixé par
décision de la commission et homologué par arrêté du
ministre de l'économie et des finances.
Toutefois, la commission
saisie contradictoirement par le responsable du fichier peut lui accorder :
- des délais de
réponse ;
- l'autorisation de ne pas
tenir compte de certaines demandes manifestement abusives par leur nombre, leur
caractère répétitif ou systématique.
Lorsqu'il y a lieu de
craindre la dissimulation ou la disparition des informations mentionnées
au premier alinéa du présent article, et même avant
l'exercice d'un recours juridictionnel, il peut être demandé au
juge compétent que soient ordonnées toutes mesures de nature
à éviter cette dissimulation ou cette disparition.
Article 36
Le titulaire du droit
d'accès peut exiger que soient rectifiées,
complétées, clarifiées, mises à jour ou
effacées les informations le concernant qui sont inexactes,
incomplètes, équivoques, périmées ou dont la
collecte, ou l'utilisation, la communication ou la conservation est interdite.
Lorsque
l'intéressé en fait la demande, le service ou organisme concerné
doit délivrer sans frais copie de l'enregistrement modifié.
En cas de contestation, la
charge de la preuve incombe au service auprès duquel est exercé
le droit d'accès sauf lorsqu'il est établi que les informations
contestées ont été communiquées par la personne
concernée ou avec son accord.
Lorsque le titulaire du
droit d'accès obtient une modification de l'enregistrement, la redevance
versée en application de l'article 35 est remboursée.
Article 37
Un fichier nominatif doit
être complété ou corrigé même d'office lorsque
l'organisme qui le tient acquiert connaissance de l'inexactitude ou du
caractère incomplet d'une information nominative contenue dans ce
fichier.
Article 38
Si une information a
été transmise à un tiers, sa rectification ou son
annulation doit être notifiée à ce tiers, sauf dispense
accordée par la commission .
Article 39
En ce qui concerne les
traitements intéressant la sûreté de l'Etat, la
défense et la sécurité publique, la demande est
adressée à la commission qui désigne l'un de ses membres
appartenant ou ayant appartenu au Conseil d'Etat, à la Cour de cassation
ou à la Cour des comptes pour mener toutes investigations utiles et
faire procéder aux modifications nécessaires. Celui-ci peut se faire
assister d'un agent de la commission.
Il est notifié au
requérant qu'il a été procédé aux
vérifications.
Article 40
Modifié par Loi
2002-303 4 Mars 2002 art 14 JORF 5 mars 2002.
Lorsque l'exercice du droit
d'accès s'applique à des données de santé à
caractère personnel, celles-ci peuvent être communiquées
à la personne concernée, selon son choix, directement ou par
l'intermédiaire d'un médecin qu'elle désigne à cet
effet, dans le respect des dispositions de l'article L 1111-7 du code de la
santé publique.
Chapitre V bis : Traitements automatisés de
données nominatives ayant pour fin la recherche dans le domaine de la
santé.
Article 40-1
Créé par
Loi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
Les traitements
automatisés de données nominatives ayant pour fin la recherche
dans le domaine de la santé sont soumis aux dispositions de la
présente loi, à l'exception des articles 15, 16, 17, 26 et 27.
Les traitements de
données ayant pour fin le suivi thérapeutique ou médical
individuel des patients ne sont pas soumis aux dispositions du présent
chapitre. Il en va de même des traitements permettant d'effectuer des
études à partir des données ainsi recueillies si ces
études sont réalisées par les personnels assurant ce suivi
et destinées à leur usage exclusif.
Article 40-2
Créé par
Loi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
Pour chaque demande de mise
en oeuvre d'un traitement de données, un comité consultatif sur
le traitement de l'information en matière de recherche dans le domaine
de la santé, institué auprès du ministre chargé de
la recherche et composé de personnes compétentes en
matière de recherche dans le domaine de la santé,
d'épidémiologie, de génétique et de biostatistique,
émet un avis sur la méthodologie de la recherche au regard des
dispositions de la présente loi, la nécessité du recours
à des données nominatives et la pertinence de celles-ci par
rapport à l'objectif de la recherche, préalablement à la
saisine de la Commission nationale de l'informatique et des libertés.
Le comité
consultatif dispose d'un mois pour transmettre son avis au demandeur. A
défaut, l'avis est réputé favorable. En cas d'urgence, ce
délai peut être ramené à quinze jours.
Le président du
comité consultatif peut mettre en oeuvre une procédure
simplifiée.
La mise en oeuvre du traitement
de données est ensuite soumise à l'autorisation de la Commission
nationale de l'informatique et des libertés, qui dispose, à
compter de sa saisine par le demandeur, d'un délai de deux mois,
renouvelable une seule fois, pour se prononcer. A défaut de décision
dans ce délai, le traitement de données est autorisé.
Article 40-3
Modifié par Loi
2000-321 12 Avril 2000 art 5 JORF 13 avril 2000.
Nonobstant les
règles relatives au secret professionnel, les membres des professions de
santé peuvent transmettre les données nominatives qu'ils
détiennent dans le cadre d'un traitement automatisé de
données autorisé en application de l'article 40-1.
Lorsque ces données
permettent l'identification des personnes, elles doivent être
codées avant leur transmission. Toutefois, il peut être
dérogé à cette obligation lorsque le traitement de
données est associé à des études de
pharmacovigilance ou à des protocoles de recherche
réalisés dans le cadre d'études coopératives
nationales ou internationales ; il peut également y être
dérogé si une particularité de la recherche l'exige. La
demande d'autorisation comporte la justification scientifique et technique de
la dérogation et l'indication de la période nécessaire
à la recherche. A l'issue de cette période, les données
sont conservées et traitées dans les conditions fixées
à l'article 28.
La présentation des
résultats du traitement de données ne peut en aucun cas permettre
l'identification directe ou indirecte des personnes concernées.
Les données sontreçues par le responsable de la recherche désigné àcet effet par la personne physique ou morale autorisée à mettreen oeuvre le traitement. Ce responsable veille à lasécurité des informations et de leur traitement, ainsi qu'aurespect de la finalité de celui-ci.
Les personnes appeléesà mettre en oeuvre le traitement de données ainsi que celles quiont accès aux données sur lesquelles il porte sont astreintes ausecret professionnel sous les peines prévues à l'article 226-13du code pénal.
Article 40-4
Créé parLoi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
Toute personne a le droitde s'opposer à ce que des données nominatives la concernantfassent l'objet d'un traitement visé à l'article 40-1.
Dans le cas où larecherche nécessite le recueil de prélèvements biologiquesidentifiants, le consentement éclairé et exprès despersonnes concernées doit être obtenu préalablementà la mise en oeuvre du traitement de données.
Les informations concernantles personnes décédées, y compris celles qui figurent surles certificats des causes de décès, peuvent faire l'objet d'untraitement de données, sauf si l'intéressé a, de sonvivant, exprimé son refus par écrit.
Article 40-5
Créé parLoi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
Les personnes auprèsdesquelles sont recueillies des données nominatives ou à proposdesquelles de telles données sont transmises sont, avant le débutdu traitement de ces données, individuellement informées :
1° De la nature desinformations transmises ;
2° De lafinalité du traitement de données ;
3° Des personnesphysiques ou morales destinataires des données ;
4° Du droitd'accès et de rectification institué au chapitre V ;
5° Du droitd'opposition institué aux premier et troisième alinéas del'article 40-4 ou, dans le cas prévu au deuxième alinéa decet article, de l'obligation de recueillir leur consentement.
Toutefois, ces informationspeuvent ne pas être délivrées si, pour des raisonslégitimes que le médecin traitant apprécie en conscience,le malade est laissé dans l'ignorance d'un diagnostic ou d'un pronosticgrave.
Dans le cas où lesdonnées ont été initialement recueillies pour un autreobjet que le traitement, il peut être dérogé àl'obligation d'information individuelle lorsque celle-ci se heurte à ladifficulté de retrouver les personnes concernées. Lesdérogations à l'obligation d'informer les personnes del'utilisation de données les concernant à des fins de recherchesont mentionnées dans le dossier de demande d'autorisation transmis àla Commission nationale de l'informatique et des libertés, qui statuesur ce point.
Article 40-6
Créé parLoi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
Sont destinataires del'information et exercent les droits prévus aux articles 40-4 et 40-5les titulaires de l'autorité parentale, pour les mineurs, ou le tuteur,pour les personnes faisant l'objet d'une mesure de protection légale.
Article 40-7
Créé parLoi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
Une information relativeaux dispositions du présent chapitre doit être assurée danstout établissement ou centre où s'exercent des activitésde prévention, de diagnostic et de soins donnant lieu à latransmission de données nominatives en vue d'un traitement viséà l'article 40-1.
Article 40-8
Créé parLoi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
La mise en uvre d'untraitement automatisé de données en violation des conditionsprévues par le présent chapitre entraîne le retraittemporaire ou définitif, par la Commission nationale de l'informatiqueet des libertés, de l'autorisation délivrée en applicationdes dispositions de l'article 40-2.
Il en est de même encas de refus de se soumettre au contrôle prévu par le 2° del'article 21.
Article 40-9
Créé parLoi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
La transmission hors duterritoire français de données nominatives non codéesfaisant l'objet d'un traitement automatisé ayant pour fin la recherchedans le domaine de la santé n'est autorisée, dans les conditionsprévues à l'article 40-2, que si la législation de l'Etatdestinataire apporte une protection équivalente à la loifrançaise.
Article 40-10
Créé parLoi 94-548 1er Juillet 1994 art 1 JORF 2 juillet 1994.
Un décret en Conseild'Etat précise les modalités d'application du présentchapitre.
Chapitre V ter : Traitement des données personnelles desanté à des fins d'évaluation ou d'analyse desactivités de soins et de prévention.
Article 40-11
Créé parLoi 99-641 27 Juillet 1999 art 41 JORF 28 juillet 1999.
Les traitements dedonnées personnelles de santé qui ont pour finl'évaluation des pratiques de soins et de prévention sontautorisés dans les conditions prévues au présent chapitre.
Les dispositions duprésent chapitre ne s'appliquent ni aux traitements de donnéespersonnelles effectuées à des fins de remboursement ou decontrôle par les organismes chargés de la gestion d'unrégime de base d'assurance maladie, ni aux traitements effectuésau sein des établissements de santé par les médecinsresponsables de l'information médicale dans les conditions prévuesau deuxième alinéa de l'article L 710-6 du code de lasanté publique.
Article 40-12
Créé parLoi 99-641 27 Juillet 1999 art 41 JORF 28 juillet 1999.
Les données issuesdes systèmes d'information visés à l'article L 710-6 ducode de la santé publique, celles issues des dossiers médicauxdétenus dans le cadre de l'exercice libéral des professions desanté, ainsi que celles issues des systèmes d'information descaisses d'assurance maladie, ne peuvent être communiquées àdes fins statistiques d'évaluation ou d'analyse des pratiques et desactivités de soins et de prévention que sous la forme destatistiques agrégées ou de données par patientconstituées de telle sorte que les personnes concernées ne puissentêtre identifiées.
Il ne peut êtredérogé aux dispositions de l'alinéaprécédent que sur autorisation de la Commission nationale del'informatique et des libertés dans les conditions prévues auxarticles 40-13 à 40-15. Dans ce cas, les données utiliséesne comportent ni le nom, ni le prénom des personnes, ni leurnuméro d'inscription au Répertoire national d'identification despersonnes physiques.
Article 40-13
Créé parLoi 99-641 27 Juillet 1999 art 41 JORF 28 juillet 1999.
Pour chaque demande, lacommission vérifie les garanties présentées par ledemandeur pour l'application des présentes dispositions et, le caséchéant, la conformité de sa demande à ses missionsou à son objet social. Elle s'assure de la nécessité derecourir à des données personnelles et de la pertinence dutraitement au regard de sa finalité déclaréed'évaluation ou d'analyse des pratiques ou des activités de soinset de prévention. Elle vérifie que les donnéespersonnelles dont le traitement est envisagé ne comportent ni le nom, nile prénom des personnes concernées, ni leur numérod'inscription au Répertoire national d'identification des personnesphysiques. En outre, si le demandeur n'apporte pas d'élémentssuffisants pour attester la nécessité de disposer de certainesinformations parmi l'ensemble des données personnelles dont letraitement est envisagé, la commission peut interdire la communicationde ces informations par l'organisme qui les détient et n'autoriser letraitement que des données ainsi réduites.
La commissiondétermine la durée de conservation des donnéesnécessaires au traitement et apprécie les dispositions prisespour assurer leur sécurité et la garantie des secretsprotégés par la loi.
Article 40-14
Créé parLoi 99-641 27 Juillet 1999 art 41 JORF 28 juillet 1999.
La commission dispose,à compter de sa saisine par le demandeur, d'un délai de deuxmois, renouvelable une seule fois, pour se prononcer. A défaut dedécision dans ce délai, ce silence vaut décision de rejet.Les modalités d'instruction par la commission des demandesd'autorisation sont fixées par décret en Conseil d'Etat.
Les traitementsrépondant à une même finalité portant sur descatégories de données identiques et ayant des destinataires oudes catégories de destinataires identiques peuvent faire l'objet d'unedécision unique de la commission.
Article 40-15
Créé parLoi 99-641 27 Juillet 1999 art 41 JORF 28 juillet 1999.
Les traitementsautorisés conformément aux articles 40-13 et 40-14 ne peuventservir à des fins de recherche ou d'identification des personnes. Lespersonnes appelées à mettre en uvre ces traitements, ainsi quecelles qui ont accès aux données faisant l'objet de cestraitements ou aux résultats de ceux-ci lorsqu'ils demeurentindirectement nominatifs, sont astreintes au secret professionnel sous les peinesprévues à l'article 226-13 du code pénal.
Les résultats de cestraitements ne peuvent faire l'objet d'une communication, d'une publication oud'une diffusion que si l'identification des personnes sur l'étatdesquelles ces données ont été recueillies est impossible.
ChapitreVI : Dispositions pénales.
Article 41
Modifié par Loi92-1336 16 Décembre 1992 art 258 JORF 23 décembre 1992 en vigueurle 1er mars 1994.
Les infractions auxdispositions de la présente loi sont prévues etréprimées par les articles 226-16 à 226-24 du codepénal.
Article 42
Modifié parOrdonnance 2000-916 19 Septembre 2000 art 3 JORF 22 septembre 2000 en vigueurle 1er janvier 2002.
Le fait d'utiliser leRépertoire national d'identification des personnes physiques sansl'autorisation prévue à l'article 18 est puni de cinq ansd'emprisonnement et de 300000 euros d'amende.
Article 43
Modifié parOrdonnance 2000-916 19 Septembre 2000 art 3 JORF 22 septembre 2000 en vigueurle 1er janvier 2002.
Est puni d'un and'emprisonnement et de 15000 euros d'amende le fait d'entraver l'action de laCommission nationale de l'informatique et des libertés :
1° Soit en s'opposantà l'exercice de vérifications sur place ;
2° Soit en refusant decommuniquer à ses membres, à ses agents ou aux magistrats misà sa disposition les renseignements et documents utiles à lamission qui leur est confiée par la commission ou en dissimulant lesditsdocuments ou renseignements, ou encore en les faisant disparaître ;
3° Soit en communiquantdes informations qui ne sont pas conformes au contenu des enregistrements aumoment où la demande a été formulée ou qui ne leprésentent pas sous une forme directement intelligible.
Article 44
Abrogé par Loi92-1336 16 Décembre 1992 art 261 JORF 23 décembre 1992 en vigueurle 1er mars 1994.
Chapitre VII : Dispositions diverses.
Article 45
Modifié par Loi2000-321 12 Avril 2000 art 5 JORF 13 avril 2000.
Les dispositions desarticles 25, 27, 28, 29, 29-1, 30, 31, 32 et 33 relatifs à la collecte,l'enregistrement et la conservation des informations nominatives sontapplicables aux fichiers non automatisés ou mécanographiquesautres que ceux dont l'usage relève du strict exercice du droit àla vie privée.
Le premier alinéa del'article 26 est applicable aux mêmes fichiers, à l'exception desfichiers publics désignés par un acte réglementaire.
Toute personne justifiantde son identité a le droit d'interroger les services ou organismes quidétiennent des fichiers mentionnés au premier alinéa duprésent article en vue de savoir si ces fichiers contiennent desinformations nominatives le concernant. Le titulaire du droit d'accès ale droit d'obtenir communication de ces informations ; il peut exiger qu'ilsoit fait application des trois premiers alinéas de l'article 36 de laprésente loi relatifs au droit de rectification. Les dispositions desarticles 37, 38, 39 et 40 sont également applicables. Un décreten Conseil d'Etat fixe les conditions d'exercice du droit d'accès et derectification ; ce décret peut prévoir la perception deredevances pour la délivrance de copies des informationscommuniquées.
Le Gouvernement, surproposition de la Commission nationale de l'informatique et deslibertés, peut décider, par décret en Conseil d'Etat, queles autres dispositions de la présente loi peuvent, en totalitéou en partie, s'appliquer à un fichier ou à des catégoriesde fichiers non automatisés ou mécanographiques quiprésentent, soit par eux-mêmes, soit par la combinaison de leuremploi avec celui d'un fichier informatisé, des dangers quant àla protection des libertés.
Article 46
Des décrets enConseil d'Etat fixeront les modalités d'application de laprésente loi. Ils devront être pris dans un délai de sixmois à compter de sa promulgation.
Ces décretsdétermineront les délais dans lesquels les dispositions de laprésente loi entreront en vigueur. Ces délais ne pourrontexcéder deux ans à compter de la promulgation de ladite loi.
Article 47
Modifié par Loi2001-616 11 Juillet 2001 art 75 JORF 13 juillet 2001.
La présente loi estapplicable à Mayotte et aux territoires d'outre-mer.
Par dérogation auxdispositions du deuxième alinéa de l'article 40-2, lecomité consultatif dispose d'un délai de deux mois pourtransmettre son avis au demandeur domicilié dans un territoired'outre-mer ou à Mayotte. En cas d'urgence, ce délai peutêtre ramené à un mois.
Article 48
A titre transitoire, lestraitements régis par l'article 15 ci-dessus, et déjàcréés, ne sont soumis qu'à une déclarationauprès de la Commission nationale de l'informatique et deslibertés dans les conditions prévues aux articles 16 et 17.
La commission peuttoutefois, par décision spéciale, faire application desdispositions de l'article 15 et fixer le délai au terme duquel l'acteréglementant le traitement doit être pris.
A l'expiration d'undélai de deux ans à compter de la promulgation de laprésente loi, tous les traitements régis par l'article 15 devrontrépondre aux prescriptions de cet article.