Loi 78-17

### Article 6

Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes :

1° Les données sont collectées et traitées de manière loyale et licite ;

2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des principes et des procédures prévus au présent chapitre, au chapitre IV et à la section 1 du chapitre V ainsi 

qu'aux chapitres IX et X

qu'au chapitre IX

 et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées ;

3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ;

4° Elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ;

5° Elles sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.

### Article 8

I. - Il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci.

II. -

Dans la mesure où la finalité du traitement l'exige pour certaines catégories de données, ne sont pas soumis à l'interdiction prévue au I :

1° Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l'interdiction visée au I ne peut être levée par le consentement de la personne concernée ;

2° Les traitements nécessaires à la sauvegarde de la vie humaine, mais auxquels la personne concernée ne peut donner son consentement par suite d'une incapacité juridique ou d'une impossibilité matérielle ;

3° Les traitements mis en oeuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical :

- pour les seules données mentionnées au I correspondant à l'objet de ladite association ou dudit organisme ;

- sous réserve qu'ils ne concernent que les membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité ;

- et qu'ils ne portent que sur des données non communiquées à des tiers, à moins que les personnes concernées n'y consentent expressément ;

4° Les traitements portant sur des données à caractère personnel rendues publiques par la personne concernée ;

5° Les traitements nécessaires à la constatation, à l'exercice ou à la défense d'un droit en justice ;

6° Les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en oeuvre par un membre d'une profession de santé, ou par une autre personne à laquelle s'impose en raison de ses fonctions l'obligation de secret professionnel prévue par l'article 226-13 du code pénal ;

7° Les traitements statistiques réalisés par l'Institut national de la statistique et des études économiques ou l'un des services statistiques ministériels dans le respect de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, après avis du Conseil national de l'information statistique et dans les conditions prévues à l'article 25 de la présente loi ;

8° Les traitements nécessaires à la recherche

, aux études et évaluations

 dans le domaine de la santé selon les modalités prévues au chapitre IX.

III.

-

 - 

Si les données à caractère personnel visées au I sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l'informatique et des libertés, celle-ci peut autoriser, compte tenu de leur finalité, certaines catégories de traitements selon les modalités prévues à l'article 25. Les dispositions 

des chapitres IX et X

du chapitre IX

 ne sont pas applicables.

IV.

-

 - 

De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés dans les conditions prévues 

au I

aux I et V

 de l'article 

25

22

 ou au II de l'article 26.

## Article 15

Sous réserve des compétences du bureau et de la formation restreinte, la commission se réunit en formation plénière.

En cas de partage égal des voix, la voix du président est prépondérante.

La commission peut charger le président ou le vice-président délégué d'exercer celles de ses attributions mentionnées :

- au troisième alinéa du I de l'article 23 ;

- aux e et f du 2° de l'article 11 ;

- au c du 2° de l'article 11 ;

- au d du 4° de l'article 11 ;

- aux articles 41 et 42 ;

- à l'article 54 ;

- aux 

articles 63, 64 et 65 ;

- aux 

deux derniers alinéas de l'article 69, à l'exception des traitements mentionnés aux I ou II de l'article 26 ;

- au premier alinéa de l'article 70.

## Article 22

I. - A l'exception de ceux qui relèvent des dispositions prévues aux articles 25, 26 et 27 ou qui sont visés au deuxième alinéa de l'article 36, les traitements automatisés de données à caractère personnel font l'objet d'une déclaration auprès de la Commission nationale de l'informatique et des libertés.

II. - Toutefois, ne sont soumis à aucune des formalités préalables prévues au présent chapitre :

1° Les traitements ayant pour seul objet la tenue d'un registre qui, en vertu de dispositions législatives ou réglementaires, est destiné exclusivement à l'information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d'un intérêt légitime ;

2° Les traitements mentionnés au 3° du II de l'article 8.

III. - Les traitements pour lesquels le responsable a désigné un correspondant à la protection des données à caractère personnel chargé d'assurer, d'une manière indépendante, le respect des obligations prévues dans la présente loi sont dispensés des formalités prévues aux articles 23 et 24, sauf lorsqu'un transfert de données à caractère personnel à destination d'un Etat non membre de la Communauté européenne est envisagé.

La désignation du correspondant est notifiée à la Commission nationale de l'informatique et des libertés. Elle est portée à la connaissance des instances représentatives du personnel.

Le correspondant est une personne bénéficiant des qualifications requises pour exercer ses missions. Il tient une liste des traitements effectués immédiatement accessible à toute personne en faisant la demande et ne peut faire l'objet d'aucune sanction de la part de l'employeur du fait de l'accomplissement de ses missions. Il peut saisir la Commission nationale de l'informatique et des libertés des difficultés qu'il rencontre dans l'exercice de ses missions.

En cas de non-respect des dispositions de la loi, le responsable du traitement est enjoint par la Commission nationale de l'informatique et des libertés de procéder aux formalités prévues aux articles 23 et 24. En cas de manquement constaté à ses devoirs, le correspondant est déchargé de ses fonctions sur demande, ou après consultation, de la Commission nationale de l'informatique et des libertés.

IV. - Le responsable d'un traitement de données à caractère personnel qui n'est soumis à aucune des formalités prévues au présent chapitre communique à toute personne qui en fait la demande les informations relatives à ce traitement mentionnées aux 2° à 6° du I de l'article 31.

### Article 27

I. - Sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés :

1° Les traitements de données à caractère personnel mis en 

oeuvre

œuvre

 pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public, qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ;

2° Les traitements de données à caractère personnel mis en 

oeuvre

œuvre

 pour le compte de l'Etat qui portent sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes.

II. - Sont autorisés par arrêté ou, en cas de traitement opéré pour le compte d'un établissement public ou d'une personne morale de droit privé gérant un service public, par décision de l'organe délibérant chargé de leur organisation, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés :

1° Les traitements mis en 

oeuvre

œuvre

 par l'Etat ou les personnes morales mentionnées au I qui requièrent une consultation du répertoire national d'identification des personnes physiques sans inclure le numéro d'inscription à ce répertoire ;

2° Ceux des traitements mentionnés au I :

- qui ne comportent aucune des données mentionnées au I de l'article 8 ou à l'article 9 ;

- qui ne donnent pas lieu à une interconnexion entre des traitements ou fichiers correspondant à des intérêts publics différents ;

- et qui sont mis en 

oeuvre

œuvre

 par des services ayant pour mission, soit de déterminer les conditions d'ouverture ou l'étendue d'un droit des administrés, soit d'établir l'assiette, de contrôler ou de recouvrer des impositions ou taxes de toute nature, soit d'établir des statistiques ;

3° Les traitements relatifs au recensement de la population, en métropole et dans les collectivités situées outre-mer ;

4° Les traitements mis en oeuvre par l'Etat ou les personnes morales mentionnées au I aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques.

III. - Les dispositions du IV de l'article 26 sont applicables aux traitements relevant du présent article.

## Article 53

Les traitements

 automatisés

 de données à caractère personnel ayant pour 

fin

finalité

 la recherche

 ou les études

 dans le domaine de la santé 

ainsi que l'évaluation ou l'analyse des pratiques ou des activités de soins ou de prévention 

sont soumis 

aux dispositions de

à

 la présente loi, à l'exception des articles 23 

à 26, 

et 24, du I de l'article 25 et des articles 26,

32 et 38.

1° Aux

 traitements de données

 à caractère personnel

 ayant pour fin le suivi thérapeutique ou médical individuel des patients 

ne sont pas soumis aux dispositions du présent chapitre. Il en va de même des

;

2° Aux

 traitements permettant d'effectuer des études à partir des données 

ainsi 

recueillies 

si

en application du 1° lorsque

 ces études sont réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif

 ;

4° Aux traitements effectués au sein des établissements de santé par les médecins responsables de l'information médicale, dans les conditions prévues au deuxième alinéa de l'article L

.

 6113-7 du code de la santé publique ;

## Article 54

Pour chaque demande de mise en oeuvre d'un traitement

I.-Les traitements

 de données à caractère personnel

, un comité consultatif sur le traitement de l'information en matière de recherche

 ayant une finalité d'intérêt public de recherche, d'étude ou d'évaluation dans le domaine de la santé sont autorisés par la Commission nationale de l'informatique et des libertés, dans le respect des principes définis par la présente loi et en fonction de l'intérêt public que la recherche, l'étude ou l'évaluation présente.

2° Du comité d'expertise pour les recherches, les études et les évaluations

 dans le domaine de la santé, 

institué auprès du ministre chargé de la recherche et

pour les demandes d'autorisation relatives à des études ou à des évaluations ainsi qu'à des recherches n'impliquant pas la personne humaine, au sens du 1° du présent II.

Le comité d'expertise est

 composé de personnes 

compétentes en matière de recherche dans le domaine de la santé, d'épidémiologie, de génétique et de biostatistique, émet un avis sur la méthodologie de la recherche au regard des dispositions de la présente loi, la nécessité du recours à des données à caractère personnel et la pertinence de celles-ci par rapport à l'objectif de la recherche, préalablement à la saisine

choisies en raison de leur compétence, dans une pluralité de disciplines. Un décret en Conseil d'Etat, pris après avis

 de la Commission nationale de l'informatique et des libertés

, précise la composition du comité et définit ses règles de fonctionnement. Il peut prévoir l'existence de plusieurs sections au sein du comité, compétentes en fonction de la nature ou de la finalité du traitement. Le comité d'expertise est soumis à l' article L. 1451-1 du code de la santé publique 

.

Le comité 

consultatif dispose

d'expertise émet, dans un délai

 d'un mois 

pour transmettre son avis au demandeur. A défaut

à compter de sa saisine, un avis sur la méthodologie retenue, sur la nécessité du recours à des données à caractère personnel, sur la pertinence de celles-ci par rapport à la finalité du traitement et, s'il y a lieu, sur la qualité scientifique du projet. Le cas échéant, le comité recommande aux demandeurs des modifications de leur projet afin de le mettre en conformité avec les obligations prévues par la présente loi. A défaut d'avis du comité dans le délai d'un mois

, l'avis est réputé favorable. En cas d'urgence, ce délai peut être ramené à quinze jours.

La mise en oeuvre du traitement de

Dans des conditions définies par décret en Conseil d'Etat, l'Institut national des

 données 

est ensuite soumise à l'autorisation de

de santé, prévu à l' article L. 1462-1 du code de la santé publique , peut être saisi par

 la Commission nationale de l'informatique et des libertés

, qui se prononce

 ou le ministre chargé de la santé sur le caractère d'intérêt public que présente la recherche, l'étude ou l'évaluation justifiant la demande de traitement ; il peut également évoquer le cas de sa propre initiative. Dans tous les cas, il rend un avis dans un délai d'un mois à compter de sa saisine.

Les dossiers présentés

 dans 

les conditions prévues

le cadre du présent chapitre, à l'exclusion des recherches mentionnées aux 1° et 2° de l'article L. 1121-1 du code de la santé publique et de celles mentionnées au 3° du même article L. 1121-1 portant sur des produits mentionnés

 à l'article 

25

L. 5311-1 du même code, sont déposés auprès d'un secrétariat unique, qui assure leur orientation vers les instances compétentes 

.

IV.-

Pour les catégories les plus usuelles de traitements automatisés 

ayant pour finalité la

de données de santé à caractère personnel à des fins de

 recherche

, d'étude ou d'évaluation

 dans le domaine de la santé

 et portant sur des données ne permettant pas une identification directe des personnes concernées, la commission

, la Commission nationale de l'informatique et des libertés

 peut homologuer et publier des méthodologies de référence

,

 destinées à simplifier la procédure d'examen. Celles-ci sont

 établies en concertation avec le comité 

consultatif ainsi qu'avec les

d'expertise et des

 organismes publics et privés représentatifs

, et destinées à simplifier la procédure prévue aux quatre premiers alinéas du présent article.

V.-Des jeux de données agrégées ou des échantillons, issus des

 traitements 

pouvant faire l'objet d'une demande d'avis et d'une demande d'autorisation simplifiées.

Pour les autres catégories de traitements, le comité consultatif fixe, en concertation avec

des données de santé à caractère personnel pour des finalités et dans des conditions reconnues conformes à la présente loi par

 la Commission nationale de l'informatique et des libertés, 

les

peuvent faire l'objet d'une mise à disposition, dans des

 conditions 

dans lesquelles son avis n'est pas requis.

préalablement homologuées par la commission, sans que l'autorisation prévue au I du présent article soit requise.

## Article 55

Nonobstant les règles relatives au secret professionnel, les membres des professions de santé peuvent transmettre les données à caractère personnel qu'ils détiennent dans le cadre d'un traitement de données autorisé en application de l'article 53.

Lorsque ces données permettent l'identification des personnes, 

elles doivent être codées avant 

leur transmission

. Toutefois, il peut

 doit

 être 

dérogé à cette obligation lorsque le traitement de données est associé à des études de pharmacovigilance ou à des protocoles de recherche réalisés

effectuée

 dans 

le cadre d'études coopératives nationales ou internationales ; il peut également y être dérogé si une particularité de la recherche l'exige. La demande d'autorisation comporte la justification scientifique et technique de la dérogation et l'indication de la période nécessaire à la recherche. A l'issue de cette période, les données sont conservées et traitées dans les

des

 conditions 

fixées à l'article 36

de nature à garantir leur confidentialité. La Commission nationale de l'informatique et des libertés peut adopter des recommandations ou des référentiels sur les procédés techniques à mettre en œuvre

.

La présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées.

Les données sont reçues par le responsable 

de la recherche 

désigné à cet effet par la personne physique ou morale autorisée à mettre en 

oeuvre

œuvre

 le traitement. Ce responsable veille à la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci.

Les personnes appelées à mettre en 

oeuvre

œuvre

 le traitement de données ainsi que celles qui ont accès aux données sur lesquelles il porte sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal.

## Article 57

I. - 

Les personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises sont, avant le début du traitement de ces données, individuellement informées :

1° De la nature des informations transmises ;

2° De la finalité du traitement de données ;

3° Des personnes physiques ou morales destinataires des données ;

4° Du droit d'accès et de rectification institué aux articles 39 et 40 ;

5° Du droit d'opposition institué aux premier et troisième alinéas de l'article 56 ou, dans le cas prévu au deuxième alinéa de cet article, de l'obligation de recueillir leur consentement.

Toutefois, ces informations peuvent ne pas être délivrées si, pour des raisons légitimes que le médecin traitant apprécie en conscience, le malade est laissé dans l'ignorance d'un diagnostic ou d'un pronostic grave.

Dans le cas où

II. - Lorsque

 les données

 à caractère personnel

 ont été initialement recueillies pour un autre objet que 

le traitement

la recherche, l'étude ou l'évaluation

, il peut être dérogé

, sous réserve du III,

 à l'obligation d'information 

définie au I :

2° Lorsque l'information 

individuelle

 lorsque celle-ci

 se heurte à la difficulté de retrouver les personnes concernées.

 Les dérogations

Les demandes de dérogation

 à l'obligation d'informer les personnes de l'utilisation de données les concernant à des fins de recherche

, d'étude ou d'évaluation

 sont 

mentionnées

justifiées

 dans le dossier de demande d'autorisation transmis à la Commission nationale de l'informatique et des libertés, qui statue sur ce point.

## Article 61

La transmission vers un Etat n'appartenant pas à 

la Communauté

l'Union

 européenne de données à caractère personnel non codées faisant l'objet d'un traitement 

ayant pour fin la

à des fins de

 recherche

, d'étude ou d'évaluation

 dans le domaine de la santé n'est autorisée, dans les conditions prévues à l'article 54, que sous réserve du respect des règles énoncées au chapitre XII.

## Article 72

La présente loi est applicable en Polynésie française, dans les îles Wallis et Futuna, dans les Terres australes et antarctiques françaises, en Nouvelle-Calédonie et à Mayotte.

Par dérogation aux dispositions du 

deuxième

cinquième

 alinéa

 du II

 de l'article 54, le comité 

consultatif

d'expertise

 dispose d'un délai de deux mois pour transmettre son avis au demandeur lorsque celui-ci réside dans l'une de ces collectivités. En cas d'urgence, ce délai peut être ramené à un mois.

Le président de la République : VALERY GISCARD D'ESTAING.

Le premier ministre : RAYMOND BARRE.

Le garde des sceaux, ministre de la justice : ALAIN PEYREFITTE.

Le ministre de l'intérieur : CHRISTIAN BONNET.

Le ministre de la défense : YVON BOURGES.

Le ministre délégué à l'économie et aux finances : ROBERT BOULIN.

Le ministre de l'équipement et de l'aménagement du territoire :

FERNAND ICART.

Le ministre de l'éducation : RENE HABY.

Le ministre de l'industrie, du commerce et de l'artisanat :

RENE MONORY.

Le ministre du travail : CHRISTIAN BEULLAC.

Le ministre de la santé et de la sécurité sociale : SIMONE VEIL.# Travaux préparatoires

Travaux préparatoires. Assemblée nationale :

Projet de loi (n° 2516 et propositions de loi (n° 1004 et 3092) ;

Rapport de M. Foyer, au nom de la commission des lois (n° 3125) ;

Discussion les 4 et 5 octobre 1977 ;

Adoption le 5 octobre 1977. Sénat :

Projet de loi, adopté par l'Assemblée nationale, n° 5 (1977-1978) ;

Rapport de M. Jacques Thyraud, au nom de la commission des lois, n° 72 (1977-1978) ;

Discussion et adoption le 17 novembre 1977. Assemblée nationale :

Projet de loi, modifié par le Sénat (n° 3226) ;

Rapport de M. Foyer, au nom de la commission des lois (n° 3352) ;

Discussion et adoption le 16 décembre 1977. Sénat :

Projet de loi, modifié par l'Assemblée nationale, n° 195 (1977-1978) ;

Rapport de M. Jacques Thyraud, au nom de la commission des lois, n° 199 (1977-1978) ;

Discussion et adoption le 19 décembre 1977. Assemblée nationale :

Rapport de M. Foyer, au nom de la commission mixte paritaire (n° 3432) ;

Discussion et adoption le 21 décembre 1977. Sénat :

Rapport de M. Thyraud, au nom de la commission mixte paritaire, n° 232 (1977-1978) ;

Discussion et rejet le 21 décembre 1977. Assemblée nationale :

Projet de loi, modifié par le Sénat (n° 3384) ;

Discussion et adoption le 21 décembre 1977. Sénat :

Projet de loi, adopté par l'Assemblée nationale, n° 240 (1977-1978) ;

Discussion et adoption le 21 décembre 1977.