Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés - Article 66

I. - Les traitements relevant de la présente section ne peuvent être mis en œuvre qu'en considération de la finalité d'intérêt public qu'ils présentent. La garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalité d'intérêt public.

II. - Des référentiels adoptés par la Commission nationale de l'informatique et des libertés précisent les modalités de mise en œuvre des traitements en vue d'assurer, dans le respect du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) et de la présente loi, un équilibre entre la protection des données et les finalités d'intérêt public mentionnées au I du présent article, notamment en matière de développement de la recherche dans le domaine de la santé.

Les référentiels sont élaborés à l'initiative de la Commission nationale de l'informatique et des libertés ou sur proposition des ministres chargés de la santé et de la recherche ou d'organismes publics ou privés représentatifs des acteurs concernés, dans des conditions prévues par décret en Conseil d'Etat.

La Commission nationale de l'informatique et des libertés élabore et publie une stratégie comportant une programmation des référentiels à adopter, dans des conditions définies par décret en Conseil d'Etat. Cette programmation inclut notamment les catégories les plus usuelles de traitements.

III. - Les traitements sont conformes à l'un des référentiels mentionnés au II. Avant la mise en œuvre d'un traitement, son responsable adresse à la Commission nationale de l'informatique et des libertés une déclaration attestant de cette conformité.

Une seule déclaration de conformité est nécessaire lorsqu'un responsable de traitement entend mettre en œuvre plusieurs traitements relevant d'un même référentiel.

IV. - Un traitement qui n'est pas conforme à un référentiel mentionné au II peut, par dérogation au III, être mis en œuvre après autorisation de la Commission nationale de l'informatique et des libertés. La demande d'autorisation est présentée dans les formes prévues à l'article 33.

La Commission nationale de l'informatique et des libertés peut, par décision unique, délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.

V. - La Commission nationale de l'informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être prolongé une fois pour la même durée sur décision motivée de son président ou lorsque le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé est saisi en application du second alinéa de l'article 72.

Lorsque la Commission nationale de l'informatique et des libertés ne s'est pas prononcée dans ces délais, la demande d'autorisation est réputée acceptée. Cette disposition n'est toutefois pas applicable si l'autorisation fait l'objet d'un avis préalable en application de la sous-section 2 de la présente section et que l'avis ou les avis rendus ne sont pas expressément favorables.