La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-2° ;
Vu la loi n° 2004-800 du 6 août 2004 relative à la bioéthique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation présentée le 12 janvier 2006 par l'Institut national de la santé et de la recherche médicale (INSERM) concernant la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la constitution, au sein de l'unité 525, d'une banque d'ADN et d'ARN de patients présentant une athérosclérose coronarienne,
Après avoir entendu Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
L'INSERM a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la constitution d'une banque d'ADN et d'ARN de patients présentant une athérosclérose coronarienne afin d'étudier les facteurs de risque et les gènes impliqués dans les maladies cardio-vasculaires.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-2° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés comportant des données génétiques.
La banque de données sera constituée à partir d'échantillons de sang des patients présentant une insuffisance coronarienne.  Elle conservera non seulement l'ADN, patrimoine génétique des individus, et le plasma des patients mais également l'ARN des cellules vivantes connues pour contribuer au développement de l'athérosclérose.  L'ARN est composé d'un ensemble de molécules produites par l'ADN qui vont permettre la fabrication de protéines dont les anomalies peuvent conduire à la maladie.
La banque de données concernera 120 patients des deux sexes, entre 35 et 65 ans, recrutés lors de leur passage à l'Institut de cardiologie du centre hospitalier universitaire Pitié-Salpêtrière.
La constitution de l'échantillon des personnes à suivre sera effectuée selon la procédure suivante garantissant la confidentialité des données recueillies :  le nom des patients sera connu du seul responsable de l'étude au sein de l'Institut de cardiologie et ne sera pas enregistré dans le traitement.  Les autres données, en particulier le matériel génétique, seront conservées par l'unité de recherche INSERM U525.
Les catégories de données à caractère personnel enregistrées dans la banque de données seront relatives au numéro d'ordre attribué à chaque patient par l'institut de cardiologie, à l'ADN, l'ARN, le sexe, l'âge, le poids, la taille, la consommation d'alcool, de tabac, aux activités physiques, à la pression artérielle, aux lipides sanguins, aux traitements suivis au cours du dernier mois, à la présence éventuelle de diabète, l'hypertension, aux pathologies cardio-vasculaires et non cardio-vasculaires.
Les données sont adéquates, pertinentes et non excessives au regard des objectifs poursuivis par le traitement.
Le consentement écrit des patients pour figurer dans la banque de données sera recueilli par le médecin responsable de l'étude.  Ils auront la possibilité de demander le retrait de leurs prélèvements à tout moment.
Le droit d'accès défini au chapitre V de la loi s'exercera auprès du responsable de l'étude à l'institut de cardiologie de l'hôpital Pitié-Salpêtrière.
Les destinataires des informations, dans le strict cadre de l'exercice de leurs missions et pour la seule finalité précitée, seront les personnels habilités de l'institut de cardiologie et de l'unité 525 de l'INSERM.
Autorise, dans ces conditions, l'INSERM à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'exploitation d'une banque de données génétiques (ADN, ARN) de patients présentant une athérosclérose coronarienne.
Rappelle :
- que tout projet de recherche qui serait conduit à partir des données ainsi collectées et conservées devra faire l'objet d'une autorisation particulière conformément aux dispositions de la loi du 6 janvier 1978 modifiée ;
- que cette banque de données devra être mise en oeuvre dans le respect des dispositions de l'article L. 1243-3 du code de la santé publique issu de la loi n° 2004-800 du 6 août 2004 relative à la bioéthique.
Le président, Alex TURK.
