La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 et notamment ses articles 1er, 15 et 19 ;    Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;    Vu la loi n° 88-1138 du 20 décembre 1988 sur la recherche biomédicale ;    Vu le décret n° 78-774 du 17 juillet 1978 pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux Fichiers et aux Libertés ;    Vu le projet d'acte réglementaire présenté par le Directeur de l'Institut Gustave Roussy ;    Après avoir entendu Monsieur Gérard JAQUET, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que l'application mise en oeuvre par l'Institut Gustave Roussy a pour objet de faciliter la participation des cancérologues français concernés, à un réseau télématique européen d'échanges de données sur le cancer, dénommé EUROCODE, conçu à l'initiative de l'Organisation Européenne de Recherche et de Traitement du Cancer (E.O.R.T.C.), avec le soutien des Communautés Economiques Européennes ;    Considérant que ce réseau a été conçu pour faciliter la réalisation et la coordination de protocoles Européens et Internationaux d'essais thérapeutiques sur le cancer ; qu'à cet effet, il a pour finalités principales de permettre l'enregistrement des malades dans un protocole donné et d'assurer un système de messagerie électronique entre les utilisateurs d'EUROCODE pour la communication de données sur l'état de santé des malades ou d'informations à caractère général sur les protocoles en cours ou les dates de réunions de travail ;    Considérant qu'à cet effet, l'Institut Gustave Roussy sera doté d'un ordinateur spécifique permettant aux médecins français utilisateurs d'EUROCODE, à partir de terminaux ou de minitels, d'accéder via cet ordinateur et le réseau TRANSPAC au centre informatique de l'EORTC, situé en Belgique et chargé de la coordination des essais thérapeutiques et de la centralisation des données cliniques résultant de ces essais ;    Considérant qu'en l'espèce, conformément à l'article 1er de la loi du 6 janvier 1978, le développement de l'informatique s'opère dans le cadre de la coopération internationale pour renforcer de façon efficace et coordonnée la recherche sur le cancer ;    Considérant toutefois que les échanges de données médicales prévues dans le cadre du réseau EUROCODE, ne doivent pas porter atteinte à la vie privée et aux droits des patients concernés ;    Considérant que la Belgique ne dispose d'aucune législation à caractère général relative à la protection des données ; qu'elle n'a pas ratifié la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Considérant qu'aux termes mêmes du préambule de la Convention précitée du Conseil de l'Europe "il est souhaitable d'étendre la protection des droits et libertés fondamentales de chacun notamment le droit au respect de la vie privée, eu égard à l'intensification de la circulation à travers les frontières des données à caractère personnel faisant l'objet de traitements automatisés" ;
Considérant que le préambule reconnaît également la nécessité de concilier les valeurs fondamentales du respect de la vie privée et de la libre circulation de l'information entre les peuples ;    Considérant que pour respecter ces principes, l'Institut Gustave Roussy, à la demande de la CNIL, s'est engagé à ce que le contrat d'adhésion au réseau EUROCODE comporte une clause par laquelle les deux parties conviennent d'appliquer les dispositions protectrices de la loi du 6 janvier 1978 et de la Convention précitée du Conseil de l'Europe ; qu'en particulier, cette clause devra préciser les conditions d'exercice du droit d'accès et l'engagement des parties de ne pas divulguer les informations à des tiers ou de ne pas les utiliser à d'autres fins ;    Considérant également que le responsable du centre informatique de l'EORTC s'est engagé, selon les termes d'une lettre adressée le 25 août 1989 à la CNIL par le responsable du réseau EUROCODE au sein de l'Institut Gustave Roussy, à ce que le système gérant le réseau EUROCODE soit modifié de façon à interdire que les données médicales transmises de France comportent l'identité des patients ; que ces données seront communiquées sous forme indirectement nominatives par l'attribution de codes ne comportant pas plus de deux lettres, dont la correspondance avec l'identité des patients sera détenue en France par les médecins responsables de l'essai ;    Considérant que les médecins devront être dûment informés de ce dispositif ;
Considérant que le responsable du centre informatique de l'EORTC mettra en oeuvre, suivant les recommandations de la CNIL, des mesures complémentaires de sécurité afin de garantir plus efficacement les procédures de contrôle d'accès à l'application et notamment au système de messagerie électronique ;    Considérant enfin que les médecins français s'engageront par écrit à ne communiquer par la messagerie ou par tout autre support aucune donnée directement nominative sur leurs patients ;    Considérant par ailleurs que les patients lors du recueil, sous forme exprès (écrit) de leur consentement libre et éclairé, seront également informés des destinataires des informations et des droits qui leur sont ouverts au titre de la loi du 6 janvier 1978 ;    Considérant que l'ensemble de ces dispositions constitue un compromis acceptable, à titre exceptionnel, entre les exigences de protection des données et le nécessaire développement de la recherche sur le cancer ;
EMET un AVIS FAVORABLE au projet d'acte réglementaire qui lui est présenté, sous réserve d'avoir communication du contrat d'adhésion au réseau EUROCODE qui sera conclu entre l'Institut Gustave Roussy et l'EORTC comportant l'engagement de respecter les dispositions protectrices des droits de l'homme et des libertés fondamentales contenues dans la Convention du Conseil de l'Europe et de la loi du 6 janvier 1978 ;    Recommande que les médecins français participant au réseau EUROCODE aient connaissance de l'avis rendu par la CNIL sur cette application ;    Demande au Gouvernement Français d'appeler l'attention du Gouvernement Belge sur les difficultés juridiques créées par l'absence d'une législation générale de protection des données et la non ratification de la Convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel.
