Loi n° 025/2023 du 9 juillet 2023 portant modification de la loi n° 001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel

Le traitement des données personnelles aux fins de recherche dans le domaine de la santé est soumis aux dispositions de la présente loi.

Sont exclus du champ d’application des dispositions du présent chapitre :

• le traitement des données personnelles ayant pour fin le suivi thérapeutique ou médical individuel des patients ;
• le traitement permettant d’effectuer des études à partir des données ainsi recueillies si ces études sont réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif.

Le traitement de données personnelles ayant une finalité d’intérêt public de recherche, d’étude ou d’évaluation est autorisé par l’APDPVP, dans le respect des principes définis par la présente loi.

L’APDPVP prend sa décision après avis d’un comité consultatif sur le traitement de l’information en matière de recherche.

Pour chaque demande de mise en œuvre d’un traitement des données, un comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé, institué auprès du Ministre chargé de la recherche et composé de personnes compétentes en matière de recherche dans le domaine de la santé, d’épidémiologie, de génétique et de bio-statistique, émet un avis sur la méthodologie de la recherche au regard des dispositions de la présente loi, la nécessité du recours à des données et la pertinence de celles-ci par rapport à l’objectif de la recherche, préalablement à la saisine de l’Autorité.

Le comité consultatif dispose d’un mois pour transmettre son avis au demandeur. A défaut, l’avis est réputé favorable. En cas d’urgence, ce délai peut être ramené à quinze jours.

Le Président du comité consultatif peut mettre en œuvre une procédure simplifiée.

La mise en œuvre du traitement des données personnelles est ensuite soumise à l’autorisation de l’APDPVP, qui se prononce dans les conditions prévues par le tiret 2 de l’alinéa 1 de l’article 81 de la présente loi.

Pour les catégories les plus usuelles des traitements automatisés ayant pour finalité la recherche dans le domaine de la santé et portant sur des données ne permettant pas une identification directe des personnes concernées, l’Autorité peut homologuer et publier des méthodologies de référence, établies en concertation avec le comité consultatif ainsi qu’avec les organismes publics et privés représentatifs, et destinées à simplifier la procédure prévue aux quatre premiers alinéas du présent article.

Ces méthodologies précisent les normes auxquelles doivent correspondre les traitements pouvant faire l’objet d’une demande d’avis ou d’une demande d’autorisation simplifiées.

Pour le traitement qui correspond aux modalités fixées par une norme, seul un engagement de conformité valant formalité préalable est envoyé à l’APDPVP.

Pour les autres catégories de traitements, le comité consultatif fixe, en concertation avec l’Autorité, les conditions dans lesquelles son avis n’est pas requis.

Nonobstant les règles relatives au secret professionnel, les membres des professions de santé peuvent transmettre les données qu’ils détiennent dans le cadre d’un traitement des données autorisé en application de l’article 153 ci-dessous.

Lorsque ces données permettent l’identification des personnes, elles sont codées avant leur transmission.

Toutefois, il peut être dérogé à cette obligation lorsque le traitement des données est associé à des études de pharmacovigilance ou à des protocoles de recherche réalisés dans le cadre d’études coopératives nationales ou internationales. Il peut également y être dérogé si une particularité de la recherche l’exige.

La demande d’autorisation comporte la justification scientifique et technique de la dérogation et l’indication de la période nécessaire à la recherche. A l’issue de cette période, les données sont conservées et traitées dans les conditions fixées par la présente loi.

La présentation des résultats du traitement des données ne peut en aucun cas permettre l’identification directe ou indirecte des personnes concernées.

Les données sont reçues par le responsable de la recherche désigné à cet effet par la personne physique ou morale autorisée à mettre en œuvre le traitement. Ce responsable veille à la sécurité des informations et de leur traitement, ainsi qu’au respect de la finalité de celui-ci.

Sous peine de poursuites pénales, les personnes appelées à mettre en œuvre le traitement des données ainsi que celles qui ont accès aux données sur lesquelles il porte, sont astreintes au secret professionnel.

Toute personne a le droit de s’opposer à ce que des données personnelles la concernant fassent l’objet de la levée du secret professionnel rendue nécessaire par un traitement de la nature de ceux qui sont prévus par l’article 109 de la présente loi.

Dans le cas où la recherche nécessite le recueil de prélèvements biologiques et express identifiants, le consentement éclairé et express des personnes concernées doit être obtenu préalablement à la mise en œuvre du traitement des données.

Les informations concernant les personnes décédées, y compris celles qui figurent sur les certificats de décès, peuvent faire l’objet d’un traitement des données, sauf si l’intéressé a, de son vivant, exprimé son refus par écrit.

Les personnes auprès desquelles sont recueillies des données ou à propos desquelles de telles données sont transmises sont, avant le début du traitement de ces données, individuellement informées :

• de la nature des informations transmises ;
• de la finalité du traitement des données ;
• des personnes physiques ou morales destinataires des données le cas échéant ;
• du droit d’accès institué à l’article 43 de la présente loi ;
• du droit d’opposition, de rectification et de suppression ou, de l’obligation de recueillir leur consentement.

Toutefois, ces informations peuvent ne pas être délivrées si, pour des raisons légitimes que le médecin traitant apprécie en conscience, le malade est laissé dans l’ignorance d’un diagnostic ou d’un pronostic grave.

Dans le cas où les données ont été initialement recueillies pour un autre objet que le traitement, il peut être dérogé à l’obligation d’information individuelle lorsque celle-ci se heurte à la difficulté de retrouver les personnes concernées.

Les dérogations à l’obligation d’informer les personnes de l’utilisation des données les concernant à des fins de recherche sont mentionnées dans le dossier de demande d’autorisation transmis à l’APDPVP, qui statue sur ce point.

Sont destinataires de l’information et exercent les droits prévus à l’article 43 de la présente loi, les titulaires de l’autorité parentale, pour les mineurs, ou le représentant légal pour les personnes faisant l’objet d’une mesure de tutelle ou de curatelle.

Toute information relative aux dispositions du présent chapitre doit être assurée dans tout établissement ou centre où s’exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données, en vue d’un traitement mentionné à l’article 153 de la présente loi.

La mise en œuvre d’un traitement des données personnelles en violation des conditions prévues par le présent chapitre, entraîne le retrait temporaire ou définitif, de l’autorisation par l’APDPVP.

Il en est de même en cas de refus de se soumettre aux vérifications portant sur tous traitements diligentés par l’APDPVP, et de mettre à la disposition de celle-ci copies de tous documents ou supports d’informations utiles à ses missions.

La transmission vers un autre Etat des données non codées faisant l’objet d’un traitement ayant pour fin la recherche, l’étude ou l’évaluation dans le domaine de la santé n’est autorisée, que sous réserve du respect des règles énoncées au chapitre III de la présente loi.

Le traitement de données personnelles de santé qui ont pour fin l’évaluation des pratiques de soins et de prévention sont autorisés dans les conditions prévues au présent chapitre.

Les dispositions du présent chapitre ne s’appliquent pas :

• aux traitements des données effectuées à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d’un régime de base d’assurance maladie ;
• aux traitements effectués au sein des établissements de santé par les médecins responsables de l’information.

Les données issues des dossiers médicaux détenus dans le cadre de l’exercice libéral des professions de santé, ainsi que celles issues des systèmes d’information des caisses d’assurance maladie, ne peuvent être communiquées à des fins statistiques d’évaluation ou d’analyse des pratiques et des activités de soins et de prévention que sous la forme de statistiques agrégées ou de données par patient constituées de telle sorte que les personnes concernées ne puissent être identifiées.

Il ne peut être dérogé aux dispositions de l’alinéa précédent que sur autorisation de l’APDPVP. Dans ce cas, les données utilisées ne comportent ni les noms et prénoms des personnes concernées ni leur numéro d’inscription au fichier national d’identification des personnes physiques.

Pour chaque demande, l’APDPVP vérifie les garanties présentées par le demandeur pour l’application des dispositions de la présente loi et, le cas échéant, la conformité de sa demande à ses missions ou à son objet social.

L’APDPVP s’assure de la nécessité de recourir à des données et de la pertinence du traitement au regard de sa finalité déclarée d’évaluation ou d’analyse des pratiques ou des activités de soins et de prévention.

Elle vérifie que les données dont le traitement est envisagé ne comportent ni les noms et prénoms des personnes concernées ni leur numéro d’inscription au fichier national d’identification des personnes physiques.

En outre, si le demandeur n’apporte pas d’éléments suffisants pour attester la nécessité de disposer de certaines informations parmi l’ensemble des données dont le traitement est envisagé, l’APDPVP peut interdire la communication de ces informations par l’organisme qui les détient et n’autoriser le traitement que des données ainsi réduites.

L’APDPVP détermine la durée de conservation des données nécessaires au traitement et apprécie les dispositions prises pour assurer leur sécurité et la garantie des secrets protégés par la loi.

L’APDPVP, à compter de sa saisine par le demandeur, dispose d’un délai de deux mois pour se prononcer. Il peut être prorogé de deux mois.

A l’expiration de ce délai, le silence gardé par l’APDPVP vaut acceptation.

Les traitements répondant à une même finalité portant sur des catégories de données identiques et ayant des destinataires ou des catégories de destinataires identiques peuvent faire l’objet d’une décision unique de l’APDPVP.

Les traitements autorisés conformément aux articles 159 et 160 de la présente loi ne peuvent servir à des fins de recherche ou d’identification des personnes.

Sous peine de poursuites pénales, les personnes appelées à mettre en œuvre ces traitements, ainsi que celles qui ont accès aux données ou aux résultats de ceux-ci et lorsqu’ils permettent indirectement d’identifier les personnes concernées, sont astreintes au secret professionnel.

Les résultats de ces traitements font l’objet d’une communication, d’une publication ou d’une diffusion que si l’identification des personnes sur l’état desquelles ces données ont été recueillies est impossible.

Les dispositions de la présente loi ne s’appliquent pas aux traitements de données mis en œuvre aux seules fins :

• d’expression littéraire et artistique ;
• d’exercice, à titre professionnel, de l’activité de journaliste, dans le respect des règles déontologiques de cette profession.

Pour les traitements mentionnés au 2ème tiret de l’article 164 ci-dessus, la dispense de l’obligation de déclaration prévue par l’article 89 de la présente loi est subordonnée à la désignation par le responsable du traitement d’un correspondant à la protection des données appartenant à un organisme de la presse écrite ou audiovisuelle. Celui-ci est chargé de tenir un registre des traitements mis en œuvre par ce responsable et d’assurer, d’une manière indépendante, l’application des dispositions de la présente loi.

Cette désignation est portée à la connaissance de l’APDPVP.

En cas de non-respect des dispositions des articles 164 et 165 de la présente loi, le responsable du traitement est enjoint par l’APDPVP de se mettre en conformité avec la loi.

En cas de manquement à ses obligations reposant sur des motifs réels et sérieux, le correspondant est déchargé de ses fonctions à la demande du responsable du traitement, après consultation de l’APDPVP.

Les dispositions de la présente loi ne font pas obstacle à l’application des dispositions des textes en vigueur, réprimant les infractions en matière de presse écrite, audiovisuelle ou en ligne.