Vu la requête sommaire et le mémoire complémentaire, enregistrés les 13 juillet et 15 novembre 1999 au secrétariat du contentieux du Conseil d'Etat, présentés pour la LIGUE FRANCAISE POUR LA DEFENSE DES DROITS DE L'HOMME ET DU CITOYEN, dont le siège est ..., représentée par son président ; la LIGUE FRANCAISE POUR LA DEFENSE DES DROITS DE L'HOMME ET DU CITOYEN demande l'annulation pour excès de pouvoir du décret n° 99-362 du 6 mai 1999 fixant les modalités de transmission à l'autorité sanitaire de données individuelles concernant les maladies visées à l'article L. 11 du code de la santé publique et modifiant le code de la santé publique (deuxième partie : Décrets en Conseil d'Etat) ;
Vu les autres pièces du dossier ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 ;
Vu l'ordonnance n° 45-1708 du 31 juillet 1945, le décret n° 53-934 du 30 septembre 1953 et la loi n° 87-1127 du 31 décembre 1987 ;
Après avoir entendu en audience publique :
- le rapport de M. Donnat, Auditeur,
- les observations de la SCP Bouzidi, avocat de la LIGUE FRANCAISE POUR LA DEFENSE DES DROITS DE L'HOMME ET DU CITOYEN,
- les conclusions de Mlle Fombeur, Commissaire du gouvernement ;
Sur la légalité externe du décret attaqué :
Sur le moyen tiré du défaut de consultation de la commission nationale de l'informatique et des libertés :
Considérant, en premier lieu, que la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, invoquée par l'association requérante, définit, dans son article 2, un "traitement de données à caractère personnel" comme "toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliqués à des données à caractère personnel, telles que la collecte ..., la communication par transmission, ..." ; qu'il résulte clairement de cette définition que la collecte des données individuelles concernant les cas de maladies visées à l'article L. 11 du code de la santé publique, en vue de leur transmission à l'autorité sanitaire, constitue un traitement de données à caractère personnel au sens de la directive ;
Considérant, en deuxième lieu, qu'aux termes de l'article 20 de la même directive, qui déroge au principe général énoncé à l'article 18 selon lequel les traitements compris dans le champ de la directive ne font l'objet que d'une notification à l'autorité de contrôle établie, en application de l'article 28, dans chaque Etat membre pour surveiller sur son territoire l'application du dispositif national de protection : "1- Les Etats membres précisent les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées et veillent à ce que ces traitements soient examinés avant leur mise en oeuvre. 2- De tels examens préalables sont effectués par l'autorité de contrôle après réception de la notification du responsable du traitement ... ; 3- Les Etats membres peuvent aussi procéder à un tel examen dans le cadre de l'élaboration soit d'une mesure du Parlement national, soit d'une mesure fondée sur une telle mesure législative, qui définisse la nature du traitement et fixe des garanties appropriées" ; qu'il résulte clairement de ces dispositions que le choix est laissé aux Etats membres de faire procéder à l'examen préalable des traitements qu'ils identifient comme présentant des risques particuliers, soit à la suite de leur notification à l'autorité de contrôle soit, plus tôt, lors de l'élaboration de la loi ou du règlement d'application qui définit la nature du traitement ainsi que les droits et garanties qui y sont attachés ;
Considérant que, dans l'attente de la transposition de la directive n° 95/46/CE dans le droit national, les traitements devant faire l'objet d'un examen préalable au sens de l'article 20 de la directive sont ceux compris dans le champ de l'article 15 de la loi du 6 janvier 1978, dont la création est décidée par un acte réglementaire pris après avis motivé de la commission nationale de l'informatique et des libertés, qui doit être regardée comme l'autorité de contrôle française pour l'exercice des missions prévues par l'article 28 de la directive ; que si la commission nationale de l'informatique et des libertés devait ainsi être consultée préalablement à la mise en oeuvre du traitement ou du groupe de traitements dont la nature ainsi que certaines garanties qui y sont attachées sont définies par le décret du 6 mai 1999 pris pour l'application de l'article L. 11 du code de la santé publique, le gouvernement, en s'abstenant de faire procéder à cet examen lors de l'élaboration de ce décret, et en prévoyant, par un renvoi à l'article 15 de la loi du 6 janvier 1978, que la consultation de la commission nationale de l'informatique et des libertés aurait lieu à l'occasion de la transmission ultérieure à cette commission des projets d'arrêtés duministre chargé de la santé créant les traitements, accompagnés de l'ensemble des informations et précisions exigées par les articles 19 et 20 de la loi du 6 janvier 1978, n'a fait qu'exercer le choix autorisé par l'article 20 de la directive dont il n'a pas, par conséquent, méconnu les objectifs ;
Considérant, en troisième lieu, que si l'association requérante invoque les dispositions du paragraphe 2 de l'article 28 de la directive selon lesquelles : "Chaque Etat membre prévoit que les autorités de contrôle sont consultées lors de l'élaboration des mesures réglementaires ou administratives relatives à la protection des droits et libertés des personnes à l'égard du traitement de données à caractère personnel", il résulte clairement de ces dispositions que la seule obligation qu'elles instituent est de soumettre à la consultation préalable de l'autorité de contrôle les projets de textes qui, sans avoir pour objet la création d'un traitement ou d'un groupe de traitements, définissent le cadre général de la protection des droits et libertés des personnes à l'égard du principe du traitement de données à caractère personnel ; que tel n'est pas l'objet du décret attaqué qui, ainsi qu'il vient d'être dit ci-dessus, relève exclusivement de la procédure prévue à l'article 20 de la directive ;
Considérant qu'il résulte de tout ce qui précède que le moyen tiré de ce que le décret aurait dû être précédé de la consultation de la commission nationale de l'informatique et des libertés doit être écarté ;
Sur l'autre moyen de légalité externe :
Considérant qu'il ressort des pièces du dossier, et notamment de l'avis du Conseil d'Etat en date du 2 février 1999 dont le texte a été communiqué par le ministre de l'emploi et de la solidarité en annexe à son mémoire en défense, que le texte du décret attaqué ne diffère pas de celui adopté par le Conseil d'Etat ; que, dès lors, le moyen tiré de ce que le texte du décret attaqué ne serait pas conforme à la version transmise par le gouvernement au Conseil d'Etat ou à celle adoptée par le Conseil d'Etat doit être écarté ;
Sur la légalité interne du décret attaqué :
En ce qui concerne l'article R. 11-2 :
Considérant qu'aux termes de l'article L. 11 du code de la santé publique, dans sa rédaction issue de la loi du 1er juillet 1998 relative au renforcement de la veille sanitaire et du contrôle de la sécurité sanitaire de produits destinés à l'homme : "Font l'objet d'une transmission obligatoire de données individuelles à l'autorité sanitaire par les médecins et les responsables des services et laboratoires d'analyse de biologie médicale publics et privés : 1°) Les maladies qui nécessitent une intervention urgente locale, nationale ou internationale ; 2°) Les maladies dont la surveillance est nécessaire à la conduite et à l'évaluation de la politique de santé publique. Un décret pris après avis du Conseil supérieur d'hygiène publique de France définit la liste des maladies correspondant aux 1°) et 2°). Les modalités de la transmission des données à l'autorité sanitaire dans les deux cas, en particulier la manière dont l'anonymat est protégé, sont fixées par décret en Conseil d'Etat" ;
Considérant que si l'article R. 11-2 inséré dans le code de la santé publique par le décret du 6 mai 1999 pris pour l'application des dispositions législatives précitées prévoit que la transmission des données individuelles concernant les cas de maladies figurant sur la liste mentionnée à l'article L. 11 du même code doit demeurer confidentielle, et , à cette fin, définit de manière limitative les autorités sanitaires qui en sont les destinataires et prévoit que la notification à ces dernières a lieu "sous pli confidentiel ou après chiffrement des données", il se borne, en ce qui concerne la nature des informations pouvant figurer sur la fiche individuelle établie pour chaque maladie, à renvoyer à un arrêté du ministre chargé de la santé la fixation "des éléments à caractère nominatif" portés sur la fiche, "sous réserve de l'application des dispositions de l'article 15 de la loi n° 78-17 du 6 janvier 1978 relative àl'informatique, aux fichiers et aux libertés" ;
Considérant que s'il appartenait éventuellement au gouvernement, après avoir défini avec une précision suffisante dans le décret en Conseil d'Etat les principes qu'il entendait retenir pour protéger, comme le lui demandait le législateur, l'anonymat des personnes dont les données individuelles sont ainsi recueillies, de renvoyer à un arrêté ultérieur le soin de préciser, en tenant compte éventuellement de la nature de la maladie ou de l'objectif poursuivi par la collecte, les modalités de l'application de ces principes, il ne pouvait se décharger légalement de la mission que lui avait confiée l'article L. 11 précité en se bornant à renvoyer purement et simplement à un arrêté ministériel le soin de déterminer les règles concernant l'objet ci-dessus défini ; qu'il suit de là que le premier alinéa de l'article R. 11-2 est entaché d'excès de pouvoir ;
En ce qui concerne l'article R. 11-3 :
Considérant que l'article R. 11-3 inséré au code de la santé publique impose aux professionnels de santé ayant constaté l'existence d'un cas de maladie nécessitant, au sens du 1°) de l'article L. 11 du code de la santé publique, une intervention urgente locale, nationale ou internationale, l'obligation non seulement de notifier les données individuelles en application de l'article R. 11-2 mais également de "signaler sans délai" le cas constaté, afin de "permettre la mise en place d'urgence de mesures de prévention individuelle et collective et, le cas échéant, de déclencher des investigations pour identifier l'origine de la contamination ou de l'exposition" ; qu'en prévoyant, aux quatrième et cinquième alinéas de l'article R. 11-3, d'une part, "qu'à la demande du médecin destinataire du signalement, le déclarant est tenu de lui fournir toute information nécessaire à la mise en oeuvre des mesures d'investigation et d'intervention, y compris l'identité et l'adresse du patient", d'autre part, que "ces informations peuvent être transmises à d'autres professionnels lorsque leur intervention est indispensable pour la mise en oeuvre des mesures de prévention individuelle et collective", le gouvernement n'a pas excédé les limites de l'habilitation reçue du législateur, qui l'invitait au contraire, pour les maladies figurant au 1°) de l'article L. 11, à concilier le principe de l'anonymat avec la nécessité de protéger la santé publique dans les cas où celle-ci requiert une intervention urgente ; que la règle qu'il a édictée, en la complétant au même article R. 11-3 de la précaution selon laquelle les informations ainsi communiquées ne sont conservées que "le temps nécessaire à l'intervention ou à l'investigation", est proportionnée à l'objectif poursuivi ; que le moyen tiré de la violation de l'article L. 11 du code de la santé publique doit, par suite, être écarté ;
Article 1er : Le premier alinéa de l'article R. 11-2 inséré dans le code de la santé publique par le décret n° 99-362 du 6 mai 1999 est annulé.
Article 2 : Le surplus des conclusions de la requête est rejeté.
Article 3 : La présente décision sera notifiée à la LIGUE FRANCAISE POUR LA DEFENSE DES DROITS DE L'HOMME ET DU CITOYEN, au directeur général de l'institut de veille sanitaire et au ministre de l'emploi et de la solidarité.
