I. -Les traitements relevant du présent chapitre ne peuvent être mis en œuvre qu'en considérationde la finalité d'⏺intérêt public qu'ils présentent. La garantie de normes élevéesde qualité et ⏺ de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalitéd'intérêt public. II. ⏺-Des référentiels et règlements types, au sensdes a bis et bdu 2° du I de l'article 11, s'appliquant aux traitements relevant du présent chapitre sont établis parla Commission nationale de l'informatique et des libertés, en concertation avecl'Institut national des donnéesde santé mentionnéà l'article L. 1462-1 du code de la santé publique etdes organismes publicsetprivés représentatifsdes acteurs concernés. Les traitements conformes à ces référentiels peuventêtre misen œuvreà ⏺ la condition que leurs responsables adressent préalablement à la Commission nationale de l'informatique et des libertés une déclaration attestantde cette conformité. Ces référentiels peuvent également porter sur la description et les garantiesde procédure permettant la mise à disposition en vue de leur traitement de jeux de données de santé présentant un faible risqued'impact sur la vie privée.

III. ⏺-Les traitements mentionnésau I qui ne sont pas conformesà ⏺un référentiel mentionné au II ne peuvent être mis en œuvre qu'après autorisation dela Commission nationale de l'informatique et des libertés. IV. - La Commission nationale del'informatiqueet des libertés peut, par décision unique, délivrerà un mêmedemandeur une autorisationpour des traitements répondantà une même finalité, portantsur des catégories de ⏺ données identiqueset ayantdes ⏺ catégories ⏺ de destinataires identiques. V. - LaCommission nationale de l'informatique et des libertés se prononce dans un délaide deux mois à compter dela réception de la demande. Toutefois, ce délai peut être prolongé une fois pour la même durée sur décision motivéede son président ou lorsque l'Institut national des ⏺ données de santé est saisi en application du second alinéa de l'article 61. Lorsquela ⏺ Commission nationale de l'informatique et des libertésne s'est pas prononcéedans ces délais,la demande d'autorisation est réputée acceptée. Cette disposition n'est toutefois pas applicable si l'autorisation fait l'objet d'un avis préalable en application de la section 2 du présent chapitre et que l'avis ou les avis rendus ne sont pas expressément favorables.

I.-Les traitementsde données à caractère personnel ayant une finalitéd'intérêt public de recherche, d'étude ou d'évaluation dans le domaine de la santé sont autorisés par la Commission nationalede l'informatique et des libertés, dans le respect des principes définis par la présente loi eten fonction de l'intérêt public que la recherche, l'étude ou l'évaluation présente. II.-La Commission nationale de l'informatique et des libertés prend sa décision après avis : 1° Du comité compétent de protection des personnes mentionné à l' article L. 1123-6 du code de la santé publique , pour les demandes d'autorisation relatives aux recherches impliquant la personne humaine mentionnées à l'article L. 1121-1 du même code ; 2° Du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, pour les demandes d'autorisation relatives à des études ou à des évaluations ainsi qu'à des recherches n'impliquant pasla personne humaine, au sens du 1° du présent II. Le comité d'expertise estcomposé de personnes choisies en raison de leur compétence,dans une pluralité de disciplines. Un décret en Conseild'Etat, pris après avis de la Commission nationalede l'informatique et des libertés, précise la composition du comité et définit ses règles de fonctionnement. Il peut prévoir l'existence de plusieurs sections au sein du comité, compétentes en fonction dela nature oude la finalité du traitement. Le comité d'expertise est soumis à l' article L. 1451-1 du codede la santé publique . Le comité d'expertise émet, dans un délai d'un mois à compter de sa saisine, un avis sur la méthodologie retenue, sur la nécessité du recours à des données à caractère personnel, sur la pertinence de celles-ci par rapport à la finalité du traitement et, s'il y a lieu, surla qualité scientifique du projet. Le cas échéant, le comité recommande aux demandeurs des modificationsde leur projet afin de le mettre en conformité avec les obligations prévues par la présente loi. A défaut d'avis du comité dans le délai d'un mois, l'avis est réputé favorable. En cas d'urgence, ce délai peut être ramené à quinze jours. Dans des conditions définies par décreten Conseil d'Etat, l'Institut national des données de santé, prévu à l' article L. 1462-1du code de la santé publique , peut être saisi parla Commission nationale de l'informatique et des libertésou le ministre chargé de la santé sur le caractère d'intérêt public que présente la recherche,l'étude ou l'évaluation justifiant la demande de traitement ; il peut également évoquer le cas de sa propre initiative. Dans tous les cas, il rend un avis dans un délai d'un mois à compterde sa saisine. Les dossiers présentésdans le cadre du présent chapitre, à l'exclusion des recherches mentionnées aux 1° et 2°de l'article L. 1121-1 du code de la santé publique et de celles mentionnées au 3° du même article L. 1121-1 portant sur des produits mentionnés à l'article L. 5311-1 du même code, sont déposés auprès d'un secrétariat unique, qui assure leur orientation vers les instances compétentes . III.-Pour chaque demande, la Commission nationale de l'informatique et des libertés vérifieles garanties présentées par le demandeur pour l'application des présentes dispositions etla conformité de sa demande à ses missions ou à son objet social. Si le demandeur n'apporte pas d'éléments suffisants pour attester la nécessité de disposer de certaines informations parmil'ensemble des données à caractère personnel dont le traitement est envisagé, la commission peut interdire la communication de ces informations parl'organisme qui les détient et n'autoriser le traitement que pour ces données réduites. La commission statue sur la durée de conservation des données nécessaires au traitement et apprécie les dispositions prises pour assurer leur sécurité et la garantie des secrets protégés par la loi. IV.-Pour les catégories les plus usuelles de traitements automatisés de données de santéà caractère personnel à des fins de recherche, d'étude oud'évaluation dans le domaine de la santé, la Commission nationalede l'informatique et des libertéspeut homologuer et publier des méthodologies de référence destinéesà simplifier la procédured'examen. Celles-ci sont établies en concertation avec le comitéd'expertise et des organismes publics et privés représentatifs des acteurs concernés. V.-Des jeux de données agrégées ou des échantillons, issus des traitements des données de santé à caractère personnel pour des finalités et dans des conditions reconnues conformes àla présente loi par la Commission nationale de l'informatique et des libertés, peuvent faire l'objet d'une mise à disposition,dans des conditions préalablement homologuées par la commission, sans que l'autorisation prévue au I du présent article soit requise. VI.-La commission peut, par décision unique, délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.