Art. 2. - Le chapitre IV du décret du 17 juillet 1978 susvisé est ainsi rédigé :
« Chapitre IV
« Formalités préalables à la mise en oeuvre de traitements de données personnelles de santé à des fins d'évaluation ou d'analyse statistique des pratiques et des activités de soins et de prévention
Art. 26. - En vue de faciliter l'accomplissement des formalités préalables à la communication de données prévues au présent chapitre et à la mise en oeuvre des traitements les concernant, la Commission nationale de l'informatique et des libertés adopte des modèles de demande d'autorisation.
Art. 27. - La demande d'autorisation, signée par la personne qui a qualité pour représenter l'organisme public ou privé sollicitant la communication des données visées à l'article 40-11 de la loi susvisée du 6 janvier 1978 modifiée en vue de la mise en oeuvre d'un traitement, est adressée à la commission soit par lettre recommandée avec demande d'avis de réception, soit par dépôt au secrétariat de la commission contre récépissé.
La date de l'avis de réception ou du récépissé fixe le point de départ du délai dont dispose la commission pour notifier sa décision.
Art. 28. - Le dossier produit à l'appui de la demande d'autorisation comprend :
1o Le nom de l'organisme public ou privé qui demande la communication des données et qui met en oeuvre le traitement et, s'il est établi à l'étranger, le nom de son représentant en France ; les missions ou l'objet social de l'organisme ; l'identité et les fonctions de la personne responsable de la mise en oeuvre du traitement ; les catégories de personnes qui auront accès aux données ;
2o Un descriptif de la finalité du traitement et la population qu'il concerne ; la nature des données indirectement nominatives dont le traitement est envisagé et la justification du recours à celles-ci ; la durée souhaitée de leur conservation et leurs méthodes d'analyse ; l'identification des personnes, services ou organismes qui en sont détenteurs et qui sont susceptibles de les communiquer au demandeur si celui-ci est autorisé à mettre en oeuvre le traitement ; le type de diffusion ou de publication des résultats du traitement envisagé, le cas échéant, par le demandeur ;
3o Les caractéristiques techniques du traitement ;
4o Les rapprochements ou interconnexions envisagés ou toute autre forme de mise en relation des informations ;
5o Les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;
6o La mention de toute expédition d'informations indirectement nominatives entre la France et l'étranger, sous quelque forme que ce soit, y compris lorsque le traitement est l'objet d'opérations partiellement effectuées sur le territoire français à partir d'opérations antérieurement réalisées hors de France ;
7o Le cas échéant, la liste des traitements répondant aux caractéristiques prévues au deuxième alinéa de l'article 40-14 de la loi du 6 janvier 1978 susvisée ; le dossier précise, en ce cas, les catégories de données, les destinataires ou les catégories de destinataires.
Toute modification de ces éléments est portée à la connaissance de la commission.
Art. 29. - Le président de la commission ou le vice-président délégué désigne un rapporteur chargé d'instruire la demande d'autorisation.
Le président, le vice-président ou le rapporteur peut demander aux personnes, services ou organismes sollicités pour communiquer les données personnelles de santé de lui préciser s'ils disposent par ailleurs de données non personnelles qui seraient susceptibles de satisfaire les besoins du demandeur.
Le commissaire du Gouvernement peut disposer à sa demande d'un exemplaire de la demande d'autorisation.
Art. 30. - La décision par laquelle le président ou le vice-président renouvelle le délai de deux mois imparti à la commission pour donner son autorisation est notifiée au signataire de la demande par lettre recommandée avec demande d'avis de réception.
Art. 31. - Lorsque la commission délibère sur la demande d'autorisation, le rapporteur peut se faire assister par des agents des services. Un représentant de l'organisme demandeur peut présenter ses observations devant la commission. Le commissaire du Gouvernement formule les siennes. Toute personne dont l'audition est demandée par le rapporteur ou le commissaire du Gouvernement est entendue par la commission.
Art. 32. - La décision de la commission est motivée. Elle est notifiée au demandeur par lettre recommandée avec demande d'avis de réception. »