I. - Le chapitre V bis de la loi n° 78-17 du 6 janvier 1978 précitée devient le chapitre IX et est intitulé : « Traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé ».
II. - Les articles 40-1 à 40-8 de la même loi deviennent les articles 53 à 60 et sont ainsi modifiés :
1° Au premier alinéa des articles 40-1, 40-3 et 40-8, le mot : « automatisés » est supprimé ;
2° Au premier alinéa des articles 40-1, 40-2, 40-3 et 40-5, ainsi qu'à l'article 40-7, les mots : « données nominatives » sont remplacés par les mots : « données à caractère personnel » ;
3° Au premier alinéa de l'article 40-1, les mots : « à l'exception des articles 15, 16, 17, 26 et 27 » sont remplacés par les mots : « à l'exception des articles 23 à 26, 32 et 38 » ;
4° Le quatrième alinéa de l'article 40-2 est remplacé par cinq alinéas ainsi rédigés :
« La mise en oeuvre du traitement de données est ensuite soumise à l'autorisation de la Commission nationale de l'informatique et des libertés, qui se prononce dans les conditions prévues à l'article 25.
« Pour les catégories les plus usuelles de traitements automatisés ayant pour finalité la recherche dans le domaine de la santé et portant sur des données ne permettant pas une identification directe des personnes concernées, la commission peut homologuer et publier des méthodologies de référence, établies en concertation avec le comité consultatif ainsi qu'avec les organismes publics et privés représentatifs, et destinées à simplifier la procédure prévue aux quatre premiers alinéas du présent article.
« Ces méthodologies précisent, eu égard aux caractéristiques mentionnées à l'article 30, les normes auxquelles doivent correspondre les traitements pouvant faire l'objet d'une demande d'avis et d'une demande d'autorisation simplifiées.
« Pour les traitements répondant à ces normes, seul un engagement de conformité à l'une d'entre elles est envoyé à la commission. Le président de la commission peut autoriser ces traitements à l'issue d'une procédure simplifiée d'examen.
« Pour les autres catégories de traitements, le comité consultatif fixe, en concertation avec la Commission nationale de l'informatique et des libertés, les conditions dans lesquelles son avis n'est pas requis. » ;
5° La dernière phrase du deuxième alinéa de l'article 40-3 est remplacée par deux phrases ainsi rédigées :
« La demande d'autorisation comporte la justification scientifique et technique de la dérogation et l'indication de la période nécessaire à la recherche. A l'issue de cette période, les données sont conservées et traitées dans les conditions fixées à l'article 36. » ;
6° Le premier alinéa de l'article 40-4 est ainsi rédigé :
« Toute personne a le droit de s'opposer à ce que les données à caractère personnel la concernant fassent l'objet de la levée du secret professionnel rendue nécessaire par un traitement de la nature de ceux qui sont visés à l'article 53. » ;
7° Au cinquième alinéa de l'article 40-5, les mots : « institué au chapitre V » sont remplacés par les mots : « institué aux articles 39 et 40 » ;
8° A l'article 40-6, le mot : « tuteur » est remplacé par les mots : « représentant légal » et les mots : « protection légale » par le mot : « tutelle » ;
9° Au second alinéa de l'article 40-8, les mots : « au contrôle prévu par le 2° de l'article 21 » sont remplacés par les mots : « aux vérifications prévues par le f du 2° de l'article 11 ».
III. - Les articles 40-9 et 40-10 de la même loi sont abrogés.
IV. - Le chapitre IX de la même loi est complété par un article 61 ainsi rédigé :
« Art. 61. - La transmission vers un Etat n'appartenant pas à la Communauté européenne de données à caractère personnel non codées faisant l'objet d'un traitement ayant pour fin la recherche dans le domaine de la santé n'est autorisée, dans les conditions prévues à l'article 54, que sous réserve du respect des règles énoncées au chapitre XII. »