La demande d’autorisation, la demande d’avis, les autorisations "évaluation" et "recherche" s’ajouteront aux formulaires de déclaration, normale et simplifiée, dématérialisés depuis 2006. Ces formulaires seront incorporés via un espace sécurisé (de type https://).

Cette procédure se substituera aux documents au format .pdf ou .rtf actuellement téléchargeables sur le site de la Cnil et permettra l’économie d’un volume de papier conséquent. L’impression des formulaires et des divers documents exigés peut en effet représenter jusqu’à plusieurs centaines de pages par demande.

Par ailleurs, le nombre de demandes reçues par la Cnil croît chaque année, tant pour la recherche (334 en 2006, 363 en 2007, 548 en 2008 et 377 de janvier à septembre 2009) que pour l’évaluation (227 en 2008, 215 entre janvier et septembre 2009).

Delia Rahal a rappelé qu'une procédure simplifiée de déclaration en ligne existe depuis quatre ans pour la recherche biomédicale. La Cnil a enregistré 1.042 engagements de ce type entre janvier 2006 et le 29 avril 2009.

D’après la loi du 6 janvier 1978, l’autorisation "recherche" concerne les traitements de données personnelles opérées dans le cadre de recherches médicales, tandis que l’autorisation "évaluation" vise les fichiers mis en œuvre à des fins d’évaluation ou d’analyse des pratiques ou des activités de soins.

La demande d'autorisation, qui sera dématérialisée ultérieurement, a trait aux "applications contenant des données sensibles justifiées par un intérêt public spécifique défini par la loi ou propre aux missions poursuivies par l'organisme", précise la Cnil sur son site internet, ce qui inclut "la mise en place d’un dossier médical partagé dans le cadre d'un réseau de santé ou des applications médicales gérées par les services médicaux des caisses" d'assurance maladie.

Delia Rahal a souligné que les demandes d'autorisation de traitement étaient distinctes de l'hébergement des données de santé, qui suit une procédure particulière gérée par le comité d'agrément des hébergeurs. Dans les autorisations qu'elle rend, la Cnil rappelle aux responsables de traitement qu'ils doivent faire appel à un hébergeur agréé s'ils souhaitent externaliser l'hébergement de leurs données de santé.vg/gb/vr