Si la conservation, l’effacement et la destruction des données ne sont pas réglés dans d’autres dispositions, les autorités auxquelles sont remises les données visées à l’art. 59a LAMal doivent respecter les principes suivants:
- protéger les données contre tout traitement non autorisé en prenant les mesures organisationnelles et techniques nécessaires;
- effacer les données dès que celles-ci ne sont plus nécessaires pour réaliser l’objectif pour lequel elles ont été transmises;
- détruire les données au plus tard cinq ans après leur réception, à moins qu’elles doivent être archivées.