Se la conservazione, la cancellazione e la distruzione dei dati non sono altrimenti disciplinate, le autorità cui sono stati trasmessi dati di cui all’articolo 59a della LAMal sono tenute a rispettare i seguenti principi:
- proteggere i dati contro ogni trattamento non autorizzato, mediante i necessari provvedimenti tecnici e organizzativi;
- cancellare i dati non appena questi non sono più necessari per raggiungere lo scopo per il quale sono stati trasmessi;
- distruggere i dati al più tardi cinque anni dopo il loro ricevimento, sempre che non debbano essere archiviati.