Nella misura in cui la conservazione, la cancellazione e la distruzione dei dati non sono disciplinate altrimenti, le autorità che ricevono dati secondo l’articolo 47b LAMal devono rispettare i principi seguenti:
- adottare le necessarie misure tecniche e organizzative per proteggere i dati contro il trattamento non autorizzato;
- cancellare i dati non appena non servono più per raggiungere lo scopo per il quale sono stati comunicati;
- distruggere i dati al più tardi cinque anni dopo averli ricevuti, tranne se devono essere archiviati.