Pour la mise en œuvre de l'article 67 de la loi du 6 janvier 1978 susvisée, les organismes ou les services chargés d'une mission de service public qui peuvent, par dérogation à l'article 66 de cette même loi, mettre en œuvre des traitements de données à caractère personnel dans le domaine de la santé ayant pour seule finalité de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites sont les suivants :
1° La direction générale de la santé ;
2° Le service de santé des armées ;
3° Les agences régionales de santé ;
4° L'Agence nationale de santé publique, dans le cadre de ses missions de gestion et de suivi du risque pour la santé humaine ou des alertes sanitaires ;
5° La Caisse nationale de l'assurance maladie ;
6° Les organismes et services ayant pour objet la recherche dans le domaine de la santé ou contribuant à de telles recherches suivants :
a) L'Institut Pasteur ;
b) L'Institut national de la santé et de la recherche médicale ;
c) Les centres hospitaliers universitaires ;
d) L'Ecole des hautes études en santé publique ;
7° Les organismes et services chargés de la remontée des informations ou de la mise en œuvre des traitements de données nécessaires pour répondre à une alerte sanitaire ou en gérer les suites suivants :
a) L'Agence du numérique en santé ;
b) La Plateforme des données de santé ;
c) L'Agence technique de l'information sur l'hospitalisation ;
8° Les organismes ou services chargés de la prévention et de la prise en charge des personnes en situation de handicap ou de perte d'autonomie ou ceux intervenant au soutien et à la protection des personnes vulnérables suivants :
a) Les maisons départementales des personnes handicapées ;
b) Les services des départements ;
c) Les directions départementales de la cohésion sociale et de la protection des personnes.

Les organismes mentionnés aux 5° à 8° de l'article 1er ne peuvent mettre en œuvre des traitements de données qu'à la demande du ministère chargé de la santé.
Les organismes mentionnés aux b et c du 8° ne peuvent traiter le numéro d'inscription au répertoire d'identification des personnes physiques.
L'organisme mentionné au b du 7° ne peut recueillir le numéro d'inscription au répertoire d'identification des personnes physiques que s'il a fait l'objet préalablement d'une opération cryptographique substituant au numéro d'inscription au répertoire national d'identification des personnes physiques un code statistique non signifiant.
Tout traitement mis en œuvre dans les conditions de l'article 67 de la loi du 6 janvier 1978 susvisée fait l'objet d'une analyse d'impact relative à la protection des données effectuée préalablement à la mise en œuvre du traitement conformément à l'article 35 du règlement du 27 avril 2016 susvisé et est inscrit dans le registre des activités de traitement conformément à l'article 30 du même règlement.

Le présent arrêté sera publié au Journal officiel de la République française.