Les données concernant les personnes physiques ne peuvent être communiquées que sous forme de statistiques agrégées et d'informations constituées de telle sorte que ces personnes ne puissent être identifiées.
Des arrêtés des ministres chargés de la santé et de la sécurité sociale, pris après avis de la Commission des systèmes d'information sur les établissements de santé et de la Commission nationale de l'informatique et des libertés, fixent les modalités de communication des données sous forme agrégée mentionnée au premier alinéa.