Les mutuelles et unions mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité ainsi que la protection des droits des personnes concernées. Elles s'assurent que les données à caractère personnel ne sont conservées que pendant une durée n'excédant pas celle strictement nécessaire au regard des finalités mentionnées à l'article L. 211-17 et que le personnel, qui fait l'objet d'une habilitation spécifique, n'accède qu'aux données strictement nécessaires à ses missions.

Les données à caractère personnel qui font l'objet d'un traitement autorisé en application de la présente section sont stockées exclusivement dans l'Espace économique européen, dans des conditions garantissant la protection des données contre tout accès par des autorités publiques d'Etats tiers non autorisé par le droit de l'Union européenne ou par la législation d'un Etat membre.

Seuls des professionnels de santé et le personnel placé sous leur autorité chargé du contrôle médical ont accès, dans le cadre de leurs fonctions et pour la durée de celles-ci, aux données à caractère personnel relatives à la santé d'un membre participant ou d'un ayant droit couvert par un contrat ou par un règlement mentionné à l'article L. 211-16 lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.

Le personnel de la mutuelle ou de l'union est soumis au secret professionnel pour toutes les données à caractère personnel relatives à la santé ou pour toutes les données d'identification et de facturation mentionnées au même article L. 211-16.