1. Les organismes mentionnés aux 5° à 8° de l'article 1er ne peuvent mettre en œuvre des traitements de données qu'à la demande du ministère chargé de la santé.
2. Les organismes mentionnés aux b et c du 8° ne peuvent traiter le numéro d'inscription au répertoire d'identification des personnes physiques.
3. L'organisme mentionné au b du 7° ne peut recueillir le numéro d'inscription au répertoire d'identification des personnes physiques que s'il a fait l'objet préalablement d'une opération cryptographique substituant au numéro d'inscription au répertoire national d'identification des personnes physiques un code statistique non signifiant.
4. Tout traitement mis en œuvre dans les conditions de l'article 67 de la loi du 6 janvier 1978 susvisée fait l'objet d'une analyse d'impact relative à la protection des données effectuée préalablement à la mise en œuvre du traitement conformément à l'article 35 du règlement du 27 avril 2016 susvisé et est inscrit dans le registre des activités de traitement conformément à l'article 30 du même règlement.