1. Les données à caractère personnel des patients, consistant en leur nom, leur sexe, leurs date et lieu de naissance et en d'autres données à caractère personnel, qui sont nécessaires à des fins de diagnostic et de traitement, sont échangées et traitées au sein des RER exclusivement par l'intermédiaire du CPMS. Le traitement de ces données est limité aux finalités suivantes: faciliter la collaboration sur l'évaluation médicale du dossier d'un patient à des fins de diagnostic et de traitement, inscrire les données dans des registres et autres bases de données dédiés à des maladies complexes rares ou à faible prévalence, qui servent la recherche scientifique ou des objectifs cliniques ou de politique de santé et prendre contact avec des patients pour leur éventuelle participation à des initiatives de recherche scientifique. Le traitement se fonde sur un consentement obtenu conformément à l'annexe IV.
2. La Commission est considérée comme responsable du traitement des données à caractère personnel en ce qui concerne la gestion des droits d'accès et traite ces données sur la base du consentement explicite des personnes identifiées comme utilisateurs par les prestataires de soins de santé et autorisées par le RER pertinent dans la mesure où cela est nécessaire pour garantir que:
a) des droits d'accès sont accordés à ces personnes;
b) ces personnes peuvent exercer leurs droits et remplir leurs obligations; et
c) la Commission peut remplir les obligations qui lui incombent en sa qualité de responsable du traitement.
3. La Commission n'accède pas aux données à caractère personnel des patients, sauf si elle a impérativement besoin d'un tel accès pour remplir les obligations qui lui incombent en sa qualité de responsable conjoint du traitement.
4. Seules les personnes autorisées par les RER et appartenant aux catégories de personnel et aux autres personnes affiliées aux prestataires de soins de santé autorisés à accéder au CPMS peuvent accéder aux données à caractère personnel des patients dans le CPMS.
5. Le nom du patient ainsi que le lieu et la date exacte de sa naissance sont cryptés et pseudonymisés dans le CPMS. Les autres données à caractère personnel nécessaires à des fins de diagnostic et de traitement sont pseudonymisées. Seules des données pseudonymisées sont mises à la disposition des utilisateurs du CPMS liés à d'autres prestataires de soins de santé pour les discussions de panel et les évaluations des dossiers de patients.
6. La Commission veille à la sécurité du transfert et de l'hébergement des données à caractère personnel.
7. Les prestataires de soins de santé autorisés à accéder au CPMS effacent les données qui ne sont plus nécessaires. Les données à caractère personnel des patients ne sont conservées qu'aussi longtemps que cela est nécessaire pour assurer l'administration de soins aux patients, diagnostiquer les maladies ou assurer l'administration de soins aux membres de la famille des patients au sein d'un réseau européen de référence. Tous les quinze ans au plus tard, chaque prestataire de soins de santé autorisé à accéder au CPMS réexamine la nécessité de conserver les données des patients dont il a la responsabilité du traitement.
8. L'efficacité des mesures techniques et organisationnelles visant à garantir la sécurité du traitement des données à caractère personnel dans le CPMS est régulièrement testée, analysée et évaluée par la Commission et les prestataires de soins autorisés à accéder au CPMS.