Art. 62. - Sans préjudice des dispositions prévues dans l'article 14 de la présente loi, les données à caractère personnel relatives à la santé peuvent faire l'objet d'un traitement dans les cas suivants :

• 1. lorsque la personne concernée, ses héritiers ou son tuteur, a donné son consentement à un tel traitement. Lorsque la personne concernée est un enfant, les dispositions de l'article 28 de la présente loi s'appliquent ;
• 2. lorsque le traitement est nécessaire à la réalisation de finalités prévues par la loi ou les règlements ;
• 3. lorsque le traitement s'avère nécessaire pour le développement et la protection de la santé publique entre autres pour la recherche sur les maladies ;
• 4. lorsqu'il s'avère des circonstances que le traitement est bénéfique pour la santé de la personne concernée ou qu'il est nécessaire, à des fins préventives ou thérapeutiques, pour le suivi de son état de santé ;
• 5. lorsque le traitement s'effectue dans le cadre de la recherche scientifique dans le domaine de la santé.

Art. 63. - Le traitement des données à caractère personnel relatives à la santé ne peut être mis en oeuvre que par des médecins ou des personnes soumises, en raison de leur fonction, à l'obligation de garder le secret professionnel.
Les médecins peuvent communiquer les données à caractère personnel en leur possession à des personnes ou des établissements effectuant de la recherche scientifique dans le domaine de la santé suite à une demande émanant de ces personnes ou établissements, et sur la base d'une autorisation de l'Instance Nationale de Protection des Données à Caractère Personnel.
L'instance doit statuer sur la demande d'autorisation dans un délai maximum d'un mois à compter de la date de la présentation de la demande.

Art. 64. - Le traitement ne peut dépasser la durée nécessaire pour la réalisation du but pour lequel il est effectué.

Art. 65. - L'instance peut, lors de la délivrance de l'autorisation visée au deuxième paragraphe de l'article 63 de la présente loi, fixer les précautions et les mesures devant être mises en oeuvre pour assurer la protection des données à caractère personnel relatives à la santé.
Elle peut interdire la diffusion des données à caractère personnel relatives à la santé.