Un arrêté pris par le directeur général du Centre national de gestion, après avis de la Commission nationale de l'informatique et des libertés, définit les modalités du traitement, l'intervention d'un prestataire extérieur et d'un expert, les catégories de données à caractère personnel traitées, les destinataires de ces informations, la durée de leur conservation, les modalités du droit d'accès, de rectification, d'information.