Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, précise les modalités d'application des articles L. 931-3-9 à L. 931-3-12, notamment :

1° Les catégories de données traitées, en particulier celles mentionnées à l'article L. 931-3-10 qui peuvent être communiquées aux institutions de prévoyance et à leurs unions pour la mise en œuvre du tiers payant ;

2° Les durées de conservation des données prévues au 1° du présent article ;

3° Les modalités d'information, dans les contrats, les règlements et les conventions, des membres participants, de leurs ayants droit et des professionnels de santé concernés ainsi que les modalités d'exercice des droits prévus par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).