L'utilisation de données de santé et de données administratives référencées avec l'identifiant national de santé n'est autorisée dans le cadre d'un traitement de données à caractère personnel que si les deux conditions suivantes sont remplies :
1° Le traitement a une finalité exclusivement sanitaire ou médico-sociale, y compris les fonctions nécessaires pour assurer le suivi social ou la gestion administrative des personnes prises en charge ;
2° Le traitement est mis en œuvre dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Code de la santé publique

Article R1111-8-4