(1) Личните данни на физическите лица в системата, включително здравните им данни, се обработват чрез НЗИС единствено за целите на НЗИС съгласно посоченото в тази наредба при условията на Общия регламент относно защитата на данните и на Закона за защита на личните данни и актовете по прилагането му и при спазване на реда и условията на тази наредба.
(2) Администратор на личните данни в системата е Министерството на здравеопазването.
(3) Лечебните и здравните заведения, които въвеждат, достъпват или по друг начин обработват лични данни в НЗИС, са самостоятелни администратори на лични данни. Администратори на лични данни са и органите, които водят регистри, информационни бази от данни и системи, включени в НЗИС.
(4) Администраторите могат да извършват обработването на личните данни чрез системата и чрез възлагането му на обработващ личните данни от името на администратора.
(5) Обменът и предоставянето на личните данни чрез системата се извършва по отношение на получатели на данните съобразно тази наредба.
(6) При събирането и съхраняването на данни в НЗИС се съобразява и политика за поверителност при обработване на лични данни чрез НЗИС, която се одобрява и публикува по реда на чл. 12 и е съобразена с политиката за поверителност при обработване на лични данни на Министерството на здравеопазването.