Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, précise les modalités d'application du présent chapitre, notamment :
1° Les catégories de données traitées, en particulier celles mentionnées à l'article L. 135-2 qui peuvent être communiquées aux entreprises d'assurance pour la mise en œuvre du tiers payant ;
2° Les durées de conservation des données prévues au 1° du présent article ;
3° Les modalités d'information, dans les contrats et les conventions, des assurés, de leurs ayants droit et des professionnels de santé concernés ainsi que les modalités d'exercice des droits prévus par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).