Die gemeinsame Einrichtung ist, ausser gegenüber dem BAG und ihren eigenen Revisionsstellen, zur Geheimhaltung der Daten verpflichtet, die Rückschlüsse auf den Versicherer zulassen. Dritte, die mit der Bearbeitung der Daten beauftragt werden, sind ebenfalls zur Geheimhaltung der Daten verpflichtet.
Die gemeinsame Einrichtung darf die bei den Versicherern erhobenen Daten nur für die Durchführung des Risikoausgleichs, die Erstellung der Statistik, die Kontrolle der Daten und die Meldung nach Artikel 10 Absatz 3 verwenden.36
Bei der Verwendung der Daten sind die gemeinsame Einrichtung und das BAG jeweils dafür verantwortlich, dass die Anonymität der Versicherten gewahrt ist.