Zdravstvene ustanove, privatna praksa i druga pravna lica dužni su da uspostave i održavaju sistem bezbednosti koji obuhvata mere za obezbeđenje sigurnosti podataka koje one poseduju u skladu sa ovim zakonom, zakonom o informacionoj bezbednosti, ISO standardima i zakonom kojim se uređuje zaštita podataka o ličnosti.