Nel decreto dovranno essere innanzitutto indicate con precisione le finalità della raccolta dei dati e le finalità che si intendono perseguire con il Sism. Dovranno essere indicati, in dettaglio, gli uffici del ministero, delle Regioni e delle Province autonome che possono avere accesso alle informazioni conservate nel Sism, precisando le competenze dei singoli addetti. Ad ogni paziente dovrà essere attribuito un codice univoco e le Regioni e le Province autonome che non dispongono di questo sistema di codifica potranno trattare solo dati anonimi.

Dovrà essere precisato, inoltre, che il Ministero potrà avere accesso a tutte le informazioni contenute nel Sism, mentre Regioni e Province autonome potranno trattare solo le informazioni che inseriscono. 

Non devono comunque far parte del Sism informazioni relative al numero che identifica la scheda del paziente o la cartella clinica territoriale e al comune di residenza, trattandosi di dati che potrebbero rendere riconoscibili i pazienti, specialmente in piccoli contesti locali. 

Analoga esigenza si pone per "l'origine geografica del cittadini", una informazione di notevole delicatezza dalla quale potrebbe rivelarsi l'origine etnica delle persone. 

Per innalzare il livello di sicurezza del sistema, il Garante ha chiesto infine di integrare il decreto perfezionando, tra l'altro, le disposizioni che prevedono il ricorso a tecniche di cifratura dei dati sensibili, la tracciabilità degli accessi, i sistemi di autenticazione degli utenti e le modalità per la distruzione sicura dei supporti che contengono dati sensibili.