Die medizinische Leitung und sämtliche Mitarbeitenden des Krebsregisters sind über Sachverhalte und Daten, die ihnen in Ausübung ihrer Tätigkeit zur Kenntnis gelangen und die von vertraulicher Natur sind, zur Verschwiegenheit verpflichtet.
Das Krebsregister trifft räumliche Zugangsbeschränkungen sowie angemessene technische und organisatorische Massnahmen gegen den unbefugten Zugriff auf die bearbeiteten Daten. Es erstellt insbesondere ein Zugriffsreglement, in dem es regelt, welche Personen zu welchem Zweck und unter welchen Bedingungen Zugang zu den nicht anonymisierten Personendaten haben.
Der Zugriff auf personenbezogene Daten ist auf Personen zu beschränken, die den Zugriff zur Erfüllung ihrer Aufgaben benötigen und die eine Erklärung über die ihnen auferlegte Schweigepflicht unterschrieben haben. Personen, die nicht für das Krebsregister arbeiten sowie Hilfs- und Servicepersonal darf kein Zugriff auf nicht anonymisierte Personendaten gewährt werden.
Die getroffenen Massnahmen haben dem Stand der Technik zu entsprechen. Insbesondere bei der Pseudonymisierung und Anonymisierung von Personendaten sind die bestehenden technischen Möglichkeiten zu nutzen. Die elektronische Bearbeitung der personenbezogenen Daten von krebskranken Personen hat zudem in einem logistisch getrennten EDV-System zu erfolgen.
Der Zugang zur Datenbank hat über eine Zutrittskontrolle zu erfolgen, die dem aktuellen Stand der Technik entspricht. Die Zugriffe auf die Datenbank sind zu dokumentieren und während mindestens zehn Jahren aufzubewahren. Die Protokolldaten dürfen keine Registerdaten enthalten.