Første ledd gir eksterne forskere og eventuelt andre som har oppgaver innen helse- og omsorgstjenesten og helseforvaltningen, adgang til sammenstilte og tilrettelagte avidentifiserte opplysninger fra flere sentrale helseregistre, dersom opplysningene skal brukes til et uttrykkelig angitt formål innenfor registerets formål, jf. forskriften § 1-3. Helseregistre som kan sammenstilles i dette øyemed, er positivt oppregnet i forskriften § 4-1. Det er tre kumulative vilkår som må være tilstede for at sammenstilling og utlevering av data til et uttrykkelig angitt formål kan skje.
For det første er det et vilkår at mottakeren bare skal behandle avidentifiserte data. Avidentifiserte data er definert som helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysninger som tidligere ble fjernet. Oppfyllelse av dette vilkåret forutsetter at mottakeren (for eksempel forskeren) som skal behandle opplysningene, ikke selv sitter inne med egne opplysninger eller individdata som skal kobles til og behandles sammen med de utleverte opplysningene.
Dataene skal ikke utleveres til forskere før de er avidentifisert. Hvorvidt dataene er avidentifisert eller ikke, må vurderes konkret for hvert datasett.
Utlevering av avidentifiserte data til forskere, eventuelt andre berettigede mottakere, anses ikke å være i strid med helsepersonellovens bestemmelser om taushetsplikt. Det skal derfor ikke søkes om dispensasjon fra taushetsplikten. De avidentifiserte dataene vil ikke være anonyme fordi opplysningene vil kunne tilbakeføres indirekte ved hjelp av kodenøkkel som oppbevares utilgjengelig for mottakeren.
Dersom en står foran et forskningsprosjekt hvor behovet for data er stort og forutsetter bruk av mange variabler, herunder data som kjønn, fødselsmåned, år etc., og opplysningene kan tilbakeføres til et bestemt individ, vil forskriften § 4-3 ikke være riktig hjemmelsgrunnlag. I slike tilfeller vil forskriften § 4-5 være riktig hjemmelsgrunnlag. Det andre vilkåret er at behandlingen av opplysningene blir vurdert som ubetenkelig ut fra etiske hensyn. Ubetenkelig henspiller blant annet på om forskningsprosjektet er berettiget og forsvarlig. Det er den ansvarlige for prosjektet som er ansvarlig for at behandlingen av opplysningene og bruken av dem er ubetenkelig. Dersom regional etisk komité vurderer et prosjekt som positivt, kan databehandlingsansvarlig ikke avslå å utlevere avidentifiserte data med den begrunnelse at prosjektet ikke er forsvarlig eller berettiget.
Det tredje vilkåret er at sammenstillingen og tilretteleggingen av dataene gjøres av databehandlingsansvarlig for ett av de registre hvis opplysninger behandles (sammenstilles). En virksomhet som departementet eventuelt bestemmer skal sammenstille og tilrettelegge data for eksterne forskere, vil være databehandler for Folkehelseinstituttet, og det må inngås skriftlig avtale etter forskriften § 1-6. Annet ledd viser til forskriften § 4-2 annet ledd. Det følger av denne bestemmelsen at virksomheten ikke kan lagre de sammenstilte helseopplysninger før navn, fødselsdag og personnummer er slettet eller kryptert. Videre forutsettes det at direkte personidentifiserende opplysninger (navn og fødselsnummer) som mottas for behandlingen, skal slettes så snart sammenstillingen er tilfredsstillende gjennomført. Tredje ledd sier at den dataansvarlige skal utlevere eller overføre nødvendige og relevante data til den ansvarlige for det angitte prosjektet innen 60 dager fra den dagen søknaden kom inn. Rettsgrunnlaget for den angitte behandlingen av opplysningene skal fremgå av søknaden, som nevnt i første ledd. En forutsetning for at fristen på 60 dager kan overholdes er at det foreligger en presis søknad. Departementet er kjent med at søknadene om forskningsdata kan være ufullstendige, og at det må gås flere runder før innholdet i en søknad er tilstrekkelig detaljert slik at data kan leveres. I sistnevnte tilfeller vil det være vanskelig å levere data innen en frist på 60 dager. I slike tilfeller kan leveringen av data utsettes, inntil det er mulig å oppfylle den. Dette følger av fjerde ledd. Den databehandlingsansvarlige skal i så fall gi søkeren et foreløpig svar om grunnen til forsinkelsen. Dersom grunnen til at data vanskelig kan leveres, er at søknaden er ufullstendig, skal dette avhjelpes ved kommunikasjon, råd og veiledning fra registrets side. Det skal foreligge spesielle og midlertidige forhold ved registret for å kunne påberope seg en utsatt levering etter fjerde ledd. Lengre saksbehandlingstid enn 60 dager skal ikke være rutine. Kravet om å overholde fristen må imidlertid ikke gå på bekostning av kvalitet.