L'article 18 prévoit actuellement d'exclure du régime simplifié d'autorisation les traitements comportant certaines données sensibles.
L'étude réalisée en 2014 par le Conseil d'État recommandait que la loi soumette à une procédure d'accès sur autorisation les traitements qui utilisent des données sensibles. Dans la mesure où les traitements mentionnés dans le II de cet article font l'objet d'une procédure d'accès sur autorisation de la CNIL, il n'est dès lors pas nécessaire d'exclure les données mentionnées au I de l'article 8 ou à l'article 9 du champ de la recherche scientifique et historique.
Grâce à cette modification, les travaux de recherche utilisant le NIR et des données sensibles mentionnées au I de l'article 8 ou à l'article 9 pourront être autorisés grâce à l'une ou l'autre de ces deux procédures. S'ils ont recours au chiffrement du NIR prévu par le présent article, ils devront obtenir l'autorisation de la CNIL prévue au I de l'article 25 – dans le cas contraire, s'ils ne souhaitent pas avoir recours au chiffrement du NIR, ils conserveront la possibilité de demander l'autorisation par décret en Conseil d'État. C'est une simplification du dispositif.