Ley Orgánica 15/1999, de 13 de diciembre, BOE del 14, de protección de datos de carácter personal.
Artículo 7. Datos especialmente protegidos.
(...)
3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente.
(...)
6. No obstante lo dispuesto en los apartados anteriores, podrán ser
objeto de tratamiento los datos de carácter personal a que se refieren
los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte
necesario para la prevención o para el diagnóstico médicos,
la prestación de asistencia sanitaria o tratamientos médicos o
la gestión de servicios sanitarios, siempre que dicho tratamiento de
datos se realice por un profesional sanitario sujeto al secreto profesional
o por otra persona sujeta asimismo a una obligación equivalente de secreto.
También podrán ser objeto de tratamiento los datos a que se refiere
el párrafo anterior cuando el tratamiento sea necesario para salvaguadar
el interés vital del afectado o de otra persona, en el supuesto de que
el afectado esté física o jurídicamente incapacitado para
dar su consentimiento.
Artículo 8. Datos relativos a la salud.
Sin perjuicio de lo que se dispone en el artículo 11 respecto de la
cesión, las instituciones y los centros sanitarios públicos y
privados y los profesionales correspondientes podrán proceder al tratamiento
de los datos de carácter personal relativos a la salud de las personas
que a ellos acudan o hayan de ser tratados en los mismos de acuerdo con lo dispuesto
en la legislación estatal o autonómica sobre sanidad.
Artículo 11. Comunicación de datos.
1. Los datos de carácter personal objeto del tratamiento sólo
podrán ser comunicados a un tercero para el cumplimiento de fines directamente
relacionados con las funciones legítimas del cedente y del cesionario
con el previo consentimiento del interesado.
2. El consentimiento exigido en el apartado anterior no será preciso:
a) Cuando la cesión está autorizada en una ley.
b) Cuando se trate de datos recogidos de fuentes accesibles al público.
c) Cuando el tratamiento responda a la libre y legítima aceptación
de una relación jurídica cuyo desarrollo, cumplimiento y control
implique necesariamente concesión de dicho tratamiento con ficheros de
terceros. En este caso la comunicación sólo será legítima
en cuanto se limite a la finalidad que la justifique.
d) Cuando la comunicación que deba efectuarse tenga por destinatario
al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el
Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas.
Tampoco será preciso el consentimiento cuando la comunicación
tenga como destinatario a instituciones autonómicas con funciones análogas
al Defensor del Pueblo o al Tribunal de Cuentas.
e) Cuando la cesión se produzca entre Administraciones públicas
y tenga por objeto el tratamiento posterior de los datos con fines históricos,
estadísticos y científicos.
f) Cuando la cesión de datos de carácter personal relativos a
la salud sea necesaria para solucionar una urgencia que requiera acceder a un
fichero o para realizar los estudios epidemiológicos en los términos
establecidos en la legislación sobre sanidad estatal o autonómica.
3. Será nulo el consentimiento para la comunicación de los datos
de carácter personal a un tercero, cuando la información que se
facilita al interesado no le permita conocer la finalidad a que destinarán
los datos cuya comunicación se autoriza o el tipo de actividad de aquel
a quien se pretenden comunicar.
4. El consentimiento para la comunicación de los datos de carácter
personal tiene también un carácter de revocable.
5. Aquel a quien se comuniquen los datos de carácter personal se obliga,
por el solo hecho de la comunicación, a la observancia de las disposiciones
de la presente Ley.
6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores.