La Ley Orgánica 15/1999 regula la cesion de datos, con caracter genral, en su articulo 11. Este principio genral queda matizado, para datos de salud, en su artículo 8 , indicando que “Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica”
Igualmente, debe considerarse aplicable lo establecido en el artículo 7.6 de la Ley citada, que establece que los datos de carácter personal relativos a la salud podrán ser objeto de tratamiento cuando el mismo “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médico o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra personal sujeta asimismo a una obligación equivalente de secreto”.
Fuera de lo anterior, los datos de salud no pueden cederse a personas que no sean profesionales médicos o sanitarios sujetos al deber de secreto profesional.