Согласно ч.1 ст.9 Федерального закона № 152 от 27.07.2006 «О персональных данных», субъект персональных данных дает согласие на их обработку по своей воле. Поэтому пациент не обязан давать согласие, а медицинская организация не может требовать его. Однако по действующим законам в ряде случаев согласие на обработку персональных данных не требуется. Так, в соответствии с ч.1 ст.6 закона № 152-ФЗ к таким случаям относится обработка персональных данных, которая необходима для выполнения возложенных на оператора функций, полномочий и обязанностей, а также для исполнения договора, одной из сторон которого является субъект персональных данных. Также п.4 ч.2 ст.10 закона № 152-ФЗ указано, что обработка данных, которые касаются здоровья физического лица, допускается без его согласия. В данном случае конфиденциальность персональных данных охраняется врачебной тайной, что позволяет хранить информацию о состоянии здоровья граждан исключительно для реализации права на медицинскую помощь. Этот момент был разъяснен в определении Конституционного суда № 1176-О от 16.07.2013 года. Такой же позиции придерживается Минздрав, которая отражена в письме № 18-1/10/2-6945 от 11.09.2014 года. Также на возможность обработки персональных данных пациентов без их согласия указано в п.8 и 9 ч.4 ст.13 Федерального закона № 323 «Об основах охраны здоровья граждан». При этом медицинская организация не вправе требовать согласия на обработку персональных данных и не может отказать в оказании медицинской помощи, если пациент не дает такого согласия.