Tout traitement de données à caractère personnel doit avoir reçu le consentement de la ou des personnes concernée(s), sauf dérogations prévues par la loi (article 5 de la loi).

Sauf dérogation prévue par la loi, il est interdit de collecter ou de traiter sans le consentement exprès de la personne concernée, des données à caractère personnel qui sont relatives à la santé de celle-ci ou qui font apparaître les origines raciales, ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou les mœurs (article 20 de la loi).

Exceptions : Un traitement de données à caractère personnel peut être fait sans le consentement de la personne concernée, dans les cas suivants (article 21 de la loi) :

• le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis;
• le traitement est nécessaire à la sauvegarde de la vie de la personne concernée ou de celle d’un tiers ;
• le traitement porte sur des données rendues publiques par la personne concernée ;
• le traitement est nécessaire à l’exécution soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
• le traitement est nécessaire, soit à l'exécution d'un contrat auquel la personne concernée est partie, soit à des mesures précontractuelles prises à la demande de celle-ci ;
• le traitement est nécessaire à la constatation d'une infraction, d'un droit, à l'exercice ou à la défense d'un droit en justice;
• le traitement est nécessaire aux fins de médecine préventive, de diagnostics médicaux, d'administration de soins ou de traitements, de gestion des services de santé, à condition qu'ils soient mis en œuvre par un membre d'une profession de la santé ou par une autre personne à laquelle s'impose, en raison de ses fonctions, le secret professionnel.