Питання збору, зміни й обробки персональних даних регулюється Законом України “Про захист персональних даних”. Стаття 7 цього нормативного акту передбачає заборону обробки даних, що стосуються “здоров’я, статевого життя, біометричних або генетичних даних”. Проте, це правило містить деякі винятки. Зокрема, заборона не застосовується, якщо обробка персональних даних:

• здійснюється за наявності однозначної згоди суб’єкта;
• необхідна для захисту життєво важливих інтересів суб’єкта;
• необхідна в цілях охорони здоров’я, встановлення медичного діагнозу, для забезпечення піклування чи лікування або надання медичних послуг;
• необхідна в цілях функціонування електронної системи охорони здоров’я за умови, що такі дані обробляються медичним працівником, іншою особою закладу охорони здоров’я чи особою, яка отримала ліцензію на провадження медичної практики;
• здійснюється працівниками органу виконавчої влади, що реалізує політику у сфері державних фінансових гарантій медичного обслуговування населення, на який покладено обов’язки щодо забезпечення захисту персональних даних.

Крім цього, відповідно до статті 25 Закону, обмеження можуть встановлюватися у випадках, коли це необхідно у демократичному суспільстві в інтересах національної безпеки, економічного добробуту або захисту прав і свобод суб’єктів персональних даних чи інших осіб. 

Європейський суд з прав людини, чиїми рішеннями Україна керується при встановленні обмежень щодо прав і свобод, визнає суспільне здоров’я цінністю, яка підпадає під категорію захисту національної безпеки (у випадку глобальних питань) і прав інших (при локальних проблемах) – обмеження також можуть встановлюватися державою в залежності від ситуації та в межах наданих повноважень. Зокрема, це правило поширюється і на час епідемій. 

При цьому, важливо розуміти, що жодна зі згаданих підстав для обмежень не передбачає можливості розкриття лікарської таємниці (у частині конфіденційних даних – це адреса проживання, ПІП, дата народження, майновий стан тощо). Вони стосуються лише внутрішньої обробки даних медичним персоналом. 

Попри це, окреме регулювання матимуть відкриті дані. До останніх належать відомості про події, їхній розвиток, кількісні та якісні показники, плани влади тощо. До прикладу, у разі виявлення нового випадку захворювання у місті чи області про це повідомлятимуть без згадки щодо імені особи та без конкретизації її місця проживання. Така інформація перебуватиме у відкритому доступі на офіційних ресурсах (її публікуватимуть органи державної влади) та може використовуватися журналістами. У випадку епідемій, інформацію найчастіше буде оприлюднювати МОЗ або статистичні служби.