一、《中华人民共和国民法典》

第一百一十一条 自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。

第一千零三十二条 自然人享有隐私权。任何组织和个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。

第一千零三十三条 除法律另有规定或者权利人明确同意外，任何组织或者个人不得实施下列行为：（一）以电话、短信、即时通讯工具、电子邮件、传单等方式侵扰他人的私人生活安宁；（二）进入、拍摄、窥视他人的住宅、宾馆房间等私密空间；（三）拍摄、窥视、窃听、公开他人的私密活动；（四）拍摄、窥视他人身体的私密部位；（五）处理他人的私密信息；（六）以其他方式侵害他人的隐私权。

第一千零三十四条第二款 个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。

第一千二百二十六条 医疗机构及其医务人员应当对患者的隐私和个人信息保密。泄露患者的隐私和个人信息，或者未经患者同意公开其病历资料的，应当承担侵权责任。

第一千一百六十八条 二人以上共同实施侵权行为，造成他人损害的，应当承担连带责任。

二、《中华人民共和国个人信息保护法》

第四条 个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。

第二十八条 敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。

第二十九条 处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

三、《中华人民共和国基本医疗卫生与健康促进法》

第三十三条第一款 公民接受医疗卫生服务，应当受到尊重。医疗卫生机构、医疗卫生人员应当关心爱护、平等对待患者，尊重患者人格尊严，保护患者隐私。

第九十二条 国家保护公民个人健康信息，确保公民个人健康信息安全。任何组织和个人不得非法收集、使用、加工、传输公民个人健康信息，不得非法买卖、提供或者公开公民个人健康信息。

四、《医疗机构病历管理规定》

第十七条 医疗机构应当受理下列人员和机构复制或者查阅病历资料的申请，并依规定提供病历复制或者查阅服务：（一）患者本人或者其委托代理人；（二）死亡患者法定继承人或者其代理人。

第十八条 医疗机构应当指定部门或者专（兼）职人员负责受理复制病历资料的申请。受理申请时，应当要求申请人提供有关证明材料，并对申请材料的形式进行审核。（一）申请人为患者本人的，应当提供其有效身份证明；（二）申请人为患者代理人的，应当提供患者及其代理人的有效身份证明，以及代理人与患者代理关系的法定证明材料和授权委托书；（三）申请人为死亡患者法定继承人的，应当提供患者死亡证明、死亡患者法定继承人的有效身份证明，死亡患者与法定继承人关系的法定证明材料；（四）申请人为死亡患者法定继承人代理人的，应当提供患者死亡证明、死亡患者法定继承人及其代理人的有效身份证明，死亡患者与法定继承人关系的法定证明材料，代理人与法定继承人代理关系的法定证明材料及授权委托书。