I 5 kap. 4 § första stycket patientdatalagen slås fast att utlämnande genom direktåtkomst till personuppgifter är tillåten endast i den utsträckning som anges i lag eller förordning .