Personopplysninger kan behandles hvis det er nødvendig for å utføre en oppgave i allmennhetens interesse, eller for å utøve offentlig myndighet, jf. personvernforordningen Artikkel 6. Behandlingens lovlighet nr. 1 bokstav e (lovdata.no).
I begge tilfellene kreves det supplerende rettsgrunnlag som tillater behandlingen. Det supplerende rettsgrunnlaget trenger ikke å inneholde en rettslig plikt, jf. personvernforordningen Artikkel 6. nr. 3.
Dette behandlingsgrunnlaget kan for eksempel være aktuelt der helse- og personopplysninger behandles i forskriftsregulerte helseregistre som ikke er basert på samtykke.
I slike tilfeller kan behandlingen ha supplerende rettsgrunnlag i forskriften som regulerer opprettelsen av helseregisteret. Se for eksempel forskrift om innsamling og behandling av helseopplysninger i Kreftregisteret.
Dette grunnlaget er også aktuelt for behandling av helse- og personopplysninger i forbindelse med helserelaterte forskningsprosjekter som ikke er baseres på samtykke.
I slike tilfeller kan vedtak fattet på bakgrunn av hjemmel i helseforskningsloven gjelde som et supplerende rettsgrunnlag.
Når virksomheten behandler helseopplysninger, så må den også sikre at kravene i personvernforordningen Artikkel 9. Behandling av særlige kategorier av personopplysninger nr. 1 jf. nr.2 er oppfylt. Disse kravene er beskrevet i kapittel 4 Særlige krav ved behandling av helseopplysninger.
