Virksomheten kan behandle helseopplysninger hvis det er nødvendig av hensyn til viktige allmenne interesser. For å kunne bruke dette grunnlaget må behandlingen ha et supplerende rettsgrunnlag i norsk rett. Det supplerende rettsgrunnlaget må være forenlig med målene som søkes oppnådd. Rettsgrunnlaget må sikre den registrertes personvern og egnede særlige tiltak for å verne den registrertes rettigheter og friheter, jf. personvernforordningen Artikkel 9. Behandling av særlige kategorier av personopplysninger nr. 2 bokstav g (lovdata.no).
Grunnlaget kan være spesielt aktuelt for behandling av helseopplysninger i forskriftsregulerte helseregistre som etableres uten samtykke fra den registrerte. Behandlingen vil vanligvis være hjemlet i forskriften som regulerer opprettelsen av helseregisteret. Helseregisterloven og slike forskrifter stiller en rekke krav til behandlingen, som oppfyller personvernlovgivingens krav til supplerende rettsgrunnlag. Det er for det første et krav om at slike registre kun kan etableres hvis det er nødvendig for formålet. Videre er taushetsplikten en av de viktigste garantiene for å ivareta den registrertes personvern, jf. Helseregisterloven § 17. Helseregisterloven § 21 stiller i tillegg krav om blant annet logging, kryptering og retten til å motsette seg behandling (jf. Helseregisterloven § 10).
