Det følger av helseforskningsloven § 2 at personvernforordningen og personopplysningsloven gjelder fullt ut når helseopplysninger brukes i forskning. Behandling av helseopplysninger i medisinsk og helsefaglig forskning skal derfor være i samsvar med prinsippene i personvernforordningen artikkel 5 og skje innenfor et tydelig definert formål. Helseopplysningene skal være relevante og nødvendige for å nå forskningsprosjektets formål. Graden av personidentifikasjon for helseopplysninger skal ikke være større enn nødvendig for å nå formålene.
I tillegg kreves det at taushetsplikten om opplysningene ivaretas. Se omtale i kapitlet Helseopplysninger er underlagt taushetsplikt.
Bruk av allerede innsamlede helseopplysninger er å anse som forskning på helseopplysninger. Opplysninger fra pasientjournal, fra helseregistre eller andre registre omfattes.
Slike forskningsprosjekter er å anse som medisinsk og helsefaglig forskning, og må følge kravene i helseforskningsloven. I utgangspunktet kreves det at prosjektet har fått forhåndsgodkjenning av REK. Se omtale i kapitlet om søknad om forhåndsgodkjenning til REK.
Lovens bestemmelser om forsvarlighet, forskningsprotokoll, sluttmelding og andre organisatoriske krav til forskningen gjelder også forskning på helseopplysninger.
Det er et unntak for søknad om forhåndsgodkjenning til REK for helseregisterforskning (såkalt rene registerstudier), se omtale i kapitlet om unntak fra kravet om forhåndsgodkjenning for helseregisterforskning.