For å oppnå bestemte formål, kan en virksomhet behandle særlige kategorier av personopplysninger (tidligere kalt sensitive personopplysninger) uten samtykke. Den behandlingsansvarlige har da plikt til å rådføre seg med personvernombudet.
Dette gjelder blant annet formål knyttet til vitenskapelig eller historisk forskning. Behandlingen er kun lovlig dersom samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. Behandlingen skal også være omfattet av nødvendige garantier som beskrevet i personvernforordningen artikkel 89 nr. 1.
Den behandlingsansvarlige har plikt til å rådføre seg med personvernombudet (eller en annen med tilsvarende kvalifikasjoner og praksis) før forskning på personopplysninger igangsettes. Det betyr at den behandlingsansvarlige må be om råd fra et kvalifisert personvernombud eller en annen intern eller ekstern part som tilfredsstiller kompetansekravene i forordningens artikkel 37 nr. 5. Vedkommende skal ikke motta instrukser om utførselen av oppgavene sine eller straffes for å utføre sine oppgaver.
Ved rådføringen skal det vurderes om behandlingen vil oppfylle kravene i personvernforordningen og øvrige bestemmelser fastsatt i eller med hjemmel i personopplysningsloven. Rådføringen bør skje skriftlig, slik at den kan dokumenteres og vises frem i en eventuell kontrollsak fra Datatilsynet. Plikten til å rådføre seg gjelder ikke dersom det er utført en vurdering av personvernkonsekvenser.
Rådføringsplikten gjelder også:
Ordningen med personvernombud er obligatorisk for de fleste offentlige myndigheter og organer, men også for mange virksomheter innen privat sektor. Alle virksomheter kan også opprette personvernombud på frivillig basis.
