For å oppnå bestemte formål, kan en virksomhet behandle særlige kategorier av personopplysninger (tidligere kalt sensitive personopplysninger) uten samtykke. I disse tilfellene har den behandlingsansvarlige plikt til å rådføre seg med personvernombudet.
Dette gjelder følgende formål:
arkivformål i allmennhetens interesse
formål knyttet til vitenskapelig eller historisk forskning
statistiske formål
Behandlingen beskrevet over er kun lovlig dersom samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. Behandlingen skal også være omfattet av nødvendige garantier som er beskrevet i personvernforordningen artikkel 89 nr. 1.
Den behandlingsansvarlige har plikt til å rådføre seg med personvernombudet eller en annen med tilsvarende kvalifikasjoner og praksis. Det betyr at den behandlingsansvarlige skal rådføre seg med et kvalifisert personvernombud eller en annen intern eller ekstern part som tilfredsstiller kompetansekravene i forordningens artikkel 37 nr. 5. Vedkommende skal ikke motta instrukser om utførselen av oppgavene sine eller avsettes eller straffes for å utføre sine oppgaver.
Ved rådføringen skal det vurderes om behandlingen vil oppfylle kravene i personvernforordningen og øvrige bestemmelser fastsatt i eller med hjemmel i personopplysningsloven. Rådføringen bør skje skriftlig slik at den kan dokumenteres og vises frem i en eventuell kontrollsak fra Datatilsynet. Plikten til å rådføre seg gjelder ikke dersom det er utført en vurdering av personvernkonsekvenser.
Plikten til å rådføre seg gjelder også:
Ordningen med personvernombud er obligatorisk for de fleste offentlige myndigheter og organer, men også for mange virksomheter innen privat sektor. Alle kan også opprette personvernombud på frivillig basis.
