Forskningsprosjekter som skal behandle personopplysninger, må ha behandlingsgrunnlag. Det får helseforskningsprosjekter fra Regional Etisk Komite (REK) mens andre forskningsprosjekter får det fra Datatilsynet.