Denne bestemmelsen gjelder bare for opplysninger som skal regnes som sensitive, se § 2 nr 8. For å fastslå at en har rettslig grunnlag for å behandle sensitive personopplysninger må man først finne et grunnlag etter § 8, og deretter også finne et grunnlag i § 9. De to paragrafene er bygget opp på likeartet måte, og opererer med grunnlagene samtykke, lovhjemmel og "nødvendig grunn".
