Noen ganger kan samtykke være tilstrekkelig for å behandle sensitive personopplysninger. Det stilles imidlertid strenge krav til dette samtykket, som bare helt sjeldent er anvendelig i arbeidsforhold, eller overfor studenter.
GDPR artikkel 9 stiller krav til at samtykket skal være uttrykkelig og at det skal gjelde ett eller flere spesifikke formål. Reglene om samtykke for alminnelige personopplysninger gjelder også her, men samtykket skal være uttrykkelig, dvs. være gitt på en ekstra tydelig måte. Datatilsynet gir som eksempel at den enkelte sender en skriftlig erklæring om hva hun samtykker til eller må bruke BankID for å signere en samtykkeforespørsel.