Volgens artikel 6, lid 1, onder c), van Verordening (EU) 2016/679 (algemene verordening gegevensbescherming - AVG) is de verwerking van persoonsgegevens rechtmatig wanneer dit noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. beginsel verbiedt de AVG (artikel 9, lid 1) de verwerking van bijzondere categorieën van persoonsgegevens, de zogenaamde \"gevoelige\" gegevens, die bijvoorbeeld gezondheidsgegevens omvatten. Op voorwaarde dat er passende waarborgen worden geboden voor de grondrechten en de fundamentele belangen van de betrokkene, kunnen er in de EU-wetgeving of de wetgeving van de lidstaten echter om redenen van zwaarwegend algemeen belang uitzonderingen worden voorzien (artikel 9, lid 2, onder g), van de AVG). Het verbod op de verwerking van gevoelige gegevens kan ook worden opgeheven als de betrokkene (d.w.z. de deelnemer) zijn uitdrukkelijke toestemming geeft. Indien het verzamelen van gezondheidsgegevens (zoals hiv- of COVID-patiënten) nodig is voor het samenstellen van gemeenschappelijke of programmaspecifieke indicatoren, of voor controle- of auditdoeleinden (bv. om te beoordelen of deelnemers in aanmerking komen), biedt de VGB 2021-2027 (verordening houdende gemeenschappelijke bepalingen - artikel 4) derhalve een rechtsgrondslag voor de rechtmatige verwerking van deze gegevens in de zin van de AVG. De nationale wetgeving inzake gegevensbescherming kan echter restrictiever zijn. Daarom wordt aanbevolen dat de beheersautoriteiten proactief advies inwinnen bij hun nationale gegevensbeschermingsautoriteiten over de wijze waarop zij kunnen voldoen aan de verplichtingen inzake gegevensverwerking die in de AVG en de nationale wetgeving zijn vastgelegd. Om aan de monitoringvereisten van het ESF+ te voldoen, zullen sommige lidstaten mogelijk nieuwe wetgeving moeten uitvaardigen, zodat de gegevens rechtmatig kunnen worden verzameld. Er wordt eveneens op gewezen dat gegevensreeksen kunnen worden gepseudonimiseerd (bv. door gebruik te maken van een kunstmatig gecreëerd uniek identificatienummer, dat door middel van versleuteling kan worden losgekoppeld van de persoonsgegevens).