I sin gjennomgang av samtykke nevner Hølen at noen ganger samler man inn data uten at personen er «samtykkekompetent». Da kan man samle inn data og spørre vedkommende om samtykke til å bruke disse når vedkommende har blitt kompetent, blitt frisk. Hvis forskeren får samtykke kan det forskes, hvis ikke må data slettes, sier Hølen.

Hvis data er helserelaterte vil de overveiende sannsynlig være å oppfatte som journaldata og komme inn under Pasientjournalloven. Slike data skal oppbevares i den tid man mener at de kan ha betydning for medisinsk vurdering og behandling av den registrerte, en norm er ca. 10 år. Data vil i slike tilfeller være innhentet uten involvering av REK, under «presumptivt samtykke», og brukt som «primær» databehandling; altså data brukt under behandling av sykdommen.
Hvis vedkommende nekter «sekundær» behandling av data, for eksempel til forskning, skal dataene uansett oppbevares i henhold til Pasientjournalloven.

Sannsynligvis kan en pasient i henhold til artikkel 17 i GDPR kreve sletting av alle data, kalt «retten til å bli glemt», men da mister vedkommende sannsynligvis flere rettigheter, for eksempel muligheten til å klage hvis det i etterhånd viser seg at vedkommende ikke har fått optimal behandling. Sannsynligvis har også legen noen rettigheter, for eksempel tilgang til tidligere data hvis pasienten senere klager på den gitte behandlingen. Også muligheten til å kunne vurdere om noe har endret seg over tid forsvinner.