Huvudregeln är alltså enligt artikel 9.1 i dataskyddsförordningen att behandling av känsliga personuppgifter är förbjuden .