UODO zwrócił również uwagę na nieprawidłowość w przepisach, do których odnosił się w trakcie opiniowania projektu rozporządzenia, mianowicie: w § 6 ust. 2 pkt 1 ww. rozporządzenia wskazano, że wniosek o wydanie orzeczenia lub opinii zawiera także oświadczenie wnioskodawcy o wyrażeniu zgody na przetwarzanie danych osobowych, o której mowa w art. 23 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), w celu wydania orzeczenia lub opinii.
Co do zasady, zgoda powinna być przesłanką legalizującą przetwarzanie danych osobowych tylko w sytuacjach, w których nie można oprzeć się na innej podstawie. W tej sytuacji przetwarzanie ma swoje uzasadnienie w obowiązujących przepisach prawa, jednak jak już wspomniano, nie określono w sposób kompletny tego przetwarzania (zakresu, celu, środków ochrony). Przepisy powszechnie obowiązującego prawa powinny w sposób wyczerpujący wyznaczyć zasady przetwarzania danych osobowych i nie powinny być uzupełniane czy zastępowane mocą oświadczeń woli osób, których dane dotyczą, tym bardziej że zgoda na przetwarzanie danych osobowych może być odwołana w każdym czasie i powinna być dobrowolna.
Uwagi UODO (ówczesny GIODO) nie zostały jednak przez projektodawcę uwzględnione. Co nie zmienia faktu, że zgodnie z przepisami RODO, podstwą prawną do przetwarzania szczególnych kategorii danych osobowych w celu wydania opinii i orzeczenia jest art. 9 ust. 2 lit. g RODO, a nie zgoda.