POL gir anledning til behandling av sensitive personopplysninger under bestemte vilkår. §13 i POL stiller krav til behandlingsansvarlig og databehandler om tilfredsstillende informasjonssikkerhet og dokumentasjon av disse. Det er vurderingene som ligger til grunn her som avgjør om sensitiv informasjon skal lagres på sikker sone eller ikke.
Dette regelverket omfatter alle som behandler personopplysninger - dvs at skoler og andre både eksterne og interne enheter også må utarbeide tilsvarende sikkerhetsplaner