L'articolo 9 del Regolamento generale sulla protezione dei dati dell'UE definisce le «categorie speciali» di dati personali, come i dati sulla salute, i dati biometrici, le opinioni politiche, la religione, l'appartenenza sindacale e l'orientamento sessuale. Questi dati sono trattati come particolarmente sensibili perché un uso improprio può creare seri rischi per la privacy, la sicurezza o discriminazione. Nella maggior parte dei casi, il loro trattamento è محدودato, salvo che si applichi una specifica eccezione legale.
Per i team di cybersecurity, l'articolo 9 è importante perché una violazione che coinvolge dati di categoria speciale di solito ha un impatto maggiore rispetto a una normale fuga di dati. Gli aggressori possono cercarli per estorsione, profilazione dell'identità o social engineering mirato, mentre i difensori devono ridurre l'esposizione tramite minimizzazione dei dati, controlli di accesso rigorosi, crittografia, limiti di conservazione e registrazione attenta dei log. Le verifiche di sicurezza e la risposta agli incidenti dovrebbero identificare se i dati coinvolti rientrano nell'articolo 9, poiché ciò modifica i requisiti legali e tecnici di gestione.