Um projeto de investigação pode ser considerado de risco não elevado quando, apesar de tratar dados pessoais, não envolve categorias especiais de dados (como saúde, etnia, religião ou orientação sexual), não recorre a tecnologias intrusivas ou a decisões automatizadas, nem combina múltiplas bases de dados.
Por exemplo, em estudos que recolhem dados pessoais de forma controlada — como entrevistas gravadas e posteriormente pseudonimizadas, com eliminação dos ficheiros originais e acesso restrito — as medidas de mitigação aplicadas (como pseudonimização precoce, limitação de acessos e eliminação de suportes identificáveis) podem ser proporcionais e suficientes para reduzir o risco.
Ainda assim, mesmo em contextos de risco reduzido, é recomendável submeter o projeto a uma comissão de ética, em conformidade com as políticas da instituição ou do financiador, como boa prática de responsabilidade científica e proteção dos participantes.