Dne 15.6.2025 je petnajsti dan po objavi v Uradnem listu pričela veljati novela Zakona o znanstvenoraziskovalni in inovacijski dejavnosti (ZZrID).
Novela predpisuje dvig sredstev za znanstvenoraziskovalno in inovacijsko dejavnost, z vidika varstva osebnih podatkov pa je najpomembnejši 42.a člen, ki določa da smejo raziskovalne organizacije, ki so prejemniki stabilnega financiranja znanstvenoraziskovalne dejavnosti osebne podatke, vključno s posebnimi vrstami osebnih podatkov, pridobivati in obdelovati za namene znanstvenega raziskovanja, če izvedbe raziskave oziroma njenega namena ni mogoče doseči z obdelavo anonimiziranih podatkov ali bi bilo to povezano z nesorazmernim naporom ali stroški.
V vsakem primeru mora mora raziskovalna organizacija za pridobivanje in obdelavo osebnih podatkov, vključno s posebnimi vrstami osebnih podatkov, v skladu z zakonom, ki ureja varstvo osebnih podatkov (GDPR/ZVOP-2), izdelati opis raziskave in oceno učinka (35. člen GDPR).
Prav tako mora raziskovalna organizacija, če pridobiva osebne podatke od drugega upravljavca, preden pridobi osebne podatke, drugemu upravljavcu predložiti opis raziskave in oceno učinka. Upravljavec osebnih podatkov o posredovanju osebnih podatkov nato odloča v skladu z zakonom, ki ureja varstvo osebnih podatkov (členi 68.- 72. ZVOP-2).
Zakon prav tako določa da se osebni podatki, zbrani za namene znanstvenega raziskovanja oziroma pridobljeni za znanstvenoraziskovalne namene, hranijo največ tri leta po zaključku raziskave, nato pa se nepovratno anonimizirajo oziroma po potrebi vrnejo upravljalcu osebnih podatkov ali uničijo, razen če drug zakon določa drugače, če je posameznik privolil v nadaljnjo hrambo ali je nadaljnja hramba pomembna za izvršitev namena raziskave.
Prav tako se osebnih podatkov ne sme uporabiti za druge namene ali jih razkriti osebam, ki ne izvajajo raziskave. To dolžnost raziskovalec potrdi v pisni obliki pred začetkom obdelave osebnih podatkov.
Določeno je tudi, da je pri obdelavi v znanstvenoraziskovalne namene dovoljeno povezovanje zbirk osebnih podatkov, vključno s povezovanjem podatkov iz različnih zbirk javnega sektorja v skladu z zakonom, ki ureja varstvo osebnih podatkov (87. člen ZVOP-2). Po izvedenem povezovanju osebnih podatkov iz zbirk osebnih podatkov se morajo pridobljeni oziroma obdelani osebni podatki nemudoma anonimizirati do največje možne mere, ki še dovoljuje izvršitev namena raziskave.