131. Na nařízení navazuje zákon o zpracování osobních údajů, který „k naplnění práva každého na ochranu soukromí upravuje práva a povinnosti při zpracování osobních údajů“ (§ 1). Zákon v § 16 odst. 1 ukládá správci nebo zpracovateli povinnost zajistit při zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely dodržování konkrétních (příkladmo vyjmenovaných) opatření k ochraně zájmů subjektu údajů, která odpovídají stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i různě pravděpodobným a závažným rizikům pro práva a svobody fyzických osob. Současně stanoví, že pokud to umožňuje dosáhnout uvedeného účelu, osobní údaje uvedené v čl. 9 odst. 1 nařízení - tedy i údaje o zdravotním stavu – správce nebo zpracovatel dále zpracovává v podobě, která neumožňuje identifikaci subjektu údajů, ledaže tomu brání oprávněné zájmy subjektu údajů.