Dat staat in een gedragscode die is opgesteld door de Vereniging van Universiteiten (VSNU) en de Koninklijke Nederlandse Akademie van Wetenschappen (KNAW) is opgesteld. De code is goedgekeurd door het College Bescherming Persoonsgegevens.Alle onderzoekers bij de universiteiten vallen automatisch onder deze gedragscode. Tijdelijke werknemers moeten een verklaring tekenen waarin zij de code onderschrijven. De universiteiten lieten vrijdag weten de regels zo snel mogelijk in de praktijk te willen verankeren.

De code biedt onderzoekers die werken met privacygevoelige gegevens praktische aanwijzingen hoe daar verantwoord mee om te gaan. Zo mogen wetenschappers persoonsgegevens uitsluitend gebruiken voor onderzoek, dat wil zeggen ten behoeve van een wetenschappelijke publicatie. Verder mogen individuen in die publicatie nooit herkenbaar zijn.

De code stelt verder dat bestanden met persoonsgevens in beginsel niet langer dan zes maanden mogen worden bewaard. Als voor onderzoek een langere termijn nodig is, moeten de wetenschappers dat bij het College Bescherming Persoonsgegevens melden.

Het gebruik van bestaande bestanden voor andere doeleinden dan waarvoor ze zijn verzameld, is geoorloofd. Als die gegevens echter onder beroepsgeheim vallen of als het gegevens over godsdienst, ras, politieke gezindheid, gezondheid, seksuele leven of lidmaatschap van een vakvereniging betreft, is opnieuw toestemming nodig.