Kupienie gotowej bazy danych zawierającej setki, a może tysiące rekordów jest na pewno łatwiejsze, niż jej tworzenie poprzez samodzielne docieranie do potencjalnych klientów. Łatwiejsze nie oznacza jednak, że nie wiążące się w obowiązkami wynikającymi z przepisów. A jednym z nich jest obowiązek informacyjny.

W myśl art. 25 ust. 1 ustawy o ochronie danych osobowych, w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:

- adresie swojej siedziby i pełnej nazwie (imieniu nazwisku, miejscu zamieszkania – w przypadku gdy administratorem jest osoba fizyczna),

- celu i zakresie zbierania danych, a w szczególności o tym komu zostały one przekazane,

- źródle danych,

- prawie dostępu do treści swoich danych oraz ich poprawiania,

- uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 (prawo do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania danych osobowych ze względu na szczególną sytuację - pkt 7 oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych - pkt 8.

Cel istnienia obowiązku informacyjnego wydaje się oczywisty. Chodzi o zagwarantowanie wszystkim osobom dostępu do wiedzy na temat tego, kto, kiedy i w jakich okolicznościach, a także celach operuje ich danymi osobowymi. Bez prawa do informacji fikcyjne pozostawałoby uprawnienie do żądania zaprzestania przetwarzania danych lub wniesienia sprzeciwu wobec ich przetwarzania.

Osoba, która - administrując zbiorem danych - nie dopełnia obowiązku informacyjnego, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku (art. 54 ustawy o ochronie danych osobowych).