Ogólnie reguluje je ustawa o ochronie danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.). Natomiast szczegółowe warunki, w jakich przedsiębiorcom wolno przetwarzać dane osobowe, reguluje rozporządzenie ministra spraw wewnętrznych i administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (DzU z 2004 r. nr 100, poz. 1024).
Przypomnijmy, że co do zasady obowiązuje zakaz przetwarzania danych osobowych. Przepisy wyliczają bowiem dokładnie sytuacje, w których takie przetwarzanie jest dopuszczalne. Z tego można wnioskować, że w pozostałych przypadkach jest zabronione. Przykładowo, przetwarzanie jest możliwe m.in. wówczas, gdy osoba, której dane dotyczą, wyrazi na to zgodę albo jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną (art. 23 uodo). Jeśli operacje na danych dokonywane są za pomocą komputera, w grę wchodzi wiele norm określających zasady takiego postępowania.
Troska o bezpieczeństwo danych osobowych zaczyna się od przygotowania odpowiedniej dokumentacji. Każdy przedsiębiorca, który te dane przetwarza, musi opracować przynajmniej jeden dokument z tym związany. Jest nim tzw. polityka bezpieczeństwa. Mówiąc w uproszczeniu, jej celem jest opisanie warunków przetwarzania danych. Dodatkowo – tam, gdzie w grę wchodzi wykorzystanie systemów informatycznych – firma musi przygotować również instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych. Potem trzeba zadbać o realizację tego, co w dokumentach napisano. Przedsiębiorca musi na przykład tak zabezpieczyć budynki i pomieszczenia, w których przetwarza dane osobowe, by nie miały do nich dostępu osoby nieuprawnione do przetwarzania danych.
W każdej firmie, gdzie komputery służą do przetwarzania danych osobowych, powinien funkcjonować mechanizm kontroli dostępu do tych danych. Powinien przynajmniej umożliwiać odtworzenie, kto i kiedy miał z danymi kontakt. To nie wszystko. Jeśli z danymi styka się więcej niż jedna osoba, każda z nich musi mieć swój identyfikator i mechanizm uwierzytelniający (np. hasło), bez których obejrzenie danych powinno być niemożliwe. Hasło musi mieć przynajmniej sześć znaków i to do administratora danych należy troska o to, by zmieniać je przynajmniej raz na miesiąc.
Właściwie nieuniknione jest zaopatrzenie się w tzw. firewall, czyli program komputerowy, który broni nieuprawnionym użytkownikom dostępu do komputera lub sieci komputerowej. Wszystko dlatego, że rozporządzenie wymaga zabezpieczenia danych przed „działaniem oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego”. Administrator musi dbać również o wykonywanie kopii zapasowych przetwarzanych informacji.
