Zgodnie z treścią art. 1 w/w aktu prawnego, każdy ma prawo do ochrony dotyczących go danych osobowych. Przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Pamiętajmy jednak, że informacje stanowiące dane osobowe korzystają z ochrony wyłącznie, jeżeli tylko mogą znaleźć się w zbiorze danych osobowych, bez względu na to, czy się w nim ostatecznie znalazły – ustawa w odniesieniu do różnych etapów i rodzajów przetwarzania danych, określa jeszcze dodatkowe uprawnienia osób, których dane te dotyczą. Rzecz bowiem w tym, że każdy ma prawo do ochrony dotyczących go danych osobowych, a nie jedynie ten, czyje dane znalazły się już w zbiorze.
W rozumieniu ustawy za dane osobowe uważa się natomiast wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Zgodnie z wyrokiem NSA w Warszawie z dnia 24 lutego 2011 r. (sygn. akt I OSK 653/10), za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Do informacji takich z pewnością należy także informacja o posiadaniu konta bankowego przez zindywidualizowaną osobę. Taka informacja pozwala na identyfikację właściciela konta z uwagi na dane osobowe zawarte w umowie o otwarcie konta bankowego. Podobny charakter ma też podanie wysokości zgromadzonych wkładów, gdyż informacja taka identyfikuje cechy ekonomiczne właściciela konta.
Zasadniczo przetwarzanie danych osobowych w prawie każdym państwie świata wymaga zgody konkretnej osoby na dokonanie takiej czynności. Zgodnie z treścią art. 23 w/w aktu prawnego, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy:
- osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,
- jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,
- jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,
- jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,
- jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Zgoda na przetwarzanie danych może obejmować także przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania. Wyjątkowo jeżeli przetwarzanie danych jest niezbędne dla ochrony żywotnych interesów osoby, której dane dotyczą, a uzyskanie jej zgody na przetwarzanie jest niemożliwe, można przetwarzać dane bez zgody tej osoby, do czasu, gdy uzyskanie zgody będzie możliwe.
Ustawa o ochronie danych osobowych w rozdziale 8 zawiera szereg regulacji odnoszących się do sytuacji naruszenia przepisów ustawy – m.in. do bezprawnego gromadzenia i przetwarzania danych osobowych. Jednym z ważniejszych przepisów w tej materii jest art. 49. Każdy kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Jeżeli powyższy czyn dotyczy danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3. Zdaniem J. Barta „Warunkiem koniecznym odpowiedzialności z art. 49 jest działanie na zbiorze danych osobowych. Oznacza to konieczność uprzedniego istnienia takiego zbioru lub co najmniej jego powstawanie równoległe z gromadzeniem danych. Samo zbieranie czy innego rodzaju posługiwanie się cudzymi danymi osobowymi jako takie nie jest dla wystarczające do spełnienia hipotezy z art. 49 ust. 1”.
