Zarówno administrator, jak i podmiot, któremu przetwarzanie danych osobowych powierzono, czyli zarówno wspólnota jak i zarządca, muszą zastosować wymagania odnoszące się do zabezpieczenia danych, zgodnie z normami art. 36-39 ustawy o ochronie danych osobowych i rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.
Ustawa o ochronie danych osobowych nakazuje tym podmiotom m.in.:
- zastosowanie środków organizacyjnych i technicznych zapewniających ochronę odpowiednią do zagrożeń i ryzyka,
- zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem,
- prowadzenie dokumentacji określającej sposób przetwarzania danych oraz zastosowane środki zabezpieczające,
- wydanie upoważnień do dostępu do danych osobowych,
- prowadzenie ewidencji osób upoważnionych do przetwarzania danych,
- zapewnienie kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.
Administrator danych fakultatywnie może powołać administratora bezpieczeństwa informacji (ABI). Do jego zadań należy w szczególności: sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych, a także nadzorowanie opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych oraz zastosowane środki zabezpieczające.
Uszczegółowieniem przepisów ustawy o ochronie danych osobowych odnoszących się do zabezpieczenia danych osobowych jest ww. rozporządzenie określające sposób prowadzenia i zakres dokumentacji opisującej sposób przetwarzania danych oraz środki techniczne i organizacyjne zapewniające ochronę danych. Rozporządzenie określa też podstawowe warunki techniczne i organizacyjne, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych. Należy pamiętać również, że w umowie powierzenia przetwarzania danych zawartej między wspólnotą a jej zarządcą mogą być określone wyższe rygory niż wynikające z tych przepisów i wtedy zarządca jest zobowiązany do podejmowania działań zgodne z zawartą umową.
Ustawa o ochronie danych osobowych zawiera przepisy karne. Choćby nieumyślne naruszenie obowiązku zabezpieczenia danych przed ich zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
