Zgodnie z art. 6 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Jednocześnie ust. 2 powołanego przepisu precyzuje, iż osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (art. 6 ust. 3 powołanej ustawy).

W świetle cytowanej definicji, za dane osobowe uznaje się zarówno takie informacje, które pozwalają bezpośrednio na określenie tożsamości konkretnej osoby, jak również takie, które nie pozwalają na jej natychmiastową identyfikację, są jednakże przy pewnym nakładzie kosztów, czasu lub działań wystarczające do jej ustalenia. Nie stanowią natomiast danych osobowych takie informacje, na podstawie których nie jest możliwe zidentyfikowanie osoby oraz takie, na podstawie których wprawdzie można byłoby ją zidentyfikować, lecz wiązałoby się to z nadmiernymi kosztami, czasem lub działaniami.

Adres poczty elektronicznej bez żadnych dodatkowych informacji umożliwiających ustalenie tożsamości osoby, co do zasady nie stanowi danej osobowej w rozumieniu powołanej wyżej definicji. Natomiast w wyjątkowych przypadkach, jeżeli elementy treści adresu poczty elektronicznej pozwalają bez nadmiernych kosztów, czasu lub działań na ustalenie na ich podstawie tożsamości danej osoby, można uznać go za daną osobową.

Artykuł 3

1.Ustawę stosuje się do organów państwowych oraz samorządu terytorialnego, a także do innych państwowych i komunalnych jednostek organizacyjnych oraz podmiotów niepaństwowych realizujących zadania publiczne.
2.Ustawę stosuje się również do osób fizycznych i prawnych oraz jednostek organizacyjnych nie mających osobowości prawnej, które przetwarzają dane w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych.
3.Ustawę stosuje się do podmiotów określonych w ust. 1 i 2, które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej, nie mają siedziby albo miejsca zamieszkania na terytorium Rzeczypospolitej Polskiej, a przetwarzają dane przy wykorzystaniu środków technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej.
4.Ustawy nie stosuje się do osób fizycznych, które przetwarzają dane wyłącznie w celach osobistych lub domowych.

Artykuł 24

W przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o:

1)adresie swojej siedziby i pełnej nazwie, a w przypadku, gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,
2)celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,
3)prawie wglądu do swoich danych oraz ich poprawiania,
4)dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

(10) Przepisu ust. 1 nie stosuje się, jeżeli:

1)przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania,
2)osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1.