"Zgodnie z art. 36 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity: Dz.U. 2002 r. nr 101 poz. 926, z późn. zm.; dalej jako: ustawa), administrator danych osobowych zobowiązany jest do zapewnienia ochrony przetwarzanych danych osobowych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Jakość zapewnianej ochrony powinna być odpowiednia do zagrożeń oraz kategorii danych nią objętych. Ponadto zgodnie z art. 38 ustawy administrator danych zobowiązany jest zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. Ten ostatni wymóg, pomimo że umieszczony został w rozdziale 5 ustawy dotyczącym zabezpieczenia przetwarzanych danych, odnosi się nie tylko do kwestii bezpieczeństwa, ale również u odpowiednich funkcjonalności przyjętego systemu przetwarzania. Funkcjonalności te wynikają z kolei nie tylko z potrzeby zapewnienia bezpieczeństwa danych, ale również z konieczności zapewnienia określonych właściwości oraz warunków umożliwiających administratorowi realizację zobowiązań wobec podmiotów danych wynikających z art. 32 i 33 ustawy i § 7 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. nr 100 poz. 1024; dalej jako: rozporządzenie). Wymagane w przywołanych przepisach obowiązki sprowadzają się m.in. do zapewnienia i udostępniania u na żądanie osoby, której dane są przetwarzane u informacji o: dacie, od kiedy przetwarza się w zbiorze jej dane osobowe, oraz treści tych danych, źródle, z którego pochodzą dane jej dotyczące, chyba że administrator jest obowiązany do zachowania w tym zakresie tajemnicy państwowej, służbowej lub zawodowej, sposobie i zakresie udostępniania jej danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane, sposobie, w jaki zebrano dane." Ze wstępu