Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem (art. 36 ust. 1 ustawy).

Jeżeli administrator danych nie wykonuje tych czynności sam, zobowiązany jest wyznaczyć administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa wyżej (art. 36 ust. 3 ustawy).