Il D.Lgs. 196/2003 richiede che tutti i soggetti giuridici, siano essi pubblici o privati, redigano il Documento Programmatico per la Sicurezza (DPS), nel quale viene riportata la “privacy policy” con cui ciascuna azienda provvede alla corretta gestione della problematica.

Tale decreto prevede pesanti sanzioni amministrative (fino a 30.000 €) e anche penali (l'arresto fino a 2 anni), per le imprese che non si adeguano.

La gestione della privacy è legata in modo stretto all’adozione di misure interne ed esterne, quali, ad esempio, l’informativa sulla privacy per i soggetti di cui si raccolgono i dati, la sicurezza dei software gestionali e il codice interno sulla privacy.

Non è sufficiente far sottoscrivere ai clienti o agli utenti dei servizi offerti un generico documento dove si acconsente al trattamento dei dati, perché occorre specificare con chiarezza le finalità del trattamento stesso e i soggetti a cui si trasmettono eventualmente i dati, qualunque siano le finalità operative.