Analizując przepisy ustawy o ochronie danych osobowych należy stwierdzić, że dotyczy ona ochrony danych osobowych, a nie danych osobowych w zbiorach. Ustawa zakłada, że każdy ma prawo do ochrony dotyczących go danych osobowych (art. 1 ust. 1), a ich przetwarzanie może mieć miejsce tylko z uwagi na wskazane w ustawie dobra i jedynie w zakresie i trybie określonym ustawą (art. 1 ust. 2). Ustawa określa zasady postępowania przy przetwarzaniu danych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. Należy przychylić się do poglądu, że nie chodzi tu o prawa osób, których dane są lub mają być elementem zbioru, ale o takie, które są lub mogą być przetwarzane w zbiorach. Zgodnie zaś z ustawą przetwarzanie danych to wszelkie operacje na tych danych — a nie na zbiorze takich danych — w tym m.in. zbieranie, utrwalanie, przechowywanie i usuwanie (art. 7 pkt 2). Tym samym dane osobowe korzystają z ochrony przewidzianej ustawą o ochronie danych osobowych już wówczas, jeżeli tylko mogą znaleźć się w zbiorze, bez względu na to, czy się w nim ostatecznie znalazły. Ustawa określa, do jakich podmiotów przetwarzających dane się odnosi (art. 3 ust. 1-3), i zastrzega, że nie stosuje się jej tylko wobec osób fizycznych przetwarzających dane osobowe w celach osobistych lub domowych (art. 3 ust. 4).