Zgodnie z przepisami o ochronie danych osobowych każdy zbiór danych, zawierający dane identyfikujące osobę powinien zostać zarejestrowany w GIODO.

Aby być w zgodzie z przepisami, wybierając partnera hostignowego należy zapytać czy przy podpisaniu umowy hostingowej będzie można jednocześnie podpisać umowę o przetwarzaniu danych.
Taka umowa jest niezbędna w każdej sytuacji, w której zleceniobiorca będzie w jakikolwiek sposób przetwarzał dane osobowe i najlepiej pod pojęciem przetwarzania rozumieć wszystkie operacje na danych.
Nawet jeśli usługodawca hostingowy nie będzie przetwarzał danych w sposób oczywisty, to wystarczy że stworzy kopię zapasową bazy danych a taka czynność jest już traktowana jako przetwarzanie.  Zatem aby być bezpiecznym pod kątem prawnym, zawsze należy (o ile posiadamy dane osobowe) zabezpieczyć się przez kontrolą GIODO i dopełnić wszystkich formalności.

Aby usługodawca hostingowy  mógł podpisać umowę o przetwarzanie danych, będzie musiał wylegitymować się odpowiednią dokumentacją opisującą metody ochrony danych, ale również niezbędnymi w tym zakresie środkami technicznymi ( zabezpieczone centra danych, ochrona systemów, środki prewencyjne, systemy nadzoru, etc). Będzie musiał również prowadzić ewidencję osób posiadających dostęp do baz.

Na szczególną uwagę zasługuje tutaj Polityka Bezpieczeństwa, oraz Instrukcja Zarządzania Systemem Informatycznym. To są dwa absolutnie podstawowe dokumenty i przed podpisaniem umowy hostingowej powinniśmy poprosić o wgląd do nich. Informacje w nich zawarte wyjaśnią nam w jaki sposób dane osobowe będą chronione. Można również poprosić o Ewidencję Budynków i opis środków technicznych służących zabezpieczeniom danych.

Ostatnia  kwestia, to czy dane, które zamierzamy powierzyć usługodawcy hostingowemu to rzeczywiście dane osobowe. W tym przypadku zalecamy po prostu zerknąć w dane które posiadamy i ocenić czy pozwalają one na jednoznaczną identyfikację osoby.  Okazuje się że nawet email w postaci : jan.kowalski@domena może być już traktowany jako dana osobowa. Ile bowiem może istnieć kont o dokładnie takim samym adresie, gdzie przed @ mamy jeszcze podane imię i nazwisko ?

Tak więc, hostując nawet najmniejszy formularz zbierający tylko adresy email, zbieramy już dane osobowe.