Od 2018 roku kluczową zmianą w systemie ochrony danych osobowych jest to, że głównym aktem prawnym stało się rozporządzenie Unii Europejskiej: Rozporządzenie (UE) 2016/679 (RODO). Jako rozporządzenie UE obowiązuje ono bezpośrednio w państwach członkowskich, czyli jest stosowane w Polsce bez potrzeby "przepisywania" go do ustawy krajowej.
RODO określa m.in. podstawowe zasady przetwarzania danych, prawa osób, których dane dotyczą, oraz obowiązki administratorów i podmiotów przetwarzających. Z perspektywy pracy w ochronie osób i mienia ma to znaczenie np. przy monitoringu wizyjnym, kontroli dostępu czy obsłudze zdarzeń, gdzie przetwarzane mogą być wizerunek, identyfikatory lub dane kontaktowe.
Odpowiedź "Ustawa z 1997 r. o ochronie danych osobowych" jest nieprawidłowa, ponieważ ten akt został uchylony po wejściu w życie nowego systemu od 2018 r. Również "Kodeks cywilny" nie jest główną podstawą regulującą zasady przetwarzania danych: może chronić prywatność i dobra osobiste, ale nie stanowi centralnej regulacji proceduralnej ochrony danych osobowych. "Kodeks karny" także nie jest aktem wiodącym dla zasad przetwarzania; może przewidywać odpowiedzialność karną za określone czyny, jednak nie zastępuje kompleksowych reguł wynikających z RODO.
W praktyce egzaminacyjnej warto zapamiętać rozróżnienie: RODO = fundament i zasady ogólne, a krajowe przepisy (np. ustawa z 2018 r.) mają rolę uzupełniającą w zakresie przewidzianym przez prawo UE.
