Do końca grudnia 2014 r. spółki, które gromadzą np. imiona, nazwiska i adresy e-mailowe klientów, powinny mieć wyznaczonego administratora bezpieczeństwa informacji (ABI). Od 1 stycznia miały mieć wybór, czy chcą powołać ABI czy nie. Prawo takie miała im dać znowelizowana ustawa o ochronie danych osobowych.
Szkopuł w tym, że przez przepisy przejściowe firmy, które zatrudniały ABI przed 1 stycznia, mają obowiązek robić to dalej nawet przez sześć miesięcy, ale już na nowych zasadach. Te, które go powołają, nie muszą rejestrować wszystkich zbiorów danych u generalnego inspektora ochrony danych osobowych, ale muszą zapewnić ABI środki finansowe oraz niezależność w wykonywaniu przez niego zadań. Jednak co mają dokładnie zrobić, nie wiadomo, bo wciąż brakuje rozporządzeń wykonawczych.