Obowiązek informacyjny jest dokładnie sprecyzowany w ustawie o ochronie danych osobowych (DzU z 2014 r., poz. 1182). Jego istota sprowadza się do tego, aby każda osoba, której dane osobowe są przetwarzane, miała pewność, w czyich rękach się one znajdują i do jakich celów są wykorzystywane. Warunek ten jest zwykle automatycznie spełniony, jeżeli dane te są bezpośrednio przekazywane przez zainteresowaną osobę firmie (administratorowi), która bezpośrednio się z nią kontaktuje. Jednak sprawa się komplikuje, jeżeli ten pierwotny administrator przekazuje te dane zupełnie innemu podmiotowi. W takim przypadku pojawia się bowiem podmiot, o istnieniu którego zainteresowany w ogóle nie wiedział. Zgodnie z przepisami taki nowy administrator musi się ujawnić. W myśl bowiem art. 25 ust. 1 przywołanej ustawy w wypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:

W tym ostatnim przypadku chodzi o prawo do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania danych osobowych ze względu na szczególną sytuację (pkt 7) oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych (pkt 8). Spełnienie obowiązku informacyjnego wiąże się zatem z przekazaniem ważnych informacji wpływających na uprawnienia osoby, której te dane dotyczą. Bez istnienia takiego obowiązku zainteresowane osoby w ogóle nie miałyby świadomości, kto i w jakim celu gromadzi o nich informacje. W szczególności nie znałyby ani nazwy, ani adresu nowego administratora danych. A tym samym nie mogłyby skorzystać z uprawnień przyznanych im przepisami.

Warto także zaznaczyć, że administrator, który pozyskał dane od innego podmiotu, a nie bezpośrednio od osoby zainteresowanej, i nie dopełnił obowiązku informacyjnego, naraża się na odpowiedzialność karną. Zgodnie bowiem z art. 54 osoba, która administrując zbiorem danych, nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub nie przekazuje tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

Obowiązek informacyjny tworzy pewną zasadę. Jednak istnieją od niej wyjątki, na które wskazuje przywołany już wcześniej art. 25. I tak, obowiązek ten nie powstaje, gdy: