Il D. lgs 30.6.2003, n. 196 (Codice in materia di protezione dei dati personali, detto codice sulla privacy), che a far data dal 1.1.2004 ha sostituito la legge n. 675/96 e molte altre disposizioni di legge e di regolamento in materia, definisce dati personali qualsiasi informazione relativa a persona fisica, giuridica, ente o associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale.

La categoria dei dati personali è pertanto assai generica e ricomprende in essa ogni forma di informazione che sia riferibile a persone fisiche o enti.

È impossibile un'elencazione esaustiva delle informazioni che possono essere qualificate come dati personali. Si forniscono di seguito alcuni esempi dei più comuni:

• Nome, cognome, denominazione, ragione sociale
• Indirizzo di residenza, domicilio, dimora, sede
• Età
• Stato civile
• Utenze e traffico telefonico o di fax
• E-mail
• ICQ number
• Password
• PIN code
• Codici di accesso
• Numeri di identificazione
• File di LOG e Cookies (da essi infatti si possono ad esempio desumere informazioni relative alle visite fatte da un utente a specifici siti Internet)
• Informazioni sull'istruzione
• Informazioni sull'attività lavorativa
• Informazioni sulla condizione economica
• Suoni e immagini se da esse risultano informazioni su una determinata persona (tipo le riprese delle videocamere di sorveglianza)

Una ulteriore particolare tutela è riservata a quei dati personali cosiddetti sensibili di cui all'articolo 4 del D. lgv. 196/03, vale a dire dati idonei a rivelare:

• l'origine razziale ed etnica
• le convinzioni religiose, filosofiche o di altro genere
• le opinioni politiche
• l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale
• i dati personali idonei a rivelare lo stato di salute e la vita sessuale

Per essi infatti è necessario che l'autorizzazione al consenso sia data per iscritto.

Ulteriori particolari restrizioni sono poi garantite anche per i dati giudiziari.

In alcuni casi il titolare che gestisce i dati personali è tenuto a notificare al Garante il trattamento cui intende procedere (art. 37 del Codice).

Chi assume essere stato leso in ordine al trattamento dei dati personali può proporre reclamo, segnalazione o ricorso al Garante oppure adire l'Autorità Giudiziaria.

Oltre al risarcimento del danno sono previste particolari sanzioni amministrative. Per un illecito trattamento dei dati, per falsità nelle comunicazioni e omissione delle misure di sicurezza, sono previste anche sanzioni penali sino a 3 anni di reclusione e pene pecuniarie sino a 50.000 Euro.