W dniu 1 stycznia 2015 r. weszły w życie zmiany przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych dotyczące m.in. funkcjonowania administratora bezpieczeństwa informacji (zwanego dalej ABI). Zgodnie z art. 36a ust. 1 u.o.d.o. powołanie ABI jest uprawnieniem, a nie obowiązkiem administratora danych. W przypadku niepowołania ABI, jego zadania wykonuje sam administrator danych, czyli w praktyce wszystkie obowiązki Administratora Danych Osobowych pozostają u właściciela firmy/Prezesa Zarządu.