Nie ulega wątpliwości, że administrator danych musi posiadać informacje o celu, który chce zrealizować potencjalny odbiorca danych. Zakres posiadanych przez administratora informacji o powyższym celu musi pozwalać na stwierdzenie w szczególności, czy udostępnienie danych osobowych będzie zgodne z prawem (tzn. czy występuje przynajmniej jedna z przesłanek określonych w art. 23 ust. 1 ustawy o ochronie danych osobowych), oraz czy zakres żądanych danych jest adekwatny w stosunku do celu, w jakim odbiorca danych chce je wykorzystać. Jeżeli zaś podmiot żądający udostępnienia danych osobowych nie przekazał administratorowi informacji pozwalających na dokonanie takiej oceny, nieudostępnienie tych danych znajduje uzasadnienie w art. 26 ust. 1 ustawy o ochronie danych osobowych.

Spółka powinna mieć na uwadze wymagania określone przepisami ustawy o ochronie danych osobowych, w tym określoną w art. 26 ust. 1 pkt 2 ustawy zasadę celowości. Poza cel gromadzenia danych w zakresie korzystania z obrony związku zawodowego - który istnieje w określonych w przepisach Kodeksu pracy przypadkach, gdy pracodawca zamierza rozwiązać umowę o pracę z pracownikiem lub wypowiedzieć mu warunki pracy i płacy - wykracza pozyskiwanie danych osobowych wszystkich pracowników korzystających z ochrony związkowej za pomocą ich imiennego wykazu.

Wziąwszy pod uwagę, że zakres danych osobowych, jaki Spółka może pozyskiwać od osoby (abonenta), która wystąpiła z wnioskiem o przeniesienie numeru telefonu określony został przez wskazane przepisy prawa, należy uznać, że pozyskiwanie danych osobowych dotyczących imienia matki, imienia ojca, miejsca urodzenia, daty urodzenia, skutkuje przetwarzaniem danych osobowych z naruszeniem art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych.

Administrator danych obowiązany jest udzielić, w terminie 30 dni w formie zrozumiałej wnioskowanych przez osobę, której dane dotyczą, informacji. Odpowiedzi tej administrator obowiązany jest udzielić, nawet jeśli miałaby być to odpowiedź negatywna, oznaczająca, iż danych danej osoby nie przetwarza.

Bank zobowiązał wszystkich pracowników (użytkowników) do używania haseł dostępu do systemów składających się co najmniej z 8 znaków, zawierających małe i wielkie litery oraz cyfry lub znaki specjalne. W celu zwiększenia bezpieczeństwa przetwarzanych danych osobowych wskazane i celowe jest zastosowanie środków technicznych, które automatycznie wymuszają zmianę hasła co 30 dni, jak i jego złożoność.