De belangrijkste regels voor het vastleggen en gebruiken van persoonsgegevens zijn vastgelegd in de Wet bescherming persoonsgegevens (Wbp). Deze wet is op 23 november 1999 unaniem door de Tweede Kamer aangenomen en op 3 juli 2000 door de Eerste Kamer aanvaard. De wet is op 1 september 2001 van kracht geworden.
De Wbp heeft betrekking op alle gebruik - 'verwerkingen' - van persoonsgegevens, van het verzamelen ervan tot en met het vernietigen van persoonsgegevens.
Het ministerie van Justitie heeft een Handleiding voor verwerkers van persoonsgegevens uitgebracht.
Melding en vrijstelling van melding
Alle verwerkingen van persoonsgegevens moeten worden gemeld bij de toezichthouder, het College bescherming persoonsgevens (CBP). Het CBP houdt een openbaar register van deze meldingen bij. Een groot aantal maatschappelijk goed bekende en geaccepteerde verwerkingen zijn echter vrijgesteld van melding. Het CBP biedt op deze website een handreiking bij het gebruik van het vrijstellingsbesluit.
Technologie
In de Wbp is een afzonderlijk artikel (artikel 13) opgenomen over de toepassing van technologie bij de bescherming van persoonsgegevens.
Toezicht op de naleving van de Wbp en handhaving van de Wbp
De Wbp regelt ook de taken en bevoegdheden van de toezichthouder op de wet, het College bescherming persoonsgegevens. Dit is als nationale toezichthouder de opvolger van de vroegere Registratiekamer. Het CBP heeft bevoegdheden om sancties op te leggen.
Functionaris voor de gegevensbescherming
Organisaties kunnen ook een eigen, interne toezichthouder aanstellen, de functionaris voor de gegevensbescherming.