Sulla Gazzetta Ufficiale n. 142 del 21 giugno 2007 è stata pubblicata la "Guida pratica e misure di semplificazione per le piccole e medie imprese", un provvedimento del Garante per la protezione dei dati personali.

1. I soggetti che effettuano il trattamento.
Tutti si soggetti che svolgono attività di impresa, nei fatti, trattano dati personali, in quanto trattano dati relativi ai fornitori, clienti e dipendenti. Appare evidente che i dati raccolti devono essere pertinenti e non eccedenti allo scopo legittimo per cui sono raccolti, e devono essere esatti ed aggiornati.
Il titolare del trattamento è persona fisica (piccolo imprenditore individuale) o giuridica (società), e può delegare con documento scritto ad altri la responsabilità del trattamento dei dati, definendo con chiarezza quali siano i limiti delle sue attività di trattamento. A loro volta possono essere incaricate altre persone per il trattamento vero e proprio sempre con incarico scritto e definito.

2. La notificazione del trattamento
Non tutte le attività di raccolta dati deve necessariamente essere notificata al Garante. Infatti le attività di ordinario trattamento dei dati svolti nel normale svolgimento dell'attività di una piccola impresa, se questa non ha banche dati gestiti con strumenti elettronici e non inerenti ai dati sensibili.
Nel caso una impresa tratti questioni inerenti i dati sensibili deve notificare al Garante tramite il sito web dell'autorità.

3. L'informativa
E' sempre necessario informare delle operazioni di trattamento dei dati personali tutti i soggetti interessati, qual ora questi non riguardino dati sensibili dell'interessato.
L'informativa deve essere data in modo chiaro e sintetico e deve contenere:

• finalità e modalità del trattamento;

• natura obbligatoria o facoltativa del conferimento dei dati e conseguenze di un eventuale rifiuto di rispondere;

• soggetti o categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venire a conoscenza;

• diritti riconosciuti all'interessato dall'articolo 7 del Codice;

• estremi identificativi del titolare e, se designato, del responsabile del trattamento.

L'informativa data una volta non deve essere ripetuta, se non una volta ogni tanto, specie all'inizio di ogni esercizio, e comunque è sufficiente usare uno spazio nell'ordinario materiale cartaceo o della corrispondenza. 

4. Il consenso dell'interessato
E' necessario raccogliere il consenso dell'interessato al trattamento dei dati, ma spesso nei casi di normale svolgimento dell'attività ordinaria di una piccola impresa il consenso dell'interessato non è necessario, ovvero quando i dati non sono “sensibili”
Ad esempio i dati trattati nell'ambito dell'esecuzione di un contratto o in fase precontrattuale, per dare corso ad obblighi legali, o in relazione ai dati raccolti da registri ed elenchi pubblici e quando i dati sono relativi allo svolgimento di attività economiche da parte dell'interessato.
Nei casi in cui si trattano i dati “sensibili” deve essere rilasciato il consenso e l'autorizzazione del Garante. 

5. La sicurezza dei dati
E' obbligo generale di attuare ed adottare idonee misure di sicurezza dei dati trattati, e queste devono essere attuate da tutti i tipi di impresa.
Il DPS deve essere redatto quando si trattano dati sensibili e deve essere aggiornato entro il 31 marzo di ogni anno, non deve essere comunicato al Garante, ma semplicemente conservato dal titolare dei trattamenti. 

6. Il trasferimento di dati personali in Paesi terzi
Può essere necessario per l'impresa dover trasferire dati all'estero, ovvero fuori dall'UE, e questo deve avvenire secondo delle precise regole così come sono previste dal Codice.
Nell'ambito dell'UE le normative sono praticamente unificate.
Ovviamente il trasferimento in paesi terzi è sempre consentito, per l'impresa è importante tener conto delle seguenti ipotesi:

• l'interessato ha manifestato il proprio consenso espresso in forma scritta;

• il trasferimento è necessario per eseguire obblighi derivanti da un contratto;

• il trasferimento è necessario per la salvaguardia di un interesse pubblico rilevante individuato con legge o con regolamento;

• è necessario ai fini dello svolgimento delle investigazioni difensive o comunque per far valere o difendere un diritto in sede giudiziaria;

• il trattamento riguarda dati riguardanti persone giuridiche, enti o associazioni.

  7. I doveri del titolare del trattamento nel caso di esercizio dei diritti degli interessati
Se l'interessato esercita il proprio diritto di accesso ai dati che lo riguardano o uno dei diritti che gli sono riconosciuti, il titolare deve fornire riscontro entro 15 giorni