Occorre fare un po' di chiarezza su alcuni aspetti relativi alla nuova normativa entrata in vigore il 15 dicembre. Pur rilevando il generale impegno da parte delle imprese ad adempiere alle prescrizioni impartite con il provvedimento del 27 novembre 2008, l'Autorità per la protezione dei dati personali ritiene necessario fare delle precisazioni sull'argomento, avendo constatato che le aziende, in particolare quelle di piccole dimensioni, non riescono a procedere in maniera corretta, fuorviate da azioni promozionali portate avanti da consulenti e da informazioni non precise.
L'Autorità ribadisce quindi  i seguenti concetti:
- Le prescrizioni riguardano solo quei soggetti che, nel trattare i dati personali con strumenti informatici, devono ricorrere o abbiano fatto ricorso alla figura professionale dell'amministratore di sistema o a una figura equivalente.
- Le prescrizioni non si applicano, invece, a quei soggetti anche di natura associativa che, generalmente dotati di sistemi informatici di modesta e limitata entità e comunque non particolarmente complessi, possano fare a meno di una figura professionale specificamente dedicata alla amministrazione dei sistemi o comunque abbiano ritenuto di non farvi ricorso.

In merito agli aspetti tecnici del provvedimento (in particolare, la conservazione dei log degli accessi effettuati dagli amministratori di sistema), il Garante ricorda come l'adeguamento possa avvenire anche con soluzioni a basso costo, validamente proposte e disponibili in rete (per esempio basate su software gratuito, anche con licenze di tipo open source), che possono costituire valide alternative all'impiego di prodotti commerciali o di apparati più sofisticati.