Od 25 maja 2018 obowiązują w Polsce nowe przepisy o ochronie danych osobowych. Ustawę o ochronie danych osobowych z 1997 r. zastąpiła nowa ustawa o tej samej nazwie oraz jednolite dla całej Unii Europejskiej Rozporządzenie PE i Rady UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu danych, znane jako RODO. Ilość obowiązków każdego z podmiotów zobowiązanych do przestrzegania RODO zależy od zakresu i skali przetwarzania danych. Wśród nich znajduje się też wspólnota mieszkaniowa, która w świetle nowych przepisów stała się administratorem danych osobowych swoich członków.
Wspólnota mieszkaniowa powstaje z mocy prawa ze zdefiniowanymi dokładnie prawami i obowiązkami wobec członków wspólnoty. Podstawową regulacją dla właściciela lokalu jest ustawa o własności lokalu. Tym samym administrator danych osobowych, czyli wspólnota, nie musi zbierać od jej członków dodatkowej zgody na przetwarzanie danych osobowych. W tym wypadku przetwarzanie danych jest wymagane do realizacji zobowiązań prawnych. Wyrażenie pisemnej zgody jest tylko jedną z opcji legalizujących czynność przetwarzania danych.
Pierwszym z obowiązków wspólnoty mieszkaniowej wprowadzonych przez RODO jest obowiązek informacyjny. Wspólnota, jako administrator danych osobowych, musi poinformować pisemnie każdego z członków o zakresie ich przetwarzania. RODO określa w miarę dokładnie ten zbiór. Jest to m.in.: cel przetwarzania, zakres, podstawa prawna przetwarzania oraz prawa osób, których dane osobowe mają być przetwarzane.
Administrator danych musi jednak rozróżniać cechy danych osobowych zbieranych bezpośrednio od członków wspólnoty od tych zbieranych pośrednio, np.: od dewelopera czy zarządcy. Dla każdego ze zbiorów obowiązek informacyjny jest inny. Jeżeli dane osobowe zdobywane są bezpośrednio, obowiązek informacyjny również powinien odbyć się tym samym trybie i w tym samych czasie. W przypadku zdobywania danych pośrednio wspólnota mieszkaniowa musi realizować obowiązek informacyjny w rozsądnym terminie po pozyskaniu danych osobowych ? najpóźniej w ciągu miesiąca od dnia ich otrzymania. Może to zrobić drogą pocztową lub elektroniczną.
Wspólnota jako administrator danych jest zobowiązana do utworzenia rejestru wszystkich czynności ich przetwarzania. Do rejestru wpisuje się nazwę zbioru danych osobowych, cel przetwarzania, kategorię przetwarzanych danych, przewidywany termin ich usunięcia. Ważnym elementem rejestru jest opis technicznych oraz organizacyjnych środków przyjętych w celu zabezpieczenia poszczególnych zbiorów danych osobowych.