Entra in vigore il 1 gennaio 2004 il  decreto legislativo n. 196 del 30 giugno 2003 , denominato “Codice in materia di protezione dei dati personali” . Il Codice, che  rappresenta il primo tentativo al mondo di comporre in maniera organica le innumerevoli disposizioni relative, anche in via indiretta, alla privacy, riunisce in unico contesto la legge 675/1996 e gli altri decreti legislativi, regolamenti e codici deontologici che si sono succeduti in questi anni, e contiene anche importanti innovazioni tenendo conto della “giurisprudenza” del Garante e della direttiva Ue 2000/58 sulla riservatezza nelle comunicazioni elettroniche.

Il Testo unico è ispirato all' introduzione di nuove garanzie per i cittadini,  alla razionalizzazione delle norme esistenti e alla semplificazione degli adempimenti e sostituirà la legge “madre” sulla protezione dei dati, la n. 675 del 1996.

Diversi principi affermati dal nuovo Codice non sono nuovi per gli operatori.

In particolare è stato confermato il principio secondo cui le "misure minime", di importanza tale da indurre il legislatore a prevedere anche una sanzione penale, sono solo una parte degli accorgimenti obbligatori in materia di sicurezza ( art. 33 del Codice ).
In materia, come già previsto dalla  legge n. 675/1996 , si distinguono due distinti obblighi :

a) l'obbligo più generale di ridurre al minimo determinati rischi.
b) nell'ambito del predetto obbligo più generale, il dovere di adottare in ogni caso le "misure minime".

Pertanto il Codice conferma l'impianto secondo il quale l'omessa adozione di alcune misure indispensabili ("minime"), le cui modalità sono specificate tassativamente nell'Allegato B) del Codice, costituisce anche reato ( art. 169 del Codice , che prevede l'arresto sino a due anni o l'ammenda da 10 mila euro a 50 mila euro, e l'eventuale "ravvedimento operoso" di chi adempie puntualmente alle prescrizioni impartite dal Garante una volta accertato il reato ed effettua un pagamento in sede amministrativa, ottenendo così l'estinzione del reato).