O artigo 20 da Lei orgánica 15/1999, do 13 de decembro, de protección de datos de carácter persoal, establece que a creación, modificación ou supresión dos ficheiros das administracións públicas só poderá facerse por medio de disposición xeral publicada no Boletín Oficial del Estado ou diario oficial correspondente.

A entrada en vigor do regulamento de desenvolvemento da Lei orgánica 15/1999, do 13 de decembro, de protección de datos de carácter persoal, aprobado mediante Real decreto 1720/2007, do 21 de decembro, introduciu, a través dos artigos 53 e 54, algunhas novidades en canto á forma e ao contido da disposición e destacou a necesidade de especificar o sistema de tratamento do ficheiro, que pode ser automatizado, non automatizado ou parcialmente automatizado.