حدد قانون حماية البيانات الشخصية عددا من الالتزامات التي يجب على معالج البيانات الشخصية الالتزام بها لضمان إجراء عمليات المعالجة في إطار قانوني.

التزامات معالج البيانات فى القانون 

ووفق المادة ( ٥ ) مع مراعاة أحكام المـادة (١٢) من هذا القانون، يلتزم معالج البيانات الشخصية بما يأتي:

١ – إجراء المعالجة وتنفيذها طبقـًا للقواعد المنظمة لذلك بهذا القانون ولائحته التنفيذية ووفقًا للحالات المشروعة والقانونية وبناءً على التعليمات المكتوبة الواردة إليه من المركز أو المتحكم أو من أي ذي صفة بحسب الأحوال، وبصفة خاصة فيما يتعلق بنطاق عملية المعالجة وموضوعها وطبيعتها ونوع البيانات الشخصية واتفاقها وكفايتها مع الغـرض المحـدد لـه.
٢ – أن تـكــون أغراض المعــالجة وممـــارستها مشروعة، ولا تخــالف النظــام العـــام أو الآداب العـامة.
٣ – عدم تجاوز الغرض المحدد للمعالجة ومدتها، ويجب إخطار المتحكم أو الشخص المعني بالبيانات أو كل ذي صفة، بحسب الأحوال، بالمدة اللازمة للمعالجة.
٤ – محو البيانات الشخصية بانقضاء مدة المعالجة أو تسليمها للمتحكم.
٥ – القيام بعمل أو الامتناع عن عمل يكون من شـــأنه إتـاحة البيــانات الشخصية أو نتائج المعالجة إلا في الأحوال المصرح بها قانونًا.
٦ – عدم إجراء أي معــالجة للبيــانات الشخصية تتعارض مع غرض المتحكم فيهــا أو نشاطه إلا إذا كان ذلك بغرض إحصائي أو تعليمي ولا يهدف للربح ودون الإخلال بحرمة الحياة الخاصة.
٧ – حماية وتأمين عملية المعالجة والوسائط والأجهزة الإلكترونية المستخدمة في ذلك وما عليها من بيانات شخصية.
٨ – عدم إلحاق أي ضرر بالشخص المعني بالبيانات بشكل مباشر أو غير مباشر.

٩ – إعداد سجل خاص بعمليات المعــالجة لديه، على أن يتضمن فئــات المعــالجة التي يجريها نيابة عن أي متحكم وبيانات الاتصال به ومسئول حماية البيانات لديه، والمدد الزمنية للمعالجة وقيودها ونطاقها وآليات محو البيانات الشخصية لديه أو تعديلها، ووصفًا للإجراءات التقنية والتنظيمية الخاصة بأمن البيانات وعمليات المعالجة.

١٠ – توفير الإمكانيات لإثبات التزامه بتطبيق أحكام هذا القانون عند طلب المتحكم وتمكين المركز من التفتيش والرقابة للتأكد من التزامه بذلك.

١١ – الحصول على ترخيص أو تصريح من المركز للتعامل على البيانات الشخصية.

١٢ – يلتزم المعالج خارج جمهورية مصر العربية بتعيين ممثل له في جمهورية مصر العربية وذلك على النحو الذي تبينه اللائحة التنفيذية.

وفي حال وجود أكثر من معالج، يلتزم كل منهم بجميع الالتزامات المنصوص عليها في هذا القانون وذلك في حال عدم وجود عقد يحدد التزامات ومسئوليات كل منهم بوضوح.

وتحدد اللائحة التنفيذية لهذا القانون السياسات والإجراءات والضوابط والشروط والتعليمات والمعايير القياسية لتلك الالتزامات.

ضوابط جمع البيانات الشخصية 

ووفقا للمادة (٢) من القانون لا يجوز جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو إفشائها بأي وسيلة من الوسائل إلا بموافقة صريحة من الشخص المعني بالبيانات، أو في الأحوال المصـرح بهـا قـانونًا.
ويكون للشخص المعني بالبيانات الحقوق الآتية:
١ – العلم بالبيانات الشخصية الخاصة به الموجودة لدي أي حائز أو متحكم أو معالج والاطلاع عليها والوصول إليها أو الحصول عليها.

٢ – العدول عن الموافقة المسبقة على الاحتفاظ ببياناته الشخصية أو معالجتها.

٣ – التصحيح أو التعديل أو المحو أو الإضافة أو التحديث للبيانات الشخصية.

٤ – تخصيص المعالجة في نطاق محدد.

٥ – العلم والمعرفة بأي خرق أو انتهاك لبياناته الشخصية.

٦ – الاعتراض على معالجة البيانات الشخصية أو نتائجها متي تعارضت مع الحقوق والحريات الأساسية للشخص المعني بالبيانات. وباستثناء البند (٥) من الفقرة السابقة، يؤدي الشخص المعني بالبيانات مقابل تكلفة الخدمة المقدمة إليه من المتحكم أو المعالج فيما يخص ممارسته لحقوقه، ويتولى المركز إصدار قرارات تحديد هذا المقابل بما لا يجاوز عشرين ألف جنيه.