نص قانون حماية البيانات الشخصية على أنه لا يجوز جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو إفشائها بأي وسيلة من الوسائل إلا بموافقة صريحة من الشخص المعني بالبيانات، أو في الأحوال المصـرح بها قانونًا.
وعرف القانون تلك البيانات بأنها أية بيانات متعلقـة بشخــص طبيعي محــدد ، أو يمكـن تحـديده بشكل مباشر أو غير مباشر عن طريق الربط بين هذه البيانات وأي بيانات أخري كالاسم ، أو الصوت ، أو الصورة ، أو رقم تعريفي ، أو محدد للهوية عبر الإنترنت ، أو أي بيانات تحدد الهوية النفسية ، أو الصحية ، أو الاقتصادية ، أو الثقافية ، أو الاجتماعية.
وتضمن القانون حزمة من الشروط التي تكون فيها المعالجة الإلكترونية ضرورية، وفيما يلى نستعرضها.
تعد المعالجة الإلكترونية مشروعة وقانونية في حال توفر أي من الحالات الآتية :
موافقة الشخص المعني بالبيانات علي إجراء المعالجة من أجل تحقيق غرض محدد أو أكثر .
أن تكون المعالجة لازمة وضرورية تنفيذًا لالـتزام تعاقدي أو تصرف قــانوني أو لإبـرام عقد لصالح الشخص المعني بالبيانات ، أو لمباشرة أي من إجراءات المطالبة بالحقوق القانونية له أو الدفاع عنها .
تنفيذ التزام ينظمه القانون أو أمر من جهات التحقيق المختصة أو بناءً علي حكم قضائي .
تمكين المتحكم من القيام بالتزاماته أو أي ذي صفة من ممارسة حقوقه المشروعة ، ما لم يتعارض ذلك مع الحقوق والحريات الأساسية للشخص المعني بالبيانات .