حدد قانون حماية البيانات الشخصية، عقوبة أي حائز أو متحكم أو معالج، عالج أو أفشي أو خزن أو نقل أو حفظ بيانات شخصية حساسة بدون موافقة الشخص المعني بالبيانات.
وتنص المادة (41)، على أن يعاقب بالحبس مدة لا تقل عن ثلاثة شهور وبغرامة لا تقل عن خمسمائة ألف جنيه ولا تجاوز خمسة ملايين جنيه، أو بإحدى هاتين العقوبتين، كل حائز أو متحكم أو معالج جمع أو أتاح أو تداول أو عالج أو أفشي أو خزن أو نقل أو حفظ بيانات شخصية حساسة بدون موافقة الشخص المعني بالبيانات أو في غير الأحوال المصرح بها قانونًا .
ووفقا للمادة (2)، تنص على أنه لا يجوز جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو إفشائها بأى وسيلة من الوسائل إلا بموافقة صريحة من الشخص المعنى بالبيانات، أو فى الأحوال المصرح بها قانونا.
ويكون للشخص المعنى بالبيانات الحقوق الآتية: (العلم بالبيانات الشخصية الخاصة به الموجودة لدى أى حائز أو متحكم أو معالج والاطلاع عليها والوصول إليها أو الحصول عليها، العدول عن الموافقة المسبقة على الاحتفاظ ببياناته الشخصية أو معالجتها، التصحيح أو التعديل أو المحو أو الإضافة أو التحديث للبيانات الشخصية، تخصيص المعالجة فى نطاق محدد، العلم والمعرفة بأى خرق أو انتهاك لبياناته الشخصية، الاعتراض على معالجة البيانات الشخصية أو نتائجها متى تعارضت مع الحقوق والحريات الأساسية للشخص المعنى بالبيانات).