وفقاً للمادة (41) من قانون حماية البيانات الشخصية، يُعاقب بالحبس لمدة لا تقل عن ثلاثة أشهر وبغرامة لا تقل عن خمسمائة ألف جنيه ولا تتجاوز خمسة ملايين جنيه، أو بإحدى هاتين العقوبتين، كل من يحوز أو يتحكم أو يعالج بيانات شخصية حساسة، سواء بجمعها أو إتاحتها أو تداولها أو معالجتها أو الإفصاح عنها أو تخزينها أو نقلها أو حفظها، دون موافقة صاحب البيانات أو في غير الأحوال المصرح بها قانوناً.
وتنص المادة (2) من القانون على أنه لا يجوز جمع البيانات الشخصية أو معالجتها أو الإفصاح عنها أو إفشائها بأي وسيلة إلا بعد الحصول على موافقة صريحة من الشخص المعني بالبيانات، أو في الحالات التي يصرح بها القانون.
ويكفل القانون للشخص المعني بالبيانات مجموعة من الحقوق، منها: العلم ببياناته الشخصية الموجودة لدى أي حائز أو متحكم أو معالج، والاطلاع عليها والوصول إليها أو الحصول عليها، والعدول عن الموافقة المسبقة على الاحتفاظ ببياناته أو معالجتها، وتصحيحها أو تعديلها أو محوها أو الإضافة إليها أو تحديثها، وتخصيص المعالجة في نطاق محدد، والعلم بأي خرق أو انتهاك لبياناته الشخصية، والاعتراض على معالجة بياناته أو نتائجها إذا تعارضت مع حقوقه وحرياته الأساسية.
