واشترط القانون فى مادته الثالثة، لجمع ومعالجة البيانات الشخصية والاحتفاظ بها عدد من الشروط، ومنها أن تجمع لأغراض مشروعه ومحددة ومعلنه للشخص المعنى، أن تكون صحيحة وسليمة ومؤمنة، أن تعالج بطريقة مشروعة وملائمة للأغراض التى تم تجميعها من أجلها، ألا يتم الاحتفاظ بها لمدة أطول من المدة اللازمة للوفاء بالغرض المحدد لها.

ونص القانون على غرامة لا تقل عن 200 ألف جنيه ولا تجاوز مليونى جنية كل من جمع بيانات شخصية دون توفر الشروط المنصوص عليها بالمادة (3).

ويضمن قانون حماية البيانات الشخصية، بمثابة انطلاقة تشريعية نحو تأمين البيانات الشخصية للمواطنين، لاسيما مع خلو التشريعات القائمة من إطار قانونى ينظم حماية البيانات الشخصية المعالجة إلكترونياً أثناء جمعها أو تخزينها أو معالجتها.

ويضمن القانون، مستوى مناسب من الحماية القانونية والتقنية للبيانات الشخصية المعالجة إلكترونيًا، وتقنين وتنظيم أنشطة استخدام البيانات الشخصية فى عمليات الإعلان والتسويق على الإنترنت وفى البيئة الرقمية بشكل عام، ويضع إطار إجرائى لتنظيم عمليات نقل البيانات عبر الحدود، وضمان حماية بيانات المواطنين وعدم نقلها أو مشاركتها مع دول لا تتمتع فيها البيانات بالحماية.