1.第1原則——收集個人資料的目的及方式

(1)除非 ——

(a)個人資料是為了直接與將會使用該資料的資料使用者的職能或活動有關的合法目的而收集； 

(b)在符合(c)段的規定下，資料的收集對該目的是必需的或直接與該目的有關的；及

(c)就該目的而言，資料屬足夠但不超乎適度，否則不得收集資料。

(2)個人資料須以 ——

(a)合法；及

(b)在有關個案的所有情況下屬公平，的方法收集。

(3)凡從或將會從某人收集個人資料，而該人是資料當事人，須採取所有切實可行的步驟，以確保 ——

(a)他在收集該資料之時或之前，以明確或暗喻方式而獲告知 ——  (由2012年第18號第2條修訂)

(i)他有責任提供該資料抑或是可自願提供該資料；及

(ii)(如他有責任提供該資料)他若不提供該資料便會承受的後果；及

(b)他 ——

(i)在該資料被收集之時或之前，獲明確告知 ——  (由2012年第18號第2條修訂)

(A)該資料將會用於甚麼目的(須一般地或具體地說明該等目的)；及

(B)該資料可能移轉予甚麼類別的人；及

(ii)在該資料首次用於它們被收集的目的之時或之前，獲明確告知 ——  (由2012年第18號第2條修訂)

(A)他要求查閱該資料及要求改正該資料的權利；

(B)處理向有關資料使用者提出的該等要求的個人的姓名(或職銜)及地址，  (由2012年第18號第40條代替)

但在以下情況屬例外︰該資料是為了在本條例第8部中指明為個人資料就其而獲豁免而不受第6保障資料原則的條文所管限的目的而收集，而遵守本款條文相當可能會損害該目的。 

(由2012年第18號第2條修訂；編輯修訂——2013年第1號編輯修訂紀錄)

2.第2原則——個人資料的準確性及保留期間

(1)須採取所有切實可行的步驟，以 ——

(a)確保在顧及有關的個人資料被使用於或會被使用於的目的(包括任何直接有關的目的)下，該個人資料是準確的；

(b)若有合理理由相信在顧及有關的個人資料被使用於或會被使用於的目的(包括任何直接有關的目的)下，該個人資料是不準確時，確保 ——  (由2012年第18號第2條修訂)

(i)除非該等理由不再適用於該資料(不論是藉着更正該資料或其他方式)及在此之前，該資料不得使用於該目的；或

(ii)該資料被刪除； 

(c)在於有關個案的整體情況下知悉以下事項屬切實可行時 ——

(i)在指定日當日或之後向第三者披露的個人資料，在顧及該資料被使用於或會被使用於的目的(包括任何直接有關的目的)下，在要項上是不準確的；及

(ii)該資料在如此披露時是不準確的，確保第三者 ——

(A)獲告知該資料是不準確的；及

(B)獲提供所需詳情，以令他能在顧及該目的下更正該資料。  (由2012年第18號第2條修訂)

(2)須採取所有切實可行的步驟，以確保個人資料的保存時間不超過將其保存以貫徹該資料被使用於或會被使用於的目的(包括任何直接有關的目的)所需的時間。  (由2012年第18號第2及40條修訂)

(3)在不局限第(2)款的原則下，如資料使用者聘用(不論是在香港或香港以外聘用)資料處理者，以代該資料使用者處理個人資料，該資料使用者須採取合約規範方法或其他方法，以防止轉移予該資料處理者的個人資料的保存時間超過處理該資料所需的時間。  (由2012年第18號第40條增補)

(4)在第(3)款中 ——

資料處理者 (data processor)指符合以下兩項說明的人 ——

(a)代另一人處理個人資料；及

(b)並不為該人本身目的而處理該資料。  (由2012年第18號第40條增補)

3.第3原則——個人資料的使用

(1)如無有關的資料當事人的訂明同意，個人資料不得用於新目的。  (由2012年第18號第40條修訂)

(2)資料當事人的有關人士可在以下條件獲符合的情況下，代該當事人給予為新目的而使用其個人資料所規定的訂明同意 ——

(a)該資料當事人 ——

(i)是未成年人；

(ii)無能力處理本身的事務；或

(iii)屬《精神健康條例》(第136章)第2條所指的精神上無行為能力；

(b)該資料當事人無能力理解該新目的，亦無能力決定是否給予該項訂明同意；及

(c)該有關人士有合理理由相信，為該新目的而使用該資料明顯是符合該資料當事人的利益。  (由2012年第18號第40條增補)

(3)即使資料使用者為新目的而使用資料當事人的個人資料一事，已得到根據第(2)款給予的訂明同意，除非該資料使用者有合理理由相信，如此使用該資料明顯是符合該當事人的利益，否則該資料使用者不得如此使用該資料。  (由2012年第18號第40條增補)

(4)在本條中 ——

新目的 (new purpose)就使用個人資料而言，指下列目的以外的任何目的 ——

(a)在收集該資料時擬將該資料用於的目的；或

(b)直接與(a)段提述的目的有關的目的。  (由2012年第18號第40條增補)

4.第4原則——個人資料的保安

(1)須採取所有切實可行的步驟，以確保由資料使用者持有的個人資料(包括採用不能切實可行地予以查閱或處理的形式的資料)受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，尤其須考慮 ——  (由2012年第18號第40條修訂)

(a)該資料的種類及如該等事情發生便能做成的損害；

(b)儲存該資料的地點；

(c)儲存該資料的設備所包含(不論是藉自動化方法或其他方法)的保安措施；

(d)為確保能查閱該資料的人的良好操守、審慎態度及辦事能力而採取的措施；及

(e)為確保在保安良好的情況下傳送該資料而採取的措施。  (由2012年第18號第2條修訂)

(2)在不局限第(1)款的原則下，如資料使用者聘用(不論是在香港或香港以外聘用)資料處理者，以代該資料使用者處理個人資料，該資料使用者須採取合約規範方法或其他方法，以防止轉移予該資料處理者作處理的個人資料未獲准許或意外地被查閱、處理、刪除、喪失或使用。  (由2012年第18號第40條增補)

(3)在第(2)款中 ——

資料處理者 (data processor)具有第2保障資料原則第(4)款給予該詞的涵義。  (由2012年第18號第40條增補)

5.第5原則——資訊須在一般情況下可提供

須採取所有切實可行的步驟，以確保任何人 ——

(a)能確定資料使用者在個人資料方面的政策及實務；

(b)能獲告知資料使用者所持有的個人資料的種類；

(c)能獲告知資料使用者持有的個人資料是為或將會為甚麼主要目的而使用的。

6.第6原則——查閱個人資料

資料當事人有權 ——

(a)確定資料使用者是否持有他屬其資料當事人的個人資料；

(b)要求 ——

(i)在合理時間內查閱；

(ii)在支付並非超乎適度的費用(如有的話)下查閱；

(iii)以合理方式查閱；及

(iv)查閱採用清楚易明的形式的，個人資料；

(c)在(b)段所提述的要求被拒絕時獲提供理由；

(d)反對(c)段所提述的拒絕；

(e)要求改正個人資料；

(f)在(e)段所提述的要求被拒絕時獲提供理由；及

(g)反對(f)段所提述的拒絕。