حدد قانون حماية البيانات الشخصية ولائحته التنفيذية ضوابط واضحة لاستخدام البيانات الشخصية، بعد جمعها لغرض محدد ثم استعمالها في غرض آخر غير الذي جُمعت من أجله.
ونصت المادة 3 من قانون حماية البيانات الشخصية على أن تُجمع البيانات الشخصية لأغراض مشروعة ومحددة ومعلنة للشخص المعني، وأن تتم معالجتها بطريقة مشروعة وملائمة للأغراض التي جُمعت من أجلها.
كما ألزمت المادة 5 من القانون معالج البيانات بعدم تجاوز الغرض المحدد للمعالجة، وحظرت إجراء معالجة تتعارض مع الغرض المحدد من جانب المتحكم أو نشاطه، إلا إذا كان ذلك بغرض إحصائي أو تعليمي، بشرط ألا يهدف للربح وألا يمس بحرمة الحياة الخاصة.
ومن جانبها، حددت المادة 2 من اللائحة التنفيذية للقانون، الصادرة بقرار وزير الاتصالات وتكنولوجيا المعلومات، ضوابط استخدام البيانات عند تقديم الشخص بياناته لتلقي خدمة أو إجراء معاملة، ونصت على عدم استخدام هذه البيانات لأغراض أخرى إلا بموافقة مسبقة منه.
وأوجبت اللائحة على المتحكم، ضمن الضوابط والمعايير القياسية، عدم مخالفة الغرض المرخص أو المصرح به لاستخدام البيانات الشخصية التي يجمعها أو يعالجها، والمحافظة عليها، وعدم الإفصاح عنها أو تداولها.
وفي حال اكتشف الشخص استخدام بياناته في غرض غير الذي جُمعت من أجله، فعليه أولًا التحقق من الغرض الذي وافق على جمع بياناته ومعالجتها من أجله، ومراجعة الموافقة أو الشروط التي قدمت له عند الحصول على الخدمة.
وإذا ثبت استخدام البيانات في غرض آخر دون موافقته أو دون وجود سند قانوني، يمكنه التقدم بشكوى إلى الجهة المختصة بحماية البيانات الشخصية، مع تقديم ما يثبت واقعة استخدام بياناته والغرض الذي جُمعت من أجله.