استثنى نظام حماية البيانات الشخصية من أحكام النظام قيام الفرد بمعالجة البيانات الشخصية لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي، ما دام أنه لم ينشرها أو يفصح عنها للغير.
وقرر النظام إتلاف البيانات الشخصية فور انتهاء الغرض من جمعها. وحدد النظام عدم جواز نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارج المملكة.
وشدد النظام على أنه لا يجوز الإفصاح عن البيانات الشخصية إلا إذا وافق صاحب البيانات الشخصية على الإفصاح أو جرى جمع البيانات من مصدر متاح للعموم. ونصت المادة الـ 16 من النظام على عدم الإفصاح في حال تمثيله خطرا على الأمن أو تأثيره على علاقات المملكة مع دولة أخرى أو إساءته إلى سمعة المملكة. وأوجب النظام على الجهة التي في خارج المملكة عند معالجتها لبيانات شخصية تتعلق بالأفراد المقيمين في المملكة أن تعين ممثلاً لها في المملكة.
وعاقب النظام كل من يفصح عن بيانات حساسة أو ينشرها بالسجن مدة لا تزيد على سنتين وبغرامة لا تزيد على 3 ملايين ريال، أو بإحدى هاتين العقوبتين؛ إذا كان ذلك بقصد الإضرار بصاحب البيانات أو بقصد تحقيق منفعة شخصية. ونص النظام على معاقبة مخالفي أحكام النظام أو اللوائح بالإنذار أو بغرامة لا تزيد على 5 ملايين ريال.