1. ขอบเขตการบังคับใช้   บังคับใช้แก่การเก็บรวบรวม การใช้ หรือการเปิดเผยข้อมูล ที่เกิดขึ้นในราชอาณาจักร ครอบคลุมถึงกรณีผู้ควบคุมและผู้ประมวลผลอยู่นอกอาณาจักร หากมีกิจกรรมดังนี้เสนอขายสินค้าหรือบริการแก่เจ้าของข้อมูลส่วนซึ่งอยู่ประเทศไม่ว่าจะมีการชำระเงินหรือไม่การเฝ้าติดตามพฤติกรรมของเจ้าของข้อมูลที่เกิดขึ้นภายในประเทศ

2. ระยะเวลาบังคับใช้   พ้น 1 ปี นับแต่วันประกาศในราชกิจจาฯ ( ยกเว้นหมวดคณะกรรมการ และ สนักงานมีผลทันที )

3. คำนิยาม

“ข้อมูลส่วนบุคคล” (Personal Data)   ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้ไม่สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมข้อมูลผู้ถึงแก่กรรม

“ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller)   นั้นหมายถึง บุคคลหรือนิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวมหรือ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” (Data Processor)   นั้นหมายถึง บุคคลหรือนิติบุคคลที่ดำเนินการเกี่ยวกับการรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ตามคำสั่งหรือใน         นามของ ผู้ควบคุมข้อมูลส่วนบุคคล หรือ (Data Controller) นั้นเอง

4. ความยินยอม    ต้องขอความยินยอม โดยต้องมีความชัดเจน ไม่เป็นการหลอกลวงหรือทำให้เจ้าของข้อมูลเข้าใจผิด การขอความยินยอม ต้องทำเป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์เว้นแต่โดยสภาพไม่อาจขอความยินยอม การขอความยินยอม เจ้าของข้อมูลถอนความยินยอม เมื่อใดก็ได้ ( เว้นแต่มีข้อจำกัด ตามที่กฎหมายกำหนด )

5. การเก็บข้อมูล ม.22-23    ให้เก็บได้เท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมายของผู้ควบคุมข้อมูล

6. บทเฉพาะกาล    ให้ข้อมูลเดิมที่เก็บอยู่ก่อนวันที่กฎหมายประกาศบังคับ ยังใช้หรือเปิดเผยได้ตามวัตถุประสงค์เดิมที่ได้แจ้งไว้ต่อเจ้าของข้อมูลและต้องกำหนดวิธีการยกเลิกความยินยอมให้สามารถแจ้งยกเลิกความยินยอมได้โดยง่าย

7. แจ้งให้ทราบ    ต้องแจ้งให้เจ้าของข้อมูลทราบถึงวัตถุประสงค์ของการรวบรวม ใช้ และการเปิดเผยข้อมูลส่วนบุคคล