Kelima, melindungi keamanan data pribadi dari pengaksesan yang tidak sah, pengungkapan tidak sah, pengubahan tidak sah, penyalahgunaan, perusakan, dan/atau penghilangan data pribadi. Keenam, pemrosesan data pribadi dilakukan dengan memberitahukan tujuan dan aktivitas pemrosesan, serta kegagalan pelindungan data pribadi.
Ketujuh, data pribadi dimusnahkan dan/atau dihapus setelah masa retensi berakhir atau berdasarkan permintaan subjek data pribadi, kecuali ditentukan lain oleh peraturan perundang-undangan. Kedelapan, pemrosesan data pribadi dilakukan secara bertanggungjawab dan dapat dibuktikan secara jelas.
Subjek data pribadi yakni orang perseorangan yang mempunyai hak seperti meminta informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan data pribadi serta akuntabilitas pihak yang meminta data pribadi. Mengakhiri pemrosesan, menghapus, memusnahkan data pribadi miliknya, menarik kembali persetujuan pemrosesan dan lainnya.
Pengendali data pribadi punya kewajiban yang bersumber pada hak seperti menyampaikan informasi, mengakhiri pemrosesan, menghapus, dan memusnahkan. Ada juga kewajiban sebagai wujud kepatuhan (compliance). Seperti bukti persetujuan, pemrosesan data sesuai tujuan, menunjuk pejabat atau petugas Data Protection Officer (DPO) dan lain sebagainya.
Pengendali data pribadi wajib menghapus data pribadi dalam hal data itu tidak diperlukan lagi untuk pencapaian tujuan pemrosesan data. Subjek data pribadi menarik kembali persetujuan pemrosesan, terdapat permintaan dari subjek data, atau data pribadi diperoleh dan/atau diproses dengan cara melawan hukum. Kewajiban pemusnahan antara lain untuk data pribadi yang habis masa retensinya dan memuat keterangan untuk dimusnahkan berdasarkan jadwal retensi arsip.
Kewajiban pengendali data pribadi untuk transfer ke luar wilayah Indonesia harus memenuhi prinsip kesetaraan atau negara penerima punya perlindungan data pribadi yang setara atau lebih tinggi. Perlindungan data pribadi yang mengikat dan mendapat persetujuan subjek data pribadi.
Alexander menjelaskan UU PDP mengatur pengecualian mengenai hak subjek data dan kewajiban pengendali data. Pengecualian dapat dilakukan antara lain untuk kepentingan pertahanan dan keamanan nasional; penegakan hukum; kepentingan umum dalam rangka penyelenggaraan negara; pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan yang dilakukan dalam rangka penyelenggaraan negara atau kepentingan statistik dan penelitian ilmiah.
