控制者应遵守下列义务： 1. 采取适当的技术和组织措施，落实保护和保障个人数据安全所必需的标准，以维护其保密性和隐私，并防止泄露、毁损、篡改或干扰；采取措施时应考虑处理的性质、范围和目的，以及对数据主体个人数据保密性和隐私可能产生的风险； 2. 在确定处理方式及实际处理过程中，采取适当措施以遵守本法令，包括第5条规定的要求；该等措施包括假名化机制； 3. 就默认设置采取适当技术和组织措施，确保个人数据处理限于预定目的；该义务适用于所收集个人数据的数量和类型、处理方式、保存期限及数据可访问性； 4. 建立个人数据专门记录，载明控制者和数据保护官的资料、个人数据类别、获授权访问者、处理期限、限制和范围、删除、修改或处理机制、处理目的、跨境传输与处理信息，以及与信息安全和处理有关的技术和组织措施；控制者应在数据局要求时提交该记录； 5. 仅委任能够充分保证实施技术和组织措施的处理者，以确保处理符合本法令、其实施条例及执行决定规定的要求、规则和条件； 6. 根据有管辖权司法机关的决定，向数据局提供其为行使本法令及其实施条例规定权限而要求的任何信息； 7. 履行本法令实施条例规定的其他义务。
解释和适用时须核对官方文本及现行版本。