处理者应遵守下列义务： 1. 按照控制者的指示以及双方订立的合同和协议进行处理；该等文件尤其应明确处理的范围、事项、目的、性质、个人数据类型及数据主体类别； 2. 在设计阶段采取适当的技术和组织程序及措施保护个人数据，无论是在确定处理方式还是在实际处理期间，并应考虑措施实施成本以及处理的性质、范围和目的； 3. 依照指定目的和期限进行处理；超过指定期限时，应通知控制者，由其批准延长期限或作出适当指示； 4. 处理期限届满后删除数据，或将数据交还控制者； 5. 除法律允许的情形外，不得实施任何导致个人数据或处理结果披露的行为； 6. 保护并保障数据处理、所使用电子介质和设备及其中个人数据的安全； 7. 建立代表控制者处理之个人数据的专门记录，载明控制者、处理者和数据保护官的资料、个人数据类别、获授权访问者、处理期限、限制和范围、删除、修改或处理机制、处理目的、跨境传输和处理信息，以及信息安全和处理相关技术与组织措施；并在数据局要求时提交该记录； 8. 控制者或数据局要求时，提供证明其遵守本法令的一切必要资料； 9. 按照本法令、其实施条例规定或数据局指示的规则、条件和要求进行处理； 10. 两个以上处理者参与处理时，应订立书面合同或协议，明确其各自义务、责任和角色；否则，各处理者就本法令及其实施条例规定的义务和责任承担连带责任； 11. 遵守本法令实施条例规定的相关程序、要求、条件及技术标准。
解释和适用时须核对官方文本及现行版本。