Damit der Persönlichkeitsschutz weiterhin gewährleistet ist, findet das Öffentlichkeitsprinzip seine Grenzen im Datenschutz (z. B. durch Anonymisierung der Dokumente). Das Gesetz regelt den Datenschutz für alle öffentlichen Organe einheitlich und auf hohem Niveau. Der Schutz der Persönlichkeitsrechte der Betroffenen wird verstärkt.

Für die Datenbearbeitung gilt daher der Grundsatz: Öffentliche Organe dürfen Personendaten nur bearbeiten, wenn 

• dafür eine Rechtsgrundlage besteht,
• dies zur Erfüllung einer rechtlichen Aufgabe notwendig ist oder
• die Einwilligung der betroffenen Person vorliegt.

Die Personendaten müssen zudem richtig und vollständig sein und sind durch angemessene organisatorische und technische Massnahmen gegen unbefugtes Bearbeiten zu schützen.

Das öffentliche Organ hat Personendaten nach Möglichkeit bei der betroffenen Person selbst zu beschaffen. Dabei muss es auf den Zweck der Datenbearbeitung, auf allfällige Empfängerinnen oder Empfänger der Personendaten sowie auf bestehende Auskunftspflichten und die Folgen ihrer Verweigerung hinweisen.

Um Transparenz für die betroffenen Personen zu schaffen, sind diese auch dann zu informieren, wenn besonders schützenswerte Personendaten nicht direkt bei ihnen, sondern auf andere Art beschafft werden. Darüber hinaus hat jede Person ein Auskunfts- und Einsichtsrecht: Sie kann von der verantwortlichen Behörde Auskunft verlangen, welche Personendaten über sie in deren Personendatensammlung bearbeitet werden, oder kann in ihre Daten Einsicht nehmen.