ใช้และเปิดเผยข้อมูลส่วนบุคคลเพียงแค่สำหรับวัตถุประสงค์หลักที่มันถูกเก็บรวบรวม หรือเหตุผลที่เกี่ยวข้องที่บุคคลคาดหวังอย่างสมเหตุสมผล สามารถใช้สำหรับวัตถุประสงค์รองเฉพาะเจาะจงบางอย่างโดยไม่ต้องขอความยินยอมได้
หลักการนี้วางขีดจำกัดการใช้ข้อมูลส่วนบุคคลสำหรับเหตุผลรอง อย่างง่าย การใช้สำหรับวัตถุประสงค์รองที่ไม่เกี่ยวข้อง หรือที่บุคคลไม่สามารถคาดหวังได้ ควรเกิดขึ้นเฉพาะกับความยินยอมของบุคคล หรือหากผลประโยชน์สาธารณะที่แข็งแกร่งต้องการ หลักการนี้รวมถึงสิ่งต่อไปนี้:
- หน่วยงานไม่ควรใช้หรือเปิดเผยข้อมูลส่วนบุคคลเกี่ยวกับบุคคลสำหรับเหตุผล (เหตุผลรอง) นอกเหนือจากวัตถุประสงค์หลักสำหรับการเก็บรวบรวม เว้นแต่จะมีหนึ่งหรือมากกว่าของการใช้ต่อไปนี้:
- (a) หากข้อมูลเป็นข้อมูลละเอียดอ่อน - เหตุผลรองเกี่ยวข้องโดยตรงกับเหตุผลหลัก และบุคคลจะคาดหวังอย่างสมเหตุสมผลว่าองค์กรจะใช้หรือเปิดเผยข้อมูลสำหรับวัตถุประสงค์รอง
- (b) หากข้อมูลไม่ใช่ข้อมูลละเอียดอ่อน เหตุผลรองเกี่ยวข้องกับเหตุผลหลัก และบุคคลจะคาดหวังอย่างสมเหตุสมผลว่าองค์กรจะใช้หรือเปิดเผยข้อมูลสำหรับเหตุผลรอง
- (c) บุคคลยินยอมให้ใช้หรือเปิดเผยข้อมูล
- (d) หน่วยงานเชื่ออย่างสมเหตุสมผลว่าการใช้หรือเปิดเผยเป็นสิ่งจำเป็นเพื่อลดหรือป้องกันภัยคุกคามร้ายแรงและเร่งด่วนต่อชีวิต สุขภาพหรือความปลอดภัยของบุคคลหรืออีกบุคคลหนึ่ง หรือภัยคุกคามร้ายแรงต่อสาธารณสุขหรือความปลอดภัยสาธารณะ
- (e) หน่วยงานมีเหตุผลที่จะสงสัยว่ากิจกรรมผิดกฎหมายได้เกิดขึ้น กำลังเกิดขึ้น หรืออาจเกิดขึ้น และใช้หรือเปิดเผยข้อมูลเป็นส่วนจำเป็นของการสืบสวนของมัน หรือในการบันทึกปัญหาของมันให้บุคคลที่เกี่ยวข้องหรือหน่วยงานที่เกี่ยวข้อง
- (f) การใช้หรือเปิดเผยเป็นสิ่งที่กำหนดหรือได้รับอนุญาตโดยกฎหมาย
- (g) หน่วยงานเชื่ออย่างสมเหตุสมผลว่าการใช้หรือเปิดเผยเป็นสิ่งจำเป็นอย่างสมเหตุสมผลสำหรับหนึ่งหรือมากกว่าของต่อไปนี้ โดยหรือแทนหน่วยงานบังคับใช้กฎหมาย:
- การป้องกัน การตรวจจับ การสืบสวน การดำเนินคดี หรือการลงโทษความผิดหรือการละเมิดกฎหมายที่กำหนด
- การบังคับใช้กฎหมายที่เกี่ยวข้องกับการยึดทรัพย์ผลประโยชน์จากอาชญากรรม
- การปกป้องรายได้สาธารณะ
- การป้องกัน การตรวจจับ การสืบสวน หรือการแก้ไขการประพฤติที่ไม่เหมาะสมอย่างร้ายแรง หรือการประพฤติที่กำหนด
- การเตรียมหรือดำเนินการต่อหน้าศาลหรือคณะกรรมการ หรือการบังคับใช้คำสั่งของศาลหรือคณะกรรมการ
- หน่วยงานยังต้องรับผิดชอบตามข้อกำหนดของ IPP 9 หากโอนข้อมูลส่วนบุคคลไปยังบุคคลนอกเขต
- หากหน่วยงานใช้หรือเปิดเผยข้อมูลส่วนบุคคลให้หน่วยงานบังคับใช้กฎหมาย หน่วยงานควรทำบันทึกเอกสารเกี่ยวกับการใช้หรือการเปิดเผย
