Pasal 65 ayat (1) UU PDP secara tegas menyebutkan bahwa setiap orang dilarang secara melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya dengan maksud untuk menguntungkan diri sendiri atau orang lain yang dapat mengakibatkan kerugian subjek data pribadi.
Tindakan ini diancam dengan pidana penjaa paling lama 5 tahun dan/atau pidana denda paling banyak Rp5 miliar.