1. Z uwzględnieniem przepisów dotyczących tajemnic prawnie chronionych Rzecznik może przetwarzać wszelkie informacje niezbędne do realizacji swoich ustawowych zadań, w tym dane osobowe, o których mowa w art. 27 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723), z wyłączeniem danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, danych genetycznych, danych biometrycznych oraz danych dotyczących seksualności lub orientacji seksualnej.
2. Rzecznik może odmówić ujawnienia danych osobowych osoby, od której uzyskał informację wskazującą na naruszenie praw przedsiębiorcy, oraz osoby, której naruszenie dotyczy, a także dokumentacji zgromadzonej w toku badania sprawy, w tym także wobec organów władzy publicznej, jeżeli uzna to za niezbędne dla ochrony wolności, praw i interesów jednostki.
3. Nie można odmówić ujawnienia informacji, w tym danych osobowych lub dokumentacji, o których mowa w ust. 2, gdy zatajenie takich informacji, danych osobowych lub dokumentów prowadziłoby do zagrożenia życia lub zdrowia innych osób lub mogło zagrażać bezpieczeństwu lub porządkowi publicznemu.