O controlador pode transferir sua responsabilidade para terceiros por meio de contrato, eximindo-se de responder por danos decorrentes do tratamento de dados.

O operador, por ser responsável apenas pela execução técnica do tratamento, está legalmente dispensado de adotar medidas de segurança, ainda que se trate de dados sensíveis.

O controlador responde solidariamente com o operador, independentemente de culpa, sempre que ocorrer qualquer incidente de segurança envolvendo dados pessoais.

O operador tem autonomia para alterar a finalidade do tratamento de dados, desde que notifique previamente o controlador.

O controlador é o agente responsável pelas decisões referentes ao tratamento de dados pessoais e deve adotar medidas para demonstrar a conformidade com a LGPD, inclusive quanto à atuação dos operadores sob sua responsabilidade.