o tratamento de dados pessoais sensíveis somente poderá ocorrer quando o seu titular autorizar;

é sempre vedado ao poder público transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso;

o operador é o responsável por indicar o encarregado pelo tratamento de dados pessoais, cuja identidade e informações de contato deverão ser públicas;

o controlador deverá comunicar, no prazo de 48 horas, à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.