O controlador e o operador não podem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando com base no legítimo interesse.

O controlador, ou o operador, que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

A identidade e as informações de contato do encarregado não podem ser divulgadas publicamente.

O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados, independentemente se a culpa for exclusiva do titular do dado.

Entre as atividades do controlador, consta orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas quanto à proteção de dados pessoais.