O tratamento de dados pessoais não poderá ocorrer à revelia do consentimento do titular dos dados.

É vedado o tratamento de dados pessoais como condição para o fornecimento de produto ou de serviço ou para o exercício de direito.

As atividades de tratamento de dados pessoais devem observar o princípio da finalidade, segundo o qual há a necessidade de o tratamento ser compatível com a finalidade informada ao titular.

O SEBRAE e as microempresas e empresas de pequeno porte que com ele se relacionam não são titulares de dados pessoais sensíveis.