os dados pessoais sensíveis apenas poderão ser tratados com o consentimento do titular.

os dados pessoais anonimizados e pseudonimizados não são considerados dados pessoais para os fins da lei.

é autorizada a conservação dos dados pessoais, mesmo após o término de seu tratamento, para transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos na lei.

o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de todos os incidentes de segurança.

o controlador deverá realizar o tratamento segundo as instruções fornecidas pelo operador, que verificará a observância das próprias instruções e das normas sobre a matéria.