Seja aplicável à parte do conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta.

Não haja exigência de planos de resposta a incidentes e remediação.

Seja imutável à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados.

Estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade.

Esteja desvinculado da estrutura geral de governança e sem o estabelecimento de mecanismos de supervisão internos e externos.