A definição de mecanismos técnicos de segurança utilizados nos processos de tratamento de dados deve considerar, prioritariamente, as demandas do negócio e a eficiência operacional dos sistemas, sendo os princípios da LGPD aplicáveis de forma complementar e adaptativa.

As medidas técnicas e administrativas de segurança exigidas pela LGPD são aplicáveis às etapas do tratamento e não precisam abranger os processos internos de concepção do produto ou serviço, desde que haja medidas compensatórias na fase de execução.

A estruturação dos sistemas utilizados para tratamento de dados deve atender aos objetivos específicos do controlador e à arquitetura de dados adotada, sendo os requisitos legais aplicados com flexibilidade, conforme o modelo de governança estabelecido internamente.

A responsabilidade pela adoção de medidas de segurança, no âmbito da LGPD, se mantém ativa mesmo após o término do tratamento de dados, e deve abranger também situações de armazenamento residual ou arquivamento.

Em caso de incidente de segurança com dados pessoais, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) é obrigatória se os dados afetados forem sensíveis ou vinculados a direitos fundamentais que não acarretem risco ou dano relevante aos titulares.