ao estabelecer regras de boas práticas, a ANPD levará em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.

na aplicação dos princípios da segurança e prevenção, o controlador, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poderá implementar programa de governança em privacidade que, no mínimo, seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados.

deve ser atualizado mensalmente com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas.

as regras de boas práticas e de governança deverão ser publicadas e atualizadas anualmente e não poderão ser divulgadas pela ANPD.

as associações de encarregados de proteção de dados reconhecidas pela ANPD, no âmbito de suas competências, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.