Compete ao controlador receber comunicações da autoridade nacional e adotar providências.

É permitida a decretação de indisponibilidade de bens sobre os valores a serem eventualmente aplicados a título de multa civil.

O controlador poderá determinar ao operador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados.

Caracteriza-se como ato de improbidade administrativa quando os membros do Conselho Diretor da Agência Nacional de Proteção de Dados, no período de até 6 meses após dispensa de seu cargo, estabelecem vínculo profissional com pessoa física que desempenhe atividade relacionada à área de competência em que trabalhava.

A responsabilidade de quem representa ato de improbidade quando sabe inocente se limita às esferas penal e patrimonial-civil.