O controlador deverá indicar encarregado pelo tratamento de dados pessoais, cujas informações de contato devem ser divulgadas de forma clara e objetiva, preferencialmente no sitio eletrônico da organização.

O operador é responsável por definir as finalidades e os meios de tratamento dos dados pessoais, devendo observar os princípios da LGPD de forma autônoma em relação ao controlador.

A Autoridade Nacional de Proteção de Dados (ANPD) poderá exigir do controlador a elaboração de relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de. tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.

O controlador e o operador devem manter registros das operações de tratamento de dados pessoais que realizarem, sobretudo quando o tratamento for realizado com base no legítimo interesse.