A o tratamento de dados pessoais sensíveis somente poderá ocorrer quando o seu titular autorizar;
B poderá ser considerado dado pessoal aquele utilizado para formação do perfil comportamental de determinada pessoa natural, se identificada;
C é sempre vedado ao poder público transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso;
D o operador é o responsável por indicar o encarregado pelo tratamento de dados pessoais, cuja identidade e informações de contato deverão ser públicas;
E o controlador deverá comunicar, no prazo de 48 horas, à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.