A os dados pessoais sensíveis apenas poderão ser tratados com o consentimento do titular.
B os dados pessoais anonimizados e pseudonimizados não são considerados dados pessoais para os fins da lei.
C é autorizada a conservação dos dados pessoais, mesmo após o término de seu tratamento, para transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos na lei.
D o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de todos os incidentes de segurança.
E o controlador deverá realizar o tratamento segundo as instruções fornecidas pelo operador, que verificará a observância das próprias instruções e das normas sobre a matéria.