A a responsabilidade pelos danos causados pelo tratamento, quando descumpridas as obrigações da legislação de proteção de dados, é do controlador, respondendo o operador subsidiariamente;
B o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, equiparando-se ao controlador, inexistindo casos de exclusão de responsabilidade;
C o exercício de atividade de tratamento de dados pessoais que cause dano patrimonial, moral, individual ou coletivo, quando violada a legislação de proteção de dados pessoais, enseja o dever de reparação;
D os controladores que estiverem diretamente envolvidos no tratamento de dados pessoais que causar dano patrimonial, moral, individual ou coletivo, respondem subsidiariamente;
E o direito de regresso contra os demais responsáveis é conferido apenas ao encarregado, na medida de sua participação no evento danoso.