Nos termos da Lei nº 12.527/2011, não poderá ser negado acesso à informação necessária à tutela judicial ou administrativa de direitos fundamentais, salvo quando os dados estiverem classificados como sigilosos pela autoridade administrativa competente, hipótese em que o acesso dependerá de prévia desclassificação do documento.

O STJ é pacífico acerca da ilegitimidade da Defensoria Pública para requerer ao Poder Judiciário a elaboração de relatórios ou listagens de processos em que haja aplicação de medidas de segurança, por se tratar de providência inserida no âmbito da organização administrativa interna do Judiciário, cuja produção de dados e sistematização de informações não pode ser exigida por órgão externo à estrutura jurisdicional.

O tratamento de dados pessoais será considerado irregular quando não fornecer a segurança que o titular legitimamente poderia esperar, consideradas as circunstâncias e as técnicas disponíveis à época do tratamento. 

A implementação de programas internos de compliance de dados constitui causa suficiente para afastar a responsabilidade civil decorrente de incidentes de segurança.