As atividades de tratamento de dados pessoais deverão observar tanto a boa-fé quanto princípios diversos, dentre eles a finalidade, a adequação, o livre acesso, a transparência, a segurança e a responsabilização e prestação de contas. 

A LGPD é destinada a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, mesmo que a operação de tratamento seja realizada fora do Brasil.

Na realização de estudos em saúde pública, os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados apenas dentro do órgão e de forma rigorosa para o escopo de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, segundo práticas de segurança explicitadas em regulamento característico e que compreendam, sempre que possível, a anonimização ou pseudonimização dos dados, bem como ponderem os devidos padrões éticos relacionados a estudos e pesquisas. 

O controlador ou o operador que, em decorrência do exercício de atividade de tratamento de dados pessoais, acarretar a outrem dano patrimonial, moral, individual ou coletivo, em transgressão à legislação de proteção de dados pessoais, é obrigado a fazer a devida reparação, nos termos da legislação pertinente.

Os agentes de tratamento de dados, em razão das infrações atentadas contra as normas previstas na LGPD, ficam sujeitos a sanções administrativas aplicáveis pela autoridade nacional, tais como: advertência, com prazo obrigatório de 72 (setenta e duas) horas para adoção de medidas corretivas; e prisão de 15 (quinze) dias em regime semiaberto.

A disciplina da proteção de dados pessoais apresenta diversos fundamentos, dentre eles o respeito à privacidade, bem como a liberdade de expressão, de informação, de comunicação e de opinião, e ainda a livre iniciativa, a livre concorrência e a defesa do consumidor.

No tocante ao tratamento de dados pessoais, o mesmo poderá ser concretizado em determinadas hipóteses, como, por exemplo, mediante o provimento de consentimento pelo titular, para a realização de estudos por órgão de pesquisa, assegurada, sempre que possível, a anonimização dos dados pessoais, e para a proteção da vida ou da incolumidade física do titular ou de terceiros.  

O tratamento de dados pessoais de crianças e de adolescentes deverá ser efetivado em seu melhor interesse, consoante as normas atinentes ao caso, sendo que, no caso de crianças, deverá ser concretizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.