Considera-se titular a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

Considera-se autoridade nacional pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

O tratamento de dados pessoais somente poderá ser realizado mediante o fornecimento de consentimento pelo titular, vedado seu uso para a realização de estudos por órgão de pesquisa.

O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas.

O tratamento de dados pessoais será mantido ainda que a finalidade seja alcançada e os dados deixem de ser necessários ou pertinentes ao alcance da finalidade específica almejada.