O controlador e o operador devem manter registro das operações de tratamento que realizarem, exceto as de interesse legítimo. 

O operador que, em razão do exercício de atividade de tratamento, causar a outrem dano moral não é obrigado a repará-lo.

O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria. 

Os agentes de tratamento serão responsabilizados quando o dano for decorrente de culpa exclusiva do titular dos dados.