As atividades de tratamento de dados pessoais deverão observar tanto a boa-fé quanto princípios diversos, dentre eles a finalidade, a adequação, o livre acesso, a transparência, a segurança e a responsabilização e prestação de contas. 

A LGPD é destinada a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, mesmo que a operação de tratamento seja realizada fora do Brasil.

Na realização de estudos em saúde pública, os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados apenas dentro do órgão e de forma rigorosa para o escopo de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, segundo práticas de segurança explicitadas em regulamento característico e que compreendam, sempre que possível, a anonimização ou pseudonimização dos dados, bem como ponderem os devidos padrões éticos relacionados a estudos e pesquisas. 

O controlador ou o operador que, em decorrência do exercício de atividade de tratamento de dados pessoais, acarretar a outrem dano patrimonial, moral, individual ou coletivo, em transgressão à legislação de proteção de dados pessoais, é obrigado a fazer a devida reparação, nos termos da legislação pertinente.