O operador responde subsidiariamente pelos danos causados pelo tratamento dos dados quando descumprir as obrigações da legislação de regência, uma vez que a responsabilização principal fica a cargo do controlador.