O titular dos dados pessoais tem direito de solicitar a revisão de decisões que, tomadas unicamente com base em tratamento automatizado de dados pessoais, tenham por finalidade a definição do seu perfil de consumo e de crédito. 

São agentes de tratamento de dados pessoais o controlador e o operador, sendo este responsabilizado de forma subsidiária pelos danos causados ao titular dos dados pessoais em razão do exercício de sua atividade. 

É permitido o tratamento de dados pessoais quando necessário para o atendimento aos interesses legítimos do controlador ou de terceiro, não sendo autorizado, entretanto, o tratamento de dados pessoais para fins de proteção do crédito. 

Compete ao operador fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e procedimentos utilizados para a decisão automatizada sobre tratamento de dados pessoais. 

Quando houver interesse público no tratamento de dados pessoais, é facultado ao poder público compartilhar com entidades privadas dados pessoais constantes de bases de dados a que tenha acesso.