O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado, conjuntamente, pelo pai e pela mãe ou pelo responsável legal.

O tratamento de dados pessoais poderá ser realizado quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, sem a necessidade de pedido do titular dos dados.

Na realização de estudos em saúde pública, os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados exclusivamente dentro do órgão e estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, conforme práticas de segurança previstas em regulamento específico, sem a necessidade de anonimização ou pseudonimização dos dados coletados.

Quando houver infração à Lei Geral de Proteção de Dados Pessoais em decorrência do tratamento de dados pessoais por órgãos públicos, a autoridade nacional poderá enviar informe com medidas cabíveis para fazer cessar a violação.