Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

A transferência internacional de dados pessoais é permitida em qualquer caso.

O tratamento de dados pessoais sensíveis poderá ocorrer para proteção da vida ou da incolumidade física do titular ou de terceiro.

Na realização de estudos em saúde pública, os órgãos de pesquisa não poderão ter acesso a bases de dados pessoais. 

Os dados pessoais referentes ao exercício regular de direitos pelo titular podem ser utilizados em seu prejuízo.