O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador se equipara ao controlador.

O agente de tratamento será responsabilizado ainda que prove que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiros, pois a Lei nº 13.709/2018 consagrou a teoria do risco integral na matéria.

As hipóteses de violação do direito do titular no âmbito das relações de consumo são disciplinadas exclusivamente pela Lei nº 13.709/2018, vedada a aplicação do Código de Defesa do Consumidor na matéria.

O tratamento de dados pessoais será nulo quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais o modo pelo qual é realizado.

Não é possível a inversão do ônus da prova nas ações que versem sobre reparação de danos em razão da violação do dever de proteção de dados pessoais.