O programa de governança em privacidade deve ser aplicado restritivamente aos dados pessoais sensíveis coletados após a vigência da LGPD, excluindo-se o acervo de dados anteriormente constituído.

O programa de governança em privacidade implementado pelo controlador deve, no mínimo, estar integrado à sua estrutura geral de governança, contar com planos de resposta a incidentes e ser atualizado constantemente com base em avaliações periódicas.

A formulação de regras de boas práticas e de governança é uma competência exclusiva da autoridade nacional, sendo vedado aos controladores e operadores estabelecerem procedimentos próprios de supervisão interna.

Ao estabelecer regras de boas práticas, o controlador e o operador devem considerar exclusivamente a finalidade do tratamento, sendo desnecessário avaliar a probabilidade ou a gravidade dos riscos para o titular.

As regras de boas práticas e de governança, devido ao seu caráter estratégico e de segurança, devem ser mantidas sob sigilo comercial, sendo proibida a sua publicação ou divulgação pela autoridade nacional.