Devem seguir as normas da LGPD microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, nos termos da legislação vigente, bem como pessoas naturais.

Entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador, estão submetidos às normas e obrigações da LGPD.

A Autoridade Nacional de Proteção de Dados pode dispor sobre flexibilização ou procedimento simplificado de comunicação de incidente de segurança para agentes de tratamento de pequeno porte, assim como determinar a não obrigatoriedade da indicação de um encarregado pelo tratamento de dados pessoais pelos agentes de tratamento de pequeno porte.

A LGPD e todas as suas obrigações correspondentes são de observância obrigatória a todos os agentes públicos e privados, empreendedores, startups, empresas de pequeno porte, usuários de internet em usos particulares e entes despersonalizados.

A LGPD não se aplica ao tratamento de dados pessoais realizado para fins exclusivamente jornalístico e artísticos; acadêmicos, aplicando-se a esta hipótese os artigos 7º e 11 desta Lei; e realizado para fins exclusivos de segurança pública.