A sociedade deve adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, sendo essa obrigação extensiva a todos os tratamentos realizados em suas rotinas administrativas.

Os dados pessoais tratados estão excluídos do âmbito de aplicação da LGPD quando utiliza dos para fins exclusivamente administrativos internos da sociedade, pois tais finalidades não se enquadram como tratamento de dados para fins comerciais ou econômicos.

A responsabilidade pelo tratamento de dados pessoais na instituição é exclusiva do Encarre gado pelo Tratamento de Dados Pessoais (DPO), que responde solidariamente por qualquer violação de segurança, independentemente da atuação dos demais servidores e gestores envolvidos nas rotinas administrativas.

Para o tratamento de dados pessoais em rotinas administrativas, a empresa de economia mista pode dispensar a adoção de controles internos específicos, desde que obtenha o consentimento prévio de todos os titulares cujos dados serão processados.

A LGPD exige Relatório de Impacto à Proteção de Dados Pessoais (RIPD) quando o tratamento envolver dados sensíveis de entes da administração pública direta federal.