O controlador e o operador não estão obrigados a manter registro das operações de tratamento de dados pessoais que realizarem, ainda que com base no legítimo interesse.

O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.

A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, exceto de dados sensíveis, referente a suas operações de tratamento de dados.

É do controlador, e não do operador, a responsabilidade de reparar os danos causados a outrem, em razão do exercício de atividade de tratamento de dados pessoais.

A transferência internacional de dados pessoais é vedada, devido a dificuldades de fiscalização do tratamento de dados, que será realizada em país estrangeiro.