O dever de garantir a segurança das informações relativas aos dados pessoais, após o término do tratamento, subsiste apenas para o controlador e o operador, não alcançando outras pessoas que tenham intervindo em alguma de suas fases.