As normas gerais de proteção de dados pessoais são de interesse federal e devem ser observadas exclusivamente pela União.

De acordo com o princípio da necessidade, deve-se existir compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento.

Considera-se “operador” a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

Os agentes de tratamento de dados, em razão das infrações cometidas, ficam sujeitos à multa simples, de até 5% do faturamento da pessoa jurídica, limitada a 100 milhões de reais.

O tratamento de dados pessoais sensíveis poderá ocorrer sem fornecimento de consentimento do titular, quando for indispensável proteção da vida ou da incolumidade física do titular ou de terceiro.