Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obrigam-se a garantir a segurança da informação em relação aos dados pessoais, até o seu término.

Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

O controlador deverá comunicar à autoridade estadual a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

A comunicação será feita em prazo razoável, conforme definido pela autoridade Estadual, e deverá mencionar apenas a descrição da natureza dos dados pessoais afetados.