Os controladores deverão avaliar o ciclo de vida completo do tratamento de dados pessoais (que vão desde a coleta, o uso, armazenamento, compartilhamento e exclusão dos dados), além de ter de forma concisa as medidas de segurança da informação implementadas, incluindo quais serão as ações tomadas caso ocorram incidentes de quebra de sigilo ou vazamento de dados.
Qualquer tipo de incidente envolvendo dados pessoais, que acarretarem risco aos seus titulares, deverão ser imediatamente reportados à ANPD e também às vítimas.