Os dados pessoais não serão mantidos após o término de seu tratamento, salvo em caso de ordem judicial, no âmbito e nos limites técnicos das atividades, para a conservação, observadas as seguintes finalidades: cumprimento de obrigação legal ou regulatória pelo controlador; transferência a terceiro do governo; uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Os dados pessoais serão eliminados após o término de seu tratamento ou no prazo de 10 (dez) anos da coleta, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades: cumprimento de obrigação legal ou regulatória pelo controlador; estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; transferência a terceiro.

O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses: I) quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades quaisquer; II) sem fornecimento de consentimento do titular, observado o prazo de 20 (vinte) anos da coleta, nas hipóteses em que for indispensável para tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses: I) quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas; II) sem fornecimento de consentimento do titular, na exclusiva hipótese em que for indispensável para apuração em processo criminal.

O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.