Conforme previsto na LGPD (Lei no 13.709/2018), é uma obrigação do controlador:
fornecer, sempre que entender pertinente, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada.
realizar o tratamento segundo as instruções fornecidas pelo operador, que verificará a observância das próprias instruções e das normas sobre a matéria.
manter registro das operações de tratamento de dados pessoais que realizarem, apenas quando se basear no legítimo interesse.
indicar encarregado pelo tratamento de dados pessoais.