Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem:
I que não realizaram o tratamento de dados pessoais que lhes é atribuído;
II que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou
III que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro.