Nos termos do n.º 2, qualquer responsável pelo tratamento envolvido no tratamento responde pelos danos causados por um tratamento que viole o regulamento, enquanto o subcontratante só responde se não tiver cumprido as obrigações do regulamento dirigidas especificamente aos subcontratantes ou se não tiver seguido as instruções lícitas do responsável pelo tratamento. A exposição do subcontratante é, por isso, mais restrita e acompanha o seu papel tal como definido no artigo 4.º, ponto 8, e os seus deveres nos termos do artigo 28.º.

Sim, mas apenas ao abrigo da isenção do n.º 3, que exige a prova de que não é de modo algum responsável pelo evento que deu origem aos danos. A redação faz recair o ónus da prova sobre o responsável pelo tratamento ou o subcontratante e fixa um padrão exigente, já que qualquer grau de responsabilidade afasta a isenção.

O n.º 4 torna cada um deles responsável pela totalidade dos danos quando sejam responsáveis nos termos dos n.ºs 2 e 3, a fim de assegurar a efetiva indemnização do titular dos dados. Aquele que pagar a indemnização integral pode depois, nos termos do n.º 5, reclamar aos outros a parte da indemnização correspondente à respetiva parte de responsabilidade.

O n.º 6 remete para os tribunais competentes nos termos do direito do Estado-Membro a que se refere o artigo 79.º, n.º 2. Essa disposição admite os processos judiciais perante os tribunais do Estado-Membro onde o responsável pelo tratamento ou o subcontratante tem um estabelecimento ou, em alternativa, onde o titular dos dados tem a sua residência habitual, salvo se o demandado for uma autoridade pública de um Estado-Membro a agir no exercício dos seus poderes públicos.