Em geral, a responsabilidade dos agentes de tratamento, perante os titulares, será objetiva, ou seja, caberá a empresa comprovar a sua inocência. Contudo, não há muito que se falar sobre ausência de culpa, caso a empresa nada tenha feito, sobretudo do ponto de vista de adequação à LGPD.

Deste modo, o art. 43 dispõe que o agente de tratamento não será responsabilizado quando comprovar que não teria realizado o tratamento, que não teria havido violação da legislação ou que teria havido culpa exclusiva da titular ou de terceiro. Estas exceções presentes neste artigo são quase idênticas ao disposto no art. 12, §3o Código de Defesa do Consumidor, bastando, em outras palavras, que o titular aponte que aquele agente teria sido o responsável pelo dano causado pelo incidente de segurança.

Ressalte-se que a intenção do legislador não era de inibir todo e qualquer tipo de risco, mas sim a mitigação e eventual neutralização destes riscos, valendo neste momento ressaltar a seguinte analogia: se um determinado indivíduo muda a fechadura da sua casa, contrata segurança armada e

coloca cerca elétrica, e mesmo assim tem sua residência invadida e assaltada por um delinquente, o resultado será o mesmo de uma casa sem segurança alguma, mas os riscos terão sido mitigados de forma exponencial. Neste sentido, para a LGPD isso não seria muito diferente. Se a empresa adotou todas as medidas de segurança adequadas, isso não lhe garantirá que não sofrerá as consequências de um incidente de segurança qualquer, todavia, a chance de ser condenada será menor e caso a exista, esta por sua vez será um tanto mais branda.