Os artigos 30.º a 43.º da Lei N.º 8/2005（Lei de Protecção dos Dados Pessoais）estabelecem o respectivo regime de sanção de infracções administrativas e penais. O artigo 28.º da mesma Lei manda que o titular de dados, quando descobre que próprios dados tenham sido violados, pode queixar à DSPDP. Se a DSPDP considera que o acto já constituí uma infracção administrativa, aplicar-lhe-emos as correspondentes sanções; em relação aos actos de infracções criminais, serão encaminhadas para os órgãos jurisdicionais. Para os casos que se colocam a questão de “adequação” mas que ainda não constitui infracção administrativa, a DSPDP vai dar conselhos e advertências à respectiva entidade, exortando a entidade a tratar os dados pessoais com uma maneira de actuação apropriada.