deverá indicar as medidas técnicas e de segurança utilizadas para a proteção dos dados, não devendo mais observar eventuais segredos comercial e industrial envolvidos.

não deve mencionar publicamente as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo, a fim de evitar que elas sejam eventualmente anuladas pelos causadores do incidente.

deverá publicar em um veículo de grande circulação todos os dados dos titulares que foram vazados no incidente.

deverá mencionar, no mínimo, algumas informações, como a descrição da natureza dos dados pessoais afetados e os riscos relacionados ao incidente.

será feita em até 120 dias após a ocorrência incidente, sob pena de aplicação de multa, caso contrário.