A deverá indicar as medidas técnicas e de segurança utilizadas para a proteção dos dados, não devendo mais observar eventuais segredos comercial e industrial envolvidos.
B não deve mencionar publicamente as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo, a fim de evitar que elas sejam eventualmente anuladas pelos causadores do incidente.
C deverá publicar em um veículo de grande circulação todos os dados dos titulares que foram vazados no incidente.
D deverá mencionar, no mínimo, algumas informações, como a descrição da natureza dos dados pessoais afetados e os riscos relacionados ao incidente.
E será feita em até 120 dias após a ocorrência incidente, sob pena de aplicação de multa, caso contrário.