o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares no prazo de 5 (cinco) dias contados do seu conhecimento sobre o incidente.

a autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de ampla divulgação do fato em meios de comunicação.

os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obriga-se a garantir a segurança da informação apenas até o seu término.

as medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos são autorizadas mesmo após o final de sua execução.

o controlador que comunicar a ocorrência de incidente de segurança é dispensado de mencionar as informações sobre os titulares envolvidos.