notificar os titulares de dados em até 36 horas, por meio de comunicado redigido pelo encarregado pela proteção de dados da instituição. 

comunicar à Autoridade Nacional de Proteção de Dados e ao titular a ocorrência da situação; a comunicação de incidentes de segurança à ANPD deve ser realizada pelo encarregado pela proteção de dados ou por um representante legalmente constituído do controlador, conforme os procedimentos estabelecidos pela Autoridade.

realizar auditoria interna com empresa independente e produzir relatório de impacto à proteção de dados pessoais; em seguida, submeter tal documento à Autoridade Nacional de Proteção de Dados por meio de processo administrativo. 

pagar como caução indenizações aos titulares afetados e demais instituições lesadas, considerando interesses individuais e coletivos.

comunicar imediatamente a imprensa, visando a trazer publicidade ao fato, a Autoridade Nacional de Proteção de Dados e o Ministério da Justiça e Segurança Pública.