Permanecer inerte e esperar que o incidente seja resolvido.

Comunicar, apenas à autoridade responsável, somente: as informações sobre os titulares envolvidos, a descrição da natureza dos dados pessoais envolvidos, a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial, os riscos relacionados ao incidente, os motivos da demora, no caso de a comunicação não ter sido imediata, e as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

Avisar ao titular dos dados para que ele possa tomar as medidas cabíveis, pois é um dever do titular zelar pela proteção de seus dados.

Comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Comunicar, a qualquer tempo, à autoridade responsável e ao titular dos dados, inexistindo qualquer parâmetro de prazos.