(1) Operatorul are obligația să documenteze toate cazurile de încălcare a securității datelor cu caracter personal și să păstreze documentele pentru o perioadă de 5 ani de la transmiterea notificării prevăzute la art. 36 .
(2) Documentele prevăzute la alin. (1) trebuie să cuprindă:
a) descrierea situației în care a avut loc încălcarea securității datelor cu caracter personal;
b) descrierea efectelor acesteia;
c) descrierea măsurilor de remediere întreprinse.
(3) Documentele prevăzute la alin. (1) trebuie să permită autorității de supraveghere să verifice respectarea dispozițiilor prezentului articol.