Artykuł 33 ust. 5 RODO rodzi nowy obowiązek dokumentowania wszelkich naruszeń ochrony danych osobowych. RODO nie wskazuje, jak ma wyglądać ta dokumentacja ani w jakiej formie powinna być wprowadzona. Podmiotom medycznym najłatwiej będzie przygotować i prowadzić rejestr naruszeń w formie zestawienia.