Stoga, čim voditelj obrade primijeti da je došlo do povrede osobnih podataka, trebao bi o tome obavijestiti Europskog nadzornika za zaštitu podataka bez nepotrebnog odgađanja i to, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi osobnih podataka, osim ako voditelj obrade može dokazati, u skladu s načelom odgovornosti, da povreda osobnih podataka vjerojatno neće prouzročiti rizik za prava i slobode pojedinaca.
Okrem tejto všeobecnej povinnosti by sa mali zaviesť účinné postupy a mechanizmy na monitorovanie spracovateľských operácií, ktoré vzhľadom na svoju povahu, rozsah, kontext a účel pravdepodobne povedú k vysokému riziku pre práva a slobody fyzických osôb.