Si el incidente podría resultar en que los interesados ​​queden expuestos a riesgos graves, su organización debe notificar a la autoridad reguladora, si es posible, dentro de las 72 horas posteriores al descubrimiento. En algunos casos, también se deberá informar a los inscritos de los riesgos. Así está regulado en los artículos 33 y 34 del Reglamento de Protección de Datos.
En relación con un incidente de datos personales que ocurra en su organización, la autoridad de control puede realizar una inspección de su negocio. En esa situación, su documentación es un seguro importante para reducir el riesgo de fuertes sanciones legales.