Personuppgiftsincidenter behöver bara anmälas till tillsynsmyndigheten om det är sannolikt att incidenten medför en risk för människors fri- och rättigheter. Även om incidenten inte anmäls ska beslutet motiveras och dokumenteras av den personuppgiftsansvarige. Om incidenten ska anmälas ska det som huvudregel ske inom 72 timmar (kompletterande information kan lämnas därefter). Det är den personuppgiftsansvarige som anmäler personuppgiftsincidenter till tillsynsmyndigheten.