Administrator powinien bez zbędnej zwłoki, ale nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, zgłosić je do organu nadzorczego, chyba że oceni, że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw i wolności osób fizycznych. Powinien także ocenić, czy zaistniały przesłanki zawiadomienia osób, których danych osobowych dotyczy naruszenie, tj. czy ryzyko to jest na poziomie wysokim, i ewentualnie – bez zbędnej zwłoki – dokonać takiego zawiadomienia.
Organem nadzorczym w Polsce, do którego administrator powinien dokonać zgłoszenia, jest prezes Urzędu Ochrony Danych Osobowych. Należy jednak pamiętać, że jeżeli w grupie kapitałowej został wybrany wiodący organ nadzorczy inny niż PUODO, to może się okazać, że zgłoszenia należy dokonać do takiego wiodącego organu nadzorczego.
Inaczej wygląda sytuacja w przypadku podmiotu pełniącego rolę tzw. podmiotu przetwarzającego, który dowie się, że nastąpiło naruszenie ochrony danych osobowych. Podmioty przetwarzające nie zawiadamiają PUODO, mają natomiast obowiązek zgłosić naruszenie administratorowi niezwłocznie po jego stwierdzeniu. Termin na dokonanie zgłoszenia jest zazwyczaj ustalony w umowie powierzenia przetwarzania.
Przepisy RODO nie wskazują, jak ustalić moment, w którym dochodzi do „stwierdzenia" naruszenia ochrony danych osobowych. Wskazówki w tym zakresie znajdujemy ponownie w ww. wytycznych Grupy Roboczej Art. 29 (obecnie EROD), zgodnie z którymi stwierdzenie wystąpienia naruszenia następuje w momencie, w którym administrator „...uzyskał wystarczającą dozę pewności co do tego, że doszło do wystąpienia incydentu bezpieczeństwa, który doprowadził do ujawnienia danych". Wydaje się, że odwołanie do „ujawnienia danych" należy traktować jedynie jako przykład możliwego naruszenia ochrony danych osobowych.
Stwierdzenie wystąpienia naruszenia ochrony danych osobowych za każdym razem zależy od okoliczności, w jakich doszło do naruszenia. Nie zawsze będzie to od razu oczywiste i łatwe do stwierdzenia. Dlatego Grupa Robocza Art. 29 dopuściła możliwość zbadania incydentu w celu ustalenia, czy nastąpiło naruszenie ochrony danych osobowych. Takie badanie należy jednak przeprowadzić szybko. Jeżeli badanie wymaga więcej czasu, administrator może rozważyć dokonanie do PUODO tzw. zgłoszenia wstępnego, a dalsze informacje zgłaszać uzupełniająco po uzyskaniu pozostałych wyników badania. W razie wątpliwości, czy naruszenie nastąpiło, Grupa Robocza Art. 29 zaleca zawiadomienie organu nadzoru. Może to wpłynąć na obniżenie wysokości ewentualnej kary, którą organ nadzorczy może nałożyć za naruszenie przepisów RODO.
Niezależnie od ewentualnej konieczności zawiadomienia PUODO lub osób fizycznych dotkniętych naruszeniem administrator powinien podjąć działania, które ograniczą skalę incydentu i przywrócą stan sprzed naruszenia. Wszelkie działania i informacje związane z procedurą stwierdzania i reagowania na incydenty powinny być dokumentowane, by w razie konieczności móc taką dokumentację przedstawić organowi nadzoru.
