No caso de violação de dados pessoais, o controlador deve responder sem demora e, se possível, no prazo máximo de 72 horas após ter se tornado consciente disso, notificar a violação de dados pessoais à autoridade de supervisão competente em conformidade com o artigo 55, a menos que o violação de dados pessoais é improvável que resulte em um risco para os direitos e liberdades das pessoas singulares.