(86) Контролёр должен без неоправданной задержки сообщить субъекту данных о нарушении безопасности персональных данных, когда такое нарушение с большой вероятностью может представлять высокий риск нарушения прав и свобод физических лиц, для того, чтобы предоставить им возможность предпринять необходимые меры предосторожности.

Сообщение должно описывать характер нарушения и рекомендации для физических лиц как уменьшить возможные неблагоприятные последствия.

Такое сообщение субъекту данных должно быть сделано как только представляется возможным, в тесном сотрудничестве с надзорным органом, руководствуясь указаниями этого органа или других соответствующих органов, таких как правоохранительные органы.

Например, необходимость минимизации непосредственного риска причинения вреда может потребовать оперативного уведомления субъектов данных, в то время как необходимость принятия соответствующих мер в отношении длящихся или схожих нарушений безопасности персональных данных может обосновывать затрату большего количества времени на сообщение.