Dans le cas d'une violation des données personnelles, le contrôleur sans retard injustifié et, lorsque cela est possible, au plus tard 72 heures après avoir pris connaissance, en informe la violation des données personnelles à l'autorité de contrôle compétente conformément à l'article 55, à moins que le violation des données personnelles est peu susceptible d'entraîner un risque pour les droits et libertés des personnes physiques.