O controlador deverá comunicar à autoridade nacional e ao titular acerca da ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. No entanto, não cabe à autoridade nacional fazer juízo de gravidade do incidente; ela deve, tão somente, determinar as medidas para mitigá-lo.