L'articolo 33 del GDPR è la norma sulla notifica delle violazioni per i titolari del trattamento. Richiede che una violazione dei dati personali sia comunicata all'autorità di controllo competente senza ingiustificato ritardo e, ove fattibile, entro 72 ore dal momento in cui il titolare ne viene a conoscenza. Se la notifica è tardiva, il titolare dovrebbe spiegare il motivo del ritardo.
Nella sicurezza informatica, l'articolo 33 è importante perché velocità, prove e processo decisionale diventano requisiti legali, non solo obiettivi operativi. Gli attaccanti possono muoversi rapidamente tramite credenziali rubate, malware o sistemi cloud configurati in modo errato, quindi chi difende deve disporre di un monitoraggio efficace, di una corretta valutazione iniziale degli avvisi e di una chiara responsabilità nella gestione degli incidenti. Log, timestamp, azioni di contenimento e valutazioni del rischio aiutano a dimostrare quando è stata scoperta la violazione, quali dati sono stati interessati e perché è stata o non è stata effettuata una notifica. Un buon rilevamento e una buona documentazione possono ridurre sia il rischio normativo sia i danni derivanti dall'incidente.