1. 除本法令规定的控制者其他义务外，控制者一旦知悉任何可能损害数据主体个人数据隐私、保密性或安全的数据泄露或违规，应在实施条例规定的期限内，按照规定措施和要求通知数据局，并随附： a. 泄露或违规的性质、形式、原因、涉及的大致人数及记录数量； b. 已任命数据保护官的详细资料； c. 泄露或违规可能及预期产生的影响； d. 为应对违规并减轻其不利影响而采取或建议采取的纠正措施； e. 违规及所采取纠正行动的文件； f. 数据局要求的其他资料。 2. 凡违规或泄露可能损害数据主体个人数据的隐私、保密性或安全，控制者均应在实施条例规定的期限内按规定方式通知数据主体，并告知其已采取的措施。 3. 处理者知悉个人数据泄露时，应尽快通知控制者；控制者继而依本条第1款通知数据局。 4. 数据局收到控制者通知后，应核查违规原因及所采取安全措施的完整性；如证实控制者或处理者违反本法令或其执行决定，数据局应依第26条施加行政处罚。
解释和适用时须核对官方文本及现行版本。