Gdy administrator stwierdzi naruszenie ochrony danych osobowych, ma obowiązek w pierwszej kolejności ocenić, czy może ono wiązać się z ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli po przeprowadzeniu tej oceny dojdzie się do wniosku, że ryzyko jest znikome, administrator nie musi zgłaszać naruszenia organowi nadzorczemu.

Należy jednak pamiętać, że UODO może zażądać wyjaśnienia, dlaczego naruszenie nie zostało zgłoszone. Dlatego wyniki przeprowadzonej analizy trzeba ująć w wewnętrznej ewidencji naruszeń.

Ocena „ryzyka naruszenia praw lub wolności” jest istotna wtedy, gdy naruszenie może prowadzić do szkody dla osób, których dane dotyczą. Taką szkodą mogą być m.in. dyskryminacja, kradzież tożsamości, oszustwa związane z tożsamością, straty finansowe, nieuprawnione cofnięcie pseudonimizacji, utrata poufności danych objętych tajemnicą zawodową, naruszenie dobrego imienia albo inne istotne skutki gospodarcze lub społeczne.

Jeżeli naruszenie dotyczy danych wrażliwych, takich jak pochodzenie etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, danych genetycznych, zdrowotnych lub dotyczących życia seksualnego, należy przyjąć, że prawdopodobieństwo takiej szkody jest wysokie.