Bij de artikelen 28 en 29 wordt de verplichting ingevoerd om inbreuken in verband met persoonsgegevens te melden. Deze bepaling is geïnspireerd op artikel 4, lid 3, van Richtlijn 2002/58/EG (e-privacyrichtlijn). De bepaling wordt verduidelijkt en de verplichting om de toezichthoudende autoriteit in kennis te stellen (artikel 28) wordt gescheiden van de verplichting om in bepaalde omstandigheden de betrokkene in te lichten (artikel 29).
Les articles 28 et 29 introduisent une obligation de notification des violations de données à caractère personnel, inspirée de la notification des violations de données à caractère personnel prévue à l’article 4, paragraphe 3, de la directive 2002/58/CE («vie privée et communications électroniques»); ils précisent et distinguent, d’une part, l’obligation de notification à l’autorité de contrôle (article 28) et, d’autre part, l’obligation d’information, dans certaines circonstances, de la personne concernée (article 29).