Suponha‑se que um controlador tenha identificado um incidente de segurança envolvendo dados pessoais e concluído que a ocorrência poderia acarretar risco ou dano relevante aos titulares. Nesse caso, é correto afirmar que o controlador deverá comunicar o incidente tanto à Autoridade Nacional de Proteção de Dados quanto aos titulares afetados.