À partir du 25 mai 2018 avec l'entrée en application règlement général du la protection des données, les responsables de traitement devront notifier les violations de données à caractère personnel à la CNPD dans un délai de 72 heures après en avoir pris connaissance si la violation en question est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées.
Afin de faciliter la préparation des organisations, la CNPD a élaboré un formulaire de notification (en français et en anglais) et a répondu aux questions fréquemment posées sur une page dédiée.