(4) Spravující orgán není povinen porušení zabezpečení osobních údajů oznámit, pokud

a) provedená technická a organizační opatření zajišťují, že dotčené osobní údaje nelze zneužít, nebo

b) následná opatření spravujícího orgánu významně snížila riziko neoprávněného zásahu do práv a svobod subjektu údajů.