GDPR第33条によれば、個人データの漏洩が発生した場合、処理者（プロバイダーY）は漏洩を認識した後、遅滞なく管理者（企業X）に通知するものとします。処理者は、法律で別途義務付けられている場合を除き、監督当局、一般市民、または法執行機関に通知する義務を負いません。管理者は、漏洩がデータ主体の権利と自由にリスクをもたらす可能性が低い場合を除き、監督当局および必要に応じてデータ主体に通知する責任を負います。参考：
GDPR の第 33 条は、個人データ侵害の監督機関への通知を規制しています。
[GDPR第34条]は、個人データ侵害に関するデータ主体への通知を規制しています。
データ侵害通知に関する管理者と処理者の役割と責任を説明する ICO ガイダンス。

参考：https://www.zimmerslaw.com/english-1/data-protection/

これは、GDPRまたは以前のデータ保護指令95/46に基づき欧州委員会が採択した決定のいずれにも該当しないため、有効な標準契約条項集ではありません。EU域内の処理者からEU域外またはEEA域内の管理者への適切な決定は、決定2010/87/EUであり、これは決定2004/915/ECによって改正されました。決定2007/72/ECは、実際にはスイスにおける個人データ保護の適切性の認定に関連しています。参考資料：
* 無料のCIPP/E学習ガイド、18ページ、セクション3.4.2
* 国際送金に関する標準契約条項、第1.1項
* 標準契約条項（SCC）第2.1条
* 決定2007/72/EC