De plus, la législation de l'UE sur la protection des données[13] exige des responsables du traitement des données qu'ils prévoient des exigences de protection et des mesures de sauvegarde des données, y compris des mesures relatives à la sécurité, et, dans le domaine des services de communications électroniques accessibles au public, qu'ils notifient aux autorités nationales compétentes les incidents impliquant une violation de données à caractère personnel.
Bovendien stelt de gegevensbeschermingswetgeving van de EU[13] degenen die verantwoordelijk zijn voor de verwerking van gegevens verplicht om vereisten en waarborgen ten aanzien van de gegevensbescherming vast te leggen, met inbegrip van maatregelen betreffende de beveiliging; bij openbare elektronische-communicatiediensten moeten zij inbreuken in verband met persoonsgegevens melden aan de bevoegde nationale instanties.