In beginsel moet ieder datalek aan de AP worden gemeld. Een datalek kan namelijk voor de betrokkenen grote gevolgen hebben, waaronder verlies van controle over hun persoonsgegevens, beperking van hun rechten, discriminatie, identiteitsdiefstal of financiële verliezen. De verwerkingsverantwoordelijke dient de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking in kennis te stellen van een datalek.