Bedrijven die persoonsgegevens verwerken moeten vanaf 1 januari 2016 datalekken melden[1] bij de Autoriteit Persoonsgegevens[2] (AP) en/of direct bij betrokkenen die geschaad kunnen zijn door het lek.
Een datalek houdt in dat persoonsgegevens verloren zijn gegaan bij een inbreuk op de beveiliging[3]. Het is strikt genomen niet verplicht om alle datalekken te melden maar onterecht niet gemelde datalekken kunnen zwaar(der) worden beboet.