Le RGPD distingue trois niveaux de risque : risque faible, risque ("normal") et risque élevé. En cas de risque faible, certaines exceptions aux obligations apparaissent. En cas de risque "normal", la gravité des dommages et la probabilité d'occurrence peuvent atteindre un niveau moyen. Un risque élevé comprend les dommages dont l'ampleur est grave et/ou assez probable. Ce niveau de risque a des conséquences juridiques importantes et nécessite une DSFA.