Il concetto di violazione dei dati personali ricorda immediatamente una fuga di dati personali a beneficio di terze parti non autorizzate (es. la pirateria informatica). Ma la definizione di GDPR è ben più ampia. Il “Gruppo di lavoro ex articolo 29” (organismo europeo incaricato dell’applicazione del GDPR a partire dal 25 maggio 2018) definisce il concetto di violazione dei dati personali come segue:   perdita della disponibilità dei dati personali, perdita dell'integrità dei dati personali, perdita della confidenzialità dei dati personali.
La violazione dei dati, quindi, può consistere non solo in una fuga di dati, ma anche nella perdita permanente dei dati. Il GDPR impone nuovi obblighi per i responsabili e gli incaricati del trattamento dei dati in caso di una violazione di dati.