En virtut de la Directiva sobre la privacitat i les comunicacions electròniques revisada (2009/136/CE), tan aviat com es produeixi una violació de les dades personals, el proveïdor de serveis ha de notificar-lo a una determinada autoritat nacional, normalment l'autoritat nacional de protecció de dades o l'autoritat reguladora de les comunicacions.