Usein ensimmäisenä mieleen tulee, että ainoa henkilötietoon liittyvä riski on sen joutuminen vääriin käsiin. Olennaista on kuitenkin, että tietoturvaloukkauksina ei pidetä vain luottamuksellisuuteen kohdistuvia loukkauksia. Loukkaukset on arvioitava aina luottamuksellisuuden, eheyden ja saatavuuden ongelmina. Eli myös se, että tiedot eivät ole saatavilla, kun niitä tarvitaan, voi aiheuttaa mahdollisen riskin rekisteröidyille. Silloin sellainenkin tapaus on ilmoitusvelvollisuuden piiriin kuuluva asia.

Poikkeaman havaitsemisen jälkeen on ensin määriteltävä, aiheuttaako poikkeama riskin rekisteröidylle. Jos aiheuttaa, on ilmoitus tehtävä vähintään valvontaviranomaiselle. Jos poikkeama aiheuttaa korkean riskin rekisteröidylle, on siitä ilmoitettava myös heille. Kaikki poikkeamat on joka tapauksessa aina kirjattava. Tämä siksi, että riskien ajallinen ulottuvuus on myös kyettävä huomioimaan. Jos esimerkiksi salattu tietokanta joutuu vääriin käsiin, mutta salausavaimet ovat turvassa, ei tapahtuma ehkä aiheuta riskiä. Jos salausavaimet taas joutuvat puolen vuoden kuluttua vääriin käsiin ilman tietokannan menetystä, on aiempi tapahtuma kyettävä huomioimaan, koska ne yhdessä aiheuttavat ilmoitusvelvollisuuden.

Karkeasti ilmoitusvelvollisuuden arvioinnin voisi esittää seuraavalla kuvalla:

Riskiä arvioitaessa (ei riskiä – riski – korkea riski) on otettava huomioon