Nos termos do número 1 do artigo 15º da Lei da Protecção de Dados Pessoais, “o responsável pelo tratamento deve pôr em prática as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra a destruição, acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito, devendo elas assegurar, atendendo aos conhecimentos técnicos disponíveis e aos custos resultantes da sua aplicação, um nível de segurança adequado em relação aos riscos que o tratamento apresenta e à natureza dos dados a proteger.” Caso ocorra a referida situação, a entidade pode ser exonerado parcial ou totalmente da respectiva responsabilidade se prova que já põe em prática medidas técnicas e organizativas adequadas para a protecção do sistema informática e dos dados pessoais do cliente.