Het onder de AVG voldoen aan herstel-, meldings- en documentatieverplichtingen na een datalek betekent niet het einde van de kwestie. Wat meestal volgt is de vaststelling van aansprakelijkheid. Op dit moment bestaat daarover nog veel onduidelijkheid. De hoogste Bulgaarse bestuursrechter heeft het Hof van Justitie EU in dit kader een aantal zeer relevante prejudiciële vragen gesteld. Hoewel de uitspraak van het HvJ EU nog even op zich zal laten wachten, staat vast dat het oordeel voor de praktijk enorm relevant zal zijn.