Un elenco delle classi di dati è una categoria di record relativi a una violazione che indica i tipi di informazioni potenzialmente coinvolti, come indirizzi email, recapiti o registrazioni di donazioni. Descrive le possibili classi di dati presenti nel set di dati interessato; non dimostra che ogni campo elencato fosse presente in ogni record o sia stato consultato per ogni persona.
Questa distinzione è importante per valutare l'esposizione e decidere come intervenire. Nel corso delle indagini su un attacco, un elenco può riassumere i tipi di dati che un sistema potrebbe contenere, anche quando non è ancora chiaro quali record siano stati consultati. I responsabili della difesa e le organizzazioni interessate dovrebbero evitare di considerarlo un inventario completo: occorre verificare i campi e i record effettivamente coinvolti, quindi adeguare le notifiche e le misure di protezione all'esposizione confermata. Anche informazioni di base sull'identità possono aiutare gli aggressori a creare messaggi di phishing convincenti o a spacciarsi per qualcuno.