L'articolo 24 del Regolamento generale sulla protezione dei dati dell'UE richiede a un titolare del trattamento di implementare misure tecniche e organizzative adeguate e di poter dimostrare che tali misure siano commisurate al rischio. Si tratta di una norma di responsabilizzazione: la sicurezza non viene valutata solo in base al fatto che si sia verificata o meno una violazione, ma in base al fatto che il titolare del trattamento abbia agito in modo ragionevole, proporzionato e con cura documentata.
Nella sicurezza informatica, l'articolo 24 è importante perché trasforma i controlli in prove. Il controllo degli accessi, la gestione delle patch, la supervisione dei fornitori, i registri degli incidenti e le valutazioni del rischio possono tutti dimostrare che un programma è stato progettato in modo responsabile. Gli aggressori possono comunque riuscire, ma un'organizzazione ben preparata può dimostrare di aver esaminato le minacce, selezionato misure di protezione adeguate e adattato tali misure ai dati e all'ambiente. Una documentazione debole, politiche vaghe o controlli obsoleti rendono molto più difficile questa difesa.