Los autores analizan cómo debe abordarse la responsabilidad del responsable y del encargado de datos frente a los ciberriesgos, en un contexto en que la ciberseguridad de datos masivos es eje de las políticas regulatorias. Comparan el Reglamento General de Protección de Datos de la Unión Europea, la obligación general de seguridad del artículo 11 de la ley chilena vigente y el proyecto de ley en trámite, junto con jurisprudencia del Tribunal Supremo español. Sostienen que la obligación de seguridad es de medios y no de resultados, y que debe medirse según factores como el estado de la tecnología, la naturaleza de los datos, la evaluación de riesgos y las certificaciones.