Een bedrijf dat een winactie organiseert via Facebook kan niet in de actievoorwaarden het recht op schadevergoeding bij een datalek uitsluiten. De Algemene Verordening Gegevensbescherming (AVG) verplicht organisaties om klanten te beschermen tegen datalekken en deze plicht kan niet contractueel worden beperkt of buiten werking gesteld.

Hoewel het bewijzen van schade soms lastig is, geldt dat als een datalek het gevolg is van onvoldoende beveiliging, de organisatie aansprakelijk is voor de schade die klanten daardoor lijden. Niet elk datalek leidt automatisch tot aansprakelijkheid; bij overmacht ligt de verantwoordelijkheid bij de betrokken personen zelf. Daarnaast komt het vaak voor dat persoonsgegevens tijdens dergelijke acties aan derden worden overgedragen. In dat geval is de organisator niet aansprakelijk voor nalatigheid of datalekken van die derden. Voor dit laatste kan een disclaimer nuttig zijn om duidelijkheid te verschaffen.