- nariadenie zavádza nové opatrenia a pojmy– pseudonymizácia, profilovanie, genetický údaj, skupina podnikov a pod.,
- ďalšie údaje sú považované za osobné za istých okolností– IP adresy, cookies, RFID, e-mailové adresy, lokalizačné údaje a pod.,
- dotknuté osoby si môžu uplatniť práva priamo u prevádzkovateľa,
- zavádza osobitnú ochranu osobných údajov detí,
- rozširuje povinnosti a zodpovednosti sprostredkovateľov,
- zavádza nové oznamovacie povinnostivoči dotknutým osobám i inštitúciám verejnej správy (napríklad voči dozornému orgánu do 72 hodín),
- upravuje právo na prenosnosť osobných údajov,
- zavádza právo byť informovaný o všetkých osobných údajoch spracúvaných u prevádzkovateľa,
- zavádza právo na opravu nesprávnych osobných údajov,
- zavádza právo na zabudnutie – právo na vymazanie osobných údajov.