GDPR aduce o serie de elemente de noutate, dintre care cele mai însemnate ar fi: obligativitatea numirii, în anumite condiții, a unui responsabil cu protecția datelor la nivel de companie sau grup care, poate deloc surprinzător, va acționa în fapt mai mult ca un reprezentant "în teritoriu" al autorității, având rolul de a se asigura că toate procesele și procedurile operatorului sunt conforme cu legea și de a notifica autoritatea competentă în termen de 72 de ore atunci când are loc o încălcare a securității datelor cu caracter personal; redefinirea unor drepturi și definirea unor drepturi noi pentru persoanele vizate (de exemplu, dreptul de a fi uitat, dreptul la portabilitatea datelor); condiții mult mai stricte pentru o procesare legală în baza consimțământului persoanei vizate; o mai mare răspundere în sarcina persoanelor împuternicite să proceseze date cu caracter personal în numele operatorului;   desfășurarea de evaluări de impact în cazul în care operatorul: i) prelucrează automat date cu caracter personal și care produce efecte juridice privind persoana fizică sau care o afectează în mod similar într-o măsură semnificativă (vorbim aici în special de profilarea clienților), ii) prelucrează pe scară largă anumite categorii speciale de date (cel mai des întâlnit exemplu fiind datele privind sănătatea, datele genetice și biometrice) sau date cu caracter personal privind condamnări penale și infracțiuni sau iii) monitorizează sistematic pe scară largă o zonă accesibilă publicului.