Deși regulamentul nu schimbă principiile esențiale ale procesării datelor personale (legalitate, scop determinat, necesitate și proporționalitate, transparența și securitate) care există în legislație română din 2001, va fi în sarcina companiilor să demonstreze modul în care respectă aceste principii.