EU一般データ保護規則
単一の規則群は全EU加盟国に適用される。各加盟国は、申し立てに対する調査、違反者の処罰等を行う独立した監督機関を設置する。EU加盟各国の同監督機関は、他国の監督機関と協力することで、相互支援および共同施行を行う。事業者がEU域内に複数の拠点を持つ場合、"主要拠点"(つまり、主要な処理業務が行われる拠点)の場所にもとづいて、一つの監督機関を"主要監督局"とする。主要監督局はワンストップショップとして活動し、事業者のEU域内にわたる全ての処理業務を監督する(第46-55条)。
欧州データ保護会議(英語版) (European Data Protection Board、略称: EDPB) が各加盟国の独立した監督機関の調整を行い、欧州連合全体において一貫したデータ保護規則の適用を維持、推進する。この欧州データ保護会議 (EDPB) の設置により、旧データ保護指令の第29条に規定されている作業部会が廃止となる。
雇用の文脈で処理されるデータ、および、国家安全保障のために処理されるデータについては例外があるが、依然として各国の規制の対象となる(第2条(2)(a)、第82条)。
(GDPR 備考 (Recital) 74)
データ主体の権利および自由に対して、特定のリスクが発生する場合は、データ保護影響評価(第35条)を実施しなければならない。リスク評価およびリスク低減を実施する必要があり、高いリスクについてはデータ保護当局 (DPA) の事前承認が必要となる。データ保護最高責任者(第37~39条)が、組織内部の規則遵守を確保する。
データ保護最高責任者は以下の場合に指名しなければならない。
全ての公的機関、ただし司法能力にもとづいて活動する裁判所を除く。
データ管理者、または、データ処理者の主な活動が以下の活動からなる場合 データ処理の業務が、その性質、範囲、目的にかんがみて、データ主体の規則に基づきかつ体系的で、大規模な監視を要求する場合 第9条に準じる特定の種類のデータを大規模に処理する場合、および、犯罪歴および第10条に規定する犯罪に関する個人データを処理する場合