Οποιοσδήποτε ζητά, τηρεί, χρησιμοποιεί, επεξεργάζεται προσωπικά στοιχεία υποκειμένων, πελατών του ή μη, πρέπει να έχει την σαφή συγκατάθεση τους για τη τήρηση και τη χρήση/επεξεργασία αυτών και για μόνο συγκεκριμένους λόγους που θα γίνονται σαφείς καθώς και να παρέχει όλες τις διαδικασίες που θα προασπίζουν τα δικαιώματα των υποκειμένων όπως είναι η αναίρεση της συγκατάθεσης ανά πάσα στιγμή και η διαγραφή των τηρουμένων εγγραφών. Επίσης πρέπει να έχει αναπτύξει όλους τους μηχανισμούς ασφάλειας για την αποφυγή οποιασδήποτε διαρροής προσωπικών δεδομένων όπως η κρυπτογράφηση της βάσης δεδομένων που τηρούνται τα στοιχεία ενώ να ακολουθεί στη καθημερινότητα του όλες τις προβλεπόμενες διαδικασίες. Αυτό σημαίνει ότι ο κανονισμός δεν αφορά μόνο εταιρείες που επεξεργάζονται προσωπικά δεδομένα σε καθημερινή βάση και υψηλή κλίμακα όπως νοσοκομεία αλλά και επαγγελματικούς χώρους όπως δικηγορικά γραφεία, ιατρεία, ηλεκτρονικά καταστήματα, γυμναστήρια κ.α.   

Υπάρχει διαχωρισμός ως προς το ποιά θεωρούνται προσωπικά δεδομένα και ποιά ευαίσθητα προσωπικά δεδομένα, ενώ για τα τελευταία προβλέπονται αυστηρότερες ρυθμίσεις. Προσωπικά δεδομένα είναι εκείνες οι πληροφορίες που συνδέονται άμεσα ή έμμεσα με ένα φυσικό πρόσωπο ("υποκείμενο των δεδομένων") όπως ενδεικτικά ονοματεπώνυμο, αριθμός δελτίου ταυτότητος, email, εργασία, εκπαίδευση, οικονομική κατάσταση, username/password σε υπηρεσίες που μπορεί να αποκαλύπτουν προσωπικά στοιχεία κ.α. Ευαίσθητα προσωπικά δεδομένα θεωρούνται εκείνα που αφορούν την υγεία του, τις πεποιθήσεις του, το ποινικό του μητρώο, την ερωτική του ζωή, την φυλετική του καταγωγή, τα βιομετρικά χαρακτηριστικά του όπως η φωτογραφία του κ.α.  

Σε γενικές γραμμές το υποκείμενο των δεδομένων δηλαδή το φυσικό πρόσωπο που παρέχει τα προσωπικά του δεδομένα, έχει πλήρη έλεγχο πάνω σε αυτά. Συναινεί στην χρήση και επεξεργασία αυτών για συγκεκριμένους σκοπούς, έχει το δικαίωμα να αναιρέσει τη συγκατάθεση του οποιαδήποτε στιγμή, να έχει πλήρη γνώση της επεξεργασίας αυτών, να διορθώσει τα δεδομένα που παρέχει, να διαγραφούν όλα τα δεδομένα που τον αφορούν είτε κατόπιν αίτησης είτε αυτόματα από την στιγμή της μη συναίνεσης του, να μεταφέρει τα δεδομένα του από κάποιο πάροχο σε κάποιο άλλο, να θεωρεί την προστασία αυτών κατά την τήρηση, επεξεργασία και διακίνηση δεδομένη, να καταγγείλει παραβίαση των δικαιωμάτων του. Όταν τα προσωπικά δεδομένα αφορούν παιδιά οι ρυθμίσεις είναι αυστηρότερες.

Προβλέπονται πρόστιμα έως 20.000.000 EUR ή έως το 4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιό είναι μεγαλύτερο. Ωστόσο πέρα από τα πρόστιμα προβλέπονται απο τον κανονισμό και μια σειρά μέτρων όπως η προειδοποίηση, επίπληξη, εντολή διακοπής επεξεργασίας κ.α.

Πρέπει να ακολουθηθεί μια διαδικασία που ξεκινάει από την λεγόμενη χαρτογράφηση δεδομένων που έχει ως σκοπό να εντοπίσει τι δεδομένα κρατάτε, ποιά η κατηγορία αυτών και τι εργασίες πραγματοποιείτε με αυτά ενώ ταυτόχρονα να εντοπίσει την ροή αυτών. Η καταγραφή της τρέχουσας κατάστασης και ο δρόμος προς την επιθυμητή που είναι η συμμόρφωση με τον κανονισμό πρέπει να προδιαγραφεί λεπτομερώς. Αυτή η διαδικασία περιλαμβάνει την ελαχιστοποίηση των δεδομένων που κρατάτε στα εντελώς απαραίτητα, στην διαμόρφωση της πολιτικής προσωπικού απορρήτου, στη κατάλληλη λήψη συναινέσεων για τις εργασίες που πραγματοποιείτε, στην εξασφάλιση της εμπιστευτικότητας εντός της εταιρείας σας και ο καθορισμός ρόλων σε σχέση με τα δεδομένα, στη προδιαγραφή, τον έλεγχο και την ανάπτυξη μηχανισμών προστασίας των δεδομένων κατά την αποθήκευση και διακίνηση τους, στην τεκμηρίωση των ενεργειών και των πολιτικών που ακολουθείτε για τη συμμόρφωση με τον κανονισμό.

Η τεκμηρίωση που πρέπει να τηρείται διαφέρει ανάλογα με την κλίμακα των επεξεργασιών που πραγματοποιείτε. Για παράδειγμα η μελέτη αντίκτυπου προστασίας δεδομένων και η τήρηση εγγραφών επεξεργασίας δεδομένων έχει προσδιοριστεί ότι δεν είναι απαραίτητες στη περίπτωση εταιρειών που πραγματοποιούν περιστασιακές επεξεργασίες. Ωστόσο σε κάθε περίπτωση πρέπει να υπάρχει μια ελάχιστη αλλά ικανή τεκμηρίωση που να αποδεικνύει τη συμμόρφωση που ενδεικτικά να περιλαμβάνει την πολιτική προστασίας δεδομένων, τη πολιτική συλλογής συγκαταθέσεων, την πολιτική τήρησης των δεδομένων, την καταγραφή των επεξεργασιών, την πολιτική αντιμετώπισης διαρροής δεδομένων κ.α.

Στις περιπτώσεις που εκτελείται μεγάλης κλίμακας επεξεργασία δεδομένων σε μόνιμη βάση χρειάζεται ο ορισμός Υπεύθυνου Προστασίας Δεδομένων - DPO είτε εσωτερικού είτε εξωτερικού της εταιρείας σας με σύμβαση, που θα έχει καθήκοντα που θα αφορούν την συνεχή σας συμμόρφωση με τον κανονισμό και που θα λογοδοτεί μόνο στη διοίκηση συμμετέχοντας στη λήψη αποφάσεων σχετικών με τα προσωπικά δεδομένα και την επεξεργασία και προστασία αυτών. 
 

Το όφελος δεν είναι μόνο για τα φυσικά πρόσωπα αλλά και για τις εταιρείες οι οποίες θα αποκτήσουν αυξημένη αξιοπιστία και θα προσελκύσουν περισσότερους πελάτες/συνεργάτες/χρήστες εμπνέοντας πλέον την εμπιστοσύνη, κάτι το οποίο αποτελούσε μείζων θέμα μέχρι τώρα και λειτουργούσε αποτρεπτικά. Ταυτόχρονα θα εξασφαλίσουν μια νέα αποτελεσματική οργάνωση των εσωτερικών τους διαδικασιών και θα εξασφαλίσουν γενικότερα την ασφάλεια και όχι μόνο των προσωπικών δεδομένων που διαχειρίζονται.

Δεδομένης της εφαρμογής του κανονισμού από την 25η Μαρτίου 2018 ο οποίος έχει νομοθετηθεί πιο πριν, ο κάθε υπόχρεος είναι ευάλωτος σε καταγγελίες και ελέγχους. Υπάρχουν παλαιότερα δεδικασμένα στην Ευρώπη που καλύπτονταν και από τον προηγούμενο κανονισμό που οδήγησαν εταιρείες στη καταβολή πολύ μεγάλων προστίμων επειδή για παράδειγμα χρησιμοποίησαν τα στοιχεία που τους είχαν δώσει φυσικά πρόσωπα για να πραγματοποιήσουν κάποια αγορά, για διαφημιστική καμπάνια στην οποία δεν είχαν συναινέσει. Συνεπώς πέρα από τα πολλά πρακτικά οφέλη της συμμόρφωσης σας, αυτή σας εξασφαλίζει την νομιμότητα και μηδενίζει τον κίνδυνο να βρεθείτε σε δυσάρεστη θέση.