Przepisy weszły już w życie. Będą stosowane od 25 maja 2018 roku.
Zaostrzają uregulowania dotyczące ochrony danych osobowych (państwa UE będą mogły zwiększyć ochronę, ale nie będą mogły złagodzić przepisów).
Ujednolica się przepisy w obrębie państw członkowskich (wszystkie państwa będą miały ten sam reżim prawny).
Pojawia się definicja danych biometrycznych. Odciski palców, skan siatkówki oka, a w niektórych przypadkach wizerunek twarzy stają się danymi wrażliwymi.
Za zaniechania w tej mierze przewidziane są potężne kary pieniężne – do 20 mln euro, a w przypadku przedsiębiorstw do 4% rocznego obrotu.
Rozporządzenie nie przewiduje przepisów przejściowych. 25 maja 2018 roku należy mieć wszystko dopięte na ostatni guzik.
                                                  
Co się zmienia dla przedsiębiorcy?
 
Sam wybiera, w jaki sposób zapewni bezpieczeństwo danych osobowych przetwarzanych w firmie, np. danych osobowych klientów (do tej pory kierowano się sztywnymi regułami dotyczącymi np. długości hasła i częstotliwości jego zmiany. „Gotowce”- politykę ochrony danych osobowych czy instrukcję zarządzania systemem informatycznych można wyrzucić do kosza).
W niektórych sytuacjach stanie się konieczne konsultowanie swoich decyzji z GIODO.
Należy oszacować ryzyko związane ze zbieraniem danych osobowych (przedsiębiorca sam musi zdecydować czy dokumenty będą bardziej bezpieczne w szafie na klucz, czy w pancernym sejfie z hasłem)
Obowiązuje zasada minimalizacji danych. Im więcej się ich zbiera, tym dokładniej należy wytłumaczyć, dlaczego się to robi.
Zwiększają się obowiązki przedsiębiorcy. Musi on poinformować klienta nie tylko o tym, kim jest,w jakim celu przetwarza dane i komu je przekazuje, ale także między innymi o tym, czy powołał Inspektora Ochrony Danych, czy stosuje profilowanie oraz że na jego działanie przysługuje skarga do GIODO.
Niektóre instytucje muszą powołać Inspektora Ochrony Danych. Są to instytucje publiczne lub podmioty, które monitorują na dużą skalę lub te, które przetwarzają na dużą skale dane wrażliwe, czyli informacje o stanie zdrowia, dane biometryczne, dane o preferencjach seksualnych itd.
 
Co się zmienia dla klienta?
 
Łatwiej walczy o swoje prawa. Niezależnie od tego w jakim kraju UE dochodzi do naruszenia przepisów o ochronie danych osobowych, może zwrócić się w tej sprawie do rodzimego GIODO.
Może przenieść swoje dane np. z Facebooka do LinkedIn, z jednego banku/ e-sklepu do drugiego.
Prawo do bycia zapomnianym działa po nowemu. Można żądać od administratora usunięcia danych, a jeśli udostępnił on informacje innym podmiotom, obowiązek dopilnowania, aby i oni usunęli dane spoczywa na pierwszym administratorze.
Każdy ma prawo wiedzieć o tym, że jego dane wyciekły.
Zwiększa się ochrona młodych użytkowników Internetu. Rodzic musi wyrazić zgodę na to, aby jego dziecko poniżej 16 roku życia zarejestrowało się na portalu lub w aplikacji, na Facebooku czy w e-sklepie.