Az új uniós szabályozás kiterjed minden olyan hatóságra, gazdasági társaságra és szervezetre, amely az EU-ban tartózkodók személyes adatait kezeli vagy feldolgozza.
Jelentősen bővíti a személyes adatok körét, ezekhez sorolja a többi között a nevet, a születési és egészségügyi adatokat, a bankszámlaszámot, a jövedelmet, a helymeghatározó adatot (GPS), az e-mail-címet, a vállalati és magántelefonszámot, a levelezési címet, de akár egy IP-címet is. Az új rendelet megerősíti a személyes adatok törlésének jogát: ha valaki már nem szeretné, hogy adatait a továbbiakban feldolgozzák, és az adott szervezetnek nincs alapos indoka azok tárolására, akkor a szervezetnek törölnie kell a kérdéses adatokat rendszeréből. A szervezetek kötelesek a lehető legvilágosabb, legérthetőbb tájékoztatást adni a személyes adatok felhasználásának módjáról.
Azoknak az intézményeknek, amelyek nagy tömegben, automatizáltan kezelnek személyes adatokat - például a bankok, biztosítók, egészségügyi, valamint informatikai szolgáltatók -, és azoknak, amelyek különlegesen érzékeny személyes adatokat - politikai nézet, szakszervezeti tagság, szexuális irányultság - kezelnek, adatvédelmi felelőst kell kinevezniük. Ő felel a megfelelő adatvédelmi rendszer működtetéséért és az adatok védelméért.
A rendelet előírásainak megszegése esetén a kiszabható bírság akár a 20 millió eurót vagy a cégcsoport teljes, globális forgalmának 4 százalékát is elérheti.
