Rozporządzenie nakłada na Przedsiębiorców obowiązek samodzielnej weryfikacji i oceny zagrożeń wynikających z przetwarzania danych osobowych, oraz zaplanowania i wdrożenia odpowiednich zabezpieczeń technicznych i organizacyjnych mających stanowić gwarancję ochrony na poziomie właściwym dla ryzyka związanego z tym przetwarzaniem.

Wśród długiej listy zmian można wyróżnić: obowiązek retencji danych, obowiązek ochrony danych w fazie projektowania, obowiązek przestrzegania zasad proporcjonalności, minimalizacji przetwarzania, przejrzystości, rozliczalności, oraz obowiązek informacyjny wynikający z szeregu nowych uprawnień osób fizycznych w związku z przetwarzaniem danych osobowych, takich jak prawo żądania usunięcia danych, cofnięcia zgody na przetwarzanie, czy też ograniczenia przetwarzania.