Henkilötietojen käsittelyn on aina perustuttava lailliseen oikeusperusteeseen, joista rekisteröidyltä saatu suostumus ja tarpeellisuus sopimuksen tuottamiseen ovat yleisimmät.

Erityisiä henkilötietoryhmiä ovat mm. rotu ja etninen alkuperä tai ammattiliiton jäsenyys. Tällaisia henkilötietoja saa käsitellä ainoastaan tämän artiklan listaamissa tilanteissa.

Jos vaikutustenarvioinnissa todetaan suunnitellun henkilötietojen käsittelyn aiheuttavan korkean riskin, eikä rekisterinpitäjä ole toteuttanut toimenpiteitä riskin pienentämiseksi, rekisterinpitäjän on ennen henkilötietojen käsittelyä kuultava valvontaviranomaista.

GDPR-asetus velvoittaa jäsenvaltioita, valvontaviranomaisia, tietosuojaneuvostoa sekä komissiota edistämään käytännesääntöjen laatimista, jotka voivat helpottaa esimerkiksi eri kokoisten ja eri alojen organisaatioita soveltamaan tätä asetusta asianmukaisesti.

Tätä asetusta valvovasta viranomaisesta käytetään nimitystä valvontaviranomainen. Valvontaviranomaiset pyrkivät vaikuttamaan asetuksen yhdenmukaiseen soveltamiseen koko unionissa. Kukin jäsenvaltio on vastuussa siitä, että yksi tai useampi viranomainen nimetään tähän tehtävään.

Valvontaviranomaisen työhön ei saa vaikuttaa ulkopuolelta ja heille on taattava tarpeelliset resurssit, jotta he voivat hoitaa tehtävänsä ja käyttää valtuuksiaan tämän asetuksen mukaisesti.

Tarkempia edellytyksiä valvontaviranomaisen nimittämiselle, erottamiselle pätevyydelle sekä toimintakaudelle.

Jäsenvaltion lainsäädännössä on säädettävä valvontaviranomaisen perustamisesta, mm. kelpoisuusehdoista, nimitysmenettelyistä sekä toimikausien kestosta.

Jäsenvaltioiden on vahvistettava tehokkaat säännöt asetuksen rikkomisesta etenkin niille osille, joihin ei artiklan 83 nojalla sovelleta hallinnollisia sakkoja.