• Consimtamantul (Consent): Regulile priving consimtamantul se vor schimba acesta va fi obligatoriu explicit si specific pentru operatiunea de procesare – consumatorul trebuie sa actioneze pentru consimtamant, opusul  – si in acelasi timp limitat/proportional cu scopul procesarii (nu poti cere consimtamantul pentru orice fel de procesare, acesta trebuie sa fie clar si limitat/proportional cu tipul de date/tipul de procesare). In principiu controlorii de date nu pot colecta si procesa mai multe date decat pentru ce este nevoie in scopul declarat si legal al procesarii.
• Validitatea consimtamantului: Consimtamantul poate fi retras, trebuie sa fie liber, valid, informat si pro-activ. GDPR aduce un set de conditii pentru validitatea consimtamantului ce includ si lipsa de echilibru in pozitii.
• Consimtamantul pentru copii: Pt persoanele sub 16 ani (dar nu sub 13 ani – decizie a statelor member) nu poate fi obtinut consimtamantul direct.
• Profiling: In cazul in care consumatorul este supus unor decizii automate fara efect legal – sau fara un efect similar al efectelor legale (in cazul angajarii, asigurari, etc.) consumatorul trebuie sa se poata opune acestor decizii si sa obtina interventia unui operator uman. In cazul in care efectele procesarii sunt efecte legale sau semnificative, procesarea pt profiling trebuie sa se bazeze pe consimtamantul consumatorului.
• Direct Marketing: GDPR permite procesarea pentru direct marketing atat timp cat consumatorul beneficiaza de un system opt-out.
• Documentare: GDPR cere documentarea operatiunilor de procesare.
• Responsabilitati: In cazul in care controlorul lucreaza cu procesatori, controlorul are responsabilitatea sa se asigure ca procesatorii au mijloacele necesare pentru a respecta prevederile legale.
• Responsabil pt protectia datelor: In cazul in care operatiunile de procesare includ  procesarea de date sensibile sau in cazul care procesarea implica monitorizarea unui numar mare de subiecti, companiile sunt obligate sa numeasca un responsabil pentru protectia datelor.
• Interesul legitim: Una din cele 6 baze legale pentru procesarea datelor este interesul legitim. Acesta poate fi folosit pentru procesare si de catre terti.
• Risky processing: In principiu este interzisa prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice. GDPR prevede un numar de scenarii unde procesarea de astfel de date este permisa, cu un numar de precautii. In unele cazuri controlorul de date trebuie sa consulte chiar si publicul cu privire la efectul operatiunilor inainte de a procesa datele.
• Codul de conduita:  GDPR permite ca site-urile sa foloseasca metode alternative de informare cum ar fi icons. In acelasi timp GDPR se bazeaza pe coduri de bune practici care pot fi dezvoltate de asociatii cum ar fi ARMO.
• Incidente: Operatorii sunt obligati sa tina un jurnal al incidentelor in urma carora datele (siguranta si integritatea) ar fi putut fi compromise. In unele cazuri exista o obligatie de a raporta aceste incidente autoritatilor si consumatorilor in 72 de ore.