De General Data Protection Regulation dekt onder meer het recht om vergeten te worden, waarbij irrelevante persoonlijke data moet worden verwijderd, en om gegevens tussen diensten onderling uit te wisselen zoals e-mail. Ook moeten EU-burgers beter worden geïnformeerd over de verwerking van hun persoonsgegevens en het privacy-beleid van bedrijven die in het bezit komen van zulke data.
Nationale lidstaten krijgen verder meer bevoegdheden om bedrijven die handelen in strijd met de nieuwe wetgeving beter aan te pakken. Boetes kunnen oplopen tot vier procent van de jaaromzet.
Het EP bepaalde tevens dat bedrijven een 'Data Protection Officer' moeten aanstellen om data beter te kunnen beschermen. In een reactie sprak de Europese Commissie van een historische prestatie en toonde zich tevreden met het resultaat.
Volgens de Commissie verzekert de nieuwe wetgeving het fundamentele recht op databescherming. Ook noemde zij de wetgeving een belangrijke stap richting de Digital Single Market. Voor de invoering van de General Data Protection Regulation staat twee jaar.
