Rozporządzenie (UE) 2016/679 stosuje się od 25 maja 2018 roku. O jego zasięgu decyduje art. 3, a nie miejsce rejestracji spółki: obejmuje przetwarzanie w związku z działalnością jednostki organizacyjnej w UE oraz przetwarzanie przez podmioty spoza Unii, jeżeli oferują towary lub usługi osobom w Unii albo monitorują ich zachowanie. Firma bez europejskiej spółki może więc podlegać przepisom w pełnym zakresie.
Każda operacja przetwarzania musi przejść dwa odrębne testy. Musi respektować zasady z art. 5 — zgodność z prawem, rzetelność i przejrzystość, ograniczenie celu, minimalizację danych, prawidłowość, ograniczenie przechowywania oraz integralność i poufność — a także opierać się na jednej z sześciu podstaw prawnych z art. 6. Wybór podstawy nie jest formalnością: zgodę można wycofać, prawnie uzasadniony interes wymaga udokumentowanego testu równowagi, a od podstawy zależy, z których praw może skorzystać osoba, której dane dotyczą.
Obowiązki wynikają z roli. Administrator decyduje o celach i sposobach przetwarzania; podmiot przetwarzający działa na udokumentowane polecenie na podstawie art. 28; współadministratorzy z art. 26 muszą uzgodnić i udostępnić podział odpowiedzialności. Błędne ustalenie roli jest błędem strukturalnym, a nie formalnym: obowiązek rozliczalności z art. 5 ust. 2 spoczywa wtedy na niewłaściwym podmiocie.
Egzekwowanie prowadzą krajowe organy nadzorcze, w Polsce Prezes Urzędu Ochrony Danych Osobowych, skoordynowane mechanizmem kompleksowej współpracy i działaniami Europejskiej Rady Ochrony Danych. Art. 83 ust. 2 ustanawia jedenaście kryteriów wymiaru kary, w tym wagę i czas trwania naruszenia, jego umyślność oraz zakres współpracy organizacji. Dlatego udokumentowane decyzje mają znaczenie także wtedy, gdy coś poszło źle.
