Základom je vedieť, ktoré údaje sú podľa GDPR nariadenia osobnými. Zjednodušene sú to všetky údaje o fyzickej osobe, na základe ktorých túto možno priamo či nepriamo identifikovať. Okrem mena, priezviska, dátumu narodenia, adresy či čísla občianskeho preukazu je osobným údajom tiež odtlačok prsta, hlas, údaj fyzickej osoby o jej zdravotnom stave, konkrétne tetovanie, mailová adresa, IP adresa, lokalizačné údaje, cookies či on-line identifikátor.
Viaceré administratívne povinnosti spojené so spracúvaním osobných údajov sa prevádzkovateľom vrátane e-shopov zrušujú, napr. oznamovacia povinnosť, evidenčná povinnosť či povinnosť osobitnej registrácie. Sú však nahradené novými inštitútmi, ktoré stanovujú potrebu najmä materiálneho zabezpečenia súladu spracúvania osobných údajov s právnymi predpismi. Spočívajú predovšetkým v prijatí nových opatrení, ktoré zaistia bezpečnosť osobných údajov pred ich zneužitím či inými rizikami spojenými s ich spracúvaním.
GDPR 2018 prináša tiež povinnosť oznámiť Úradu na ochranu osobných údajov každé narušenie ochrany osobných údajov, a to do 72 hodín od okamihu, od ktorého sa o tom spracúvateľ dozvie. Pokiaľ bude v dôsledku narušenia ochrany vysoká pravdepodobnosť zneužitia údajov, spracúvateľ to bude musieť oznámiť i konkrétnym osobám, ktoré údaje poskytli.