De wetgeving brengt een aantal specifieke veranderingen voor bedrijven met zich mee, waarvan de belangrijkste de financiële gevolgen van niet-naleving zijn.
Invoering van aanzienlijke boetes
Niveau één: tot €10 miljoen of tot 2% van de wereldwijde jaaromzet van de moederonderneming, afhankelijk van het hoogste bedrag.
Niveau twee: tot 20 miljoen euro of tot 4% van de wereldwijde jaaromzet van het moederbedrijf, afhankelijk van welk bedrag het hoogst is.
Het recht om gegevens te wissen
Als een persoon niet langer wenst dat zijn gegevens worden verwerkt en er geen legitieme redenen zijn om ze te bewaren, moeten de gegevens worden gewist. De verantwoordelijkheid ligt bij de databeheerders om te bewijzen dat zij de gegevens nodig hebben, niet bij de betrokkene.
Verplichte melding van een datalek
Organisaties zijn nu verplicht om een datalek te melden aan de commissaris voor gegevensbescherming binnen 72 uur na het ontdekken van de schending.
Overdraagbaarheid van gegevens
De verordeningen stellen het recht voor dat betrokkenen hun persoonsgegevens in een algemeen gebruikt elektronisch formaat kunnen overdragen van de ene gegevensbeheerder naar de andere zonder dat de oorspronkelijke beheerder hen hindert.
Privacy by design
Dit is een van de kernideeën van de nieuwe regelgeving, die tot doel heeft de algemene houding en planning van organisaties ten opzichte van gegevensbescherming te veranderen. Artikel 23 bepaalt dat gegevensbescherming moet worden geïntegreerd in de ontwikkeling van bedrijfsprocessen, zodat privacy vanaf het begin van een project een aandachtspunt is.
Aanstelling van een Data Protection Officer (DPO) - Functionaris voor de Gegevensbescherming (FG)
Een organisatie moet een functionaris voor gegevensbescherming aanstellen voor bepaalde activiteiten, zoals grootschalig toezicht op individuen of de verwerking van gegevens van bijzondere aard. Zelfs wanneer dit niet nodig is, is het toch raadzaam een functionaris voor gegevensbescherming aan te stellen met kennis van informatiebeveiliging en inzicht in de wetgeving inzake gegevensbescherming.
