Den nye loven viderefører langt på vei de gamle reglene om personvern, men inneholder også mye nytt. Her er noe sentrale nyheter:
- Det er kun tillatt å behandle personopplysninger der det finnes et tydelig og spesifisert formål. Hvis opplysningene skal benyttes til noe annet enn det opprinnelige formålet, da må det innhentes samtykke fra den som personopplysningene gjelder, med mindre behandlingen har lovhjemmel.
- Behandlingsansvarlige utenfor EU/EØS-området er bundet av GDPR ved salg av varer og tjenester innenfor EU/EØS området. Dette gjelder også behandlingsansvarlige utenfor området som overvåker borgere innenfor EU/EØS.
- De nasjonale datamyndighetene plikter å samarbeide med hverandre og skal utveksle informasjon i aktuelle saker.
- Nasjonale datamyndigheter får adgang til å ilegge sanksjoner ved brudd på GDPR. Gebyret kan utgjøre inntil fire prosent av virksomhetens årlige, globale omsetning.
- Rettsvernet for enkeltpersoner er styrket ved innføring av: Rett til å klage på automatiserte avgjørelser basert på personlige profiler, rett til å motsette seg profilering for direkte markedsføring, rett til å nekte utarbeidelse av profiler basert på sensitive persondata med mindre det er gitt samtykke/ foreligger lovhjemmel.
- Personvernombudet får en mere sentral posisjon og reglene vil også gjelde for databehandlere. Offentlige virksomheter, virksomheter som behandler sensitive personopplysninger i stor skala og virksomheter som overvåker EU/EØS borgere skal ha personvernombud.
- Virksomhetene som behandler persondata får større ansvar: Plikt til å vurdere personvernkonsekvensene og identifisere risikoreduserende tiltak. Det er nå lovpålagt med såkalt “innebygd personvern” og personvern som standardinnstilling i alle applikasjoner.
- Kravene til personvernerklæring blir skjerpet: informasjonen om behandlingen må gis på en klar og tydelig måte og det må fremgå tydelig hvilke opplysninger som registreres. Den behandlingsansvarlige skal sikre seg at all utveksling av elektronisk informasjon bare skjer med rette vedkommende.
- Ved avvik er rapporteringsplikten til Datatilsynet utvidet i forhold tidligere regler.
- Rett til dataportabilitet: når behandlingsgrunnlaget er samtykke/avtale kan den registrerte kreve at persondata overføres til annen behandlingsansvarlig
