Преди 2018 година защитата на личните данни в Европа се крепеше на директива от 1995 година. Директивата не беше пряко приложима: всяка държава я пренасяше със свой закон и резултатът беше двадесет и осем различни режима. Трансграничните услуги — социални мрежи, онлайн магазини, облачни архиви — работеха едновременно в няколко от тях и трябваше да спазват различни правила за едно и също обработване. Регламентът, приет през април 2016 година, смени подхода: един текст, който се прилага пряко и оставя на националните закони само ограничен кръг въпроси.
Българският Закон за защита на личните данни е от 2001 година и е изменен съществено през 2019 година, за да се синхронизира с регламента. Промените уредиха възрастта, от която непълнолетен може сам да даде съгласие за услуги на информационното общество, правилата при видеонаблюдение и реда, по който Комисията за защита на личните данни упражнява правомощията си. Комисията е независим държавен орган, чиито решения подлежат на съдебен контрол. Тя не само налага санкции: издава задължителни указания, одобрява кодекси за поведение и може временно да забрани обработване, ако то застрашава правата на хората.
Регламентът работи с точни понятия и неточното им използване е причина за голяма част от грешките. Администратор е този, който определя целите и средствата на обработването; обработващ е този, който действа по поръчка — счетоводна къща, куриерска фирма, доставчик на облачен сървър. Специални категории данни — за здравословно състояние, религия, политически възгледи, биометрия — са забранени за обработване, освен при изрично изброени изключения. Псевдонимизацията намалява риска, но не прави данните анонимни: щом ключът към тях съществува някъде, те остават лични.