GDPR不同于其前身《數據保護指令95/46/EC》，它不是一個指令而是一個法規。這意味著它將直接生效并且應用到歐盟所有的成員國，由此可縮短實施時間并確保實現一致性。如果您的公司無法符合GDPR, 就可能面臨高達全球營業額的4%或2000萬歐元的行政處罰（取兩者之一更高）。
面對國內外日益完善的個人隱私立法，企業如何才能做到合規？SGS憑借全球資源對歐盟GDPR以及各國個人數據、隱私保護法規、標準的進行解讀，積累了一定的研究成果。
《通用數據保護條例》(GDPR)于2016年4月27日在歐盟官方刊物上發表。暫緩期為二年，
于2018年5月25日正式生效。
GDPR旨在:
確立個人數據的保護是人權；
定義個人數據保護的原則和規章；
加強產品或服務提供者與他們所服務的人之間的信任。
GDPR的核心內容是確立在處理個人資料的七項個人權利。任何正在處理這些數據的組織都需要確保這些權利得到保護。處理在GDPR中被定義為任何自動或手動操作，如收集、記錄、組織、結構、存儲、調整或變更、檢索、咨詢、使用、傳輸披露、傳播或以其他方式提供、排列或組合、限制、刪除或銷毀。（如下圖）
| 數據權利 | 描述 | 例子 |
| 訪問權 | 允許個人索取本人資料的副本 | 銀行客戶有權請求個人數據記錄的副本，包括地址，電話等。 |
| 糾正權 | 允許個人更改本人信息 | 寬帶客戶有權要求ISP提供持有的信息，以更新他的聯系電話。 |
| 刪除權 | 允許個人刪除本人信息 | 一位美容店的顧客有權要求他的信息被刪除，因為他不再是商店會員或顧客，因此他不會被要求進行新的促銷活動。 |
| 限用權 | 除非法律相關需求，允許個人禁止本人信息被使用 | 建筑師有權要求他的前任雇主投標時不使用他的簡歷，但他可保留他的名字在舊記錄上，以記錄法律責任。 |
| 可攜權 | 允許個人將本人信息從一個機構帶到另一個機構 | 保險客戶有權要求將其個人資料轉移到另一家保險公司，如果該行業存在一種通用的電子格式，保險公司也應提供該通用電子格式的記錄。 |
| 拒絕權 | 允許個人拒絕直接營銷或類似的目的 | 使用電子郵件推行業務的營銷公司應提供”退訂“鏈接。 |
| 干預權 | 禁止控制者或處理者在未經明確同意的情況下自動對任何人進行評估 | 社交網絡在分析用戶行為之前，應征求 提供有針對性的廣告的明確同意。 |
GDPR包含以下內容:
組織的需求（歐盟代表處，數據保護主任，同意記錄之存檔，合同要求等）；
個人的7個數據權利；
認證方案；
成員國監督；
建立歐盟數據保護委員會；
其他法律程序。
為了應對及符合GDPR，您應立即：
1. 任命一名數據保護主任。（第三十七條）
2. 培訓您的員工。（第四十七條）
3. 識別在您的組織的個人資料及相關處理活動。（第三十條）
4. 確定個人的7個數據權利的處理方案。（第15-22條）
5 .確定您的公司在歐盟的主要辦事處，從而確定帶頭的監督機構。（第四條）
6. 如果您沒有在歐盟設立任何機構，您仍然需要一個駐歐盟代表（第二十七條）。然而，在這種情況下，從歐盟第二十九條數據保護工作組的澄清文件wp244點2.2中，將沒有帶頭的監督機構。然后公司將需要遵守所有適用的監督機構的規定。
7. 證明合規。（第5.2、24.3條）
信息提交成功