El RGPD determina la obligación de aplicar medidas técnicas y organizativas para proteger los derechos de las personas cuyos datos personales están en poder de la empresa. Una medida técnica (informática) que hace pocos años era privativa de grandes organizaciones (por precio) es la seguridad informática perimetral.
Una piedra angular de la protección de datos personales es que el titular de los datos esté informado de quién los tiene y qué hace con ellos. Labor que, al menos para la mayoría de agentes económicos y sociales, es relativamente fácil de asumir.
La responsabilidad sobre los datos personales se mantiene al contratar servicios externos, si hay comunicación de esos datos. Una situación ya presente en la anterior directiva. El Encargado de Tratamiento, no obstante, tiene sus propias y relevantes obligaciones.