미국에 본사를 둔 A사는 어린이용 게임을 온라인으로 서비스하는 기업으로 유럽 지역에는 아무런 연고도 없다. 하지만 유럽연합의 학부모나 어린이도 자유롭게 A사의 온라인 게임을 이용할 수 있다. 이 회사는 GDPR의 적용을 받을까? 대답은 ‘그렇다’이다. 한국의 대표적인 포털 사이트인 네이버나 다음카카오 같은 사이트도 마찬가지다.
--- 「01 GDPR, 적용 대상과 범위」 중에서

‘정보 주체의 권리’라는 별도의 장이 신설된 데서 잘 드러나듯, GDPR는 정보 주체(개인)에게 사상 유례를 찾아보기 어려울 만큼 폭넓은 권리를 보장한다. 이전의 개인정보보호지침과 비교해 어떤 권리가 추가되거나 확장되었는지 검토한다. GDPR가 명시한 주요 권리는 정보를 제공받을 권리, 정보 열람의 권리, 정보 정정의 권리, 개인 정보의 삭제를 요구할 권리, 개인 정보의 이전과 처리 제한을 요구할 권리, 개인 정보 처리에 반대할 권리, 자동화된 의사 결정에 이의를 제기할 권리 등이다.
--- 「04 정보 주체의 권리」 중에서

개인 정보 보호 분야에서 ‘책임성’이 새로운 개념은 아니다. 이전의 개인 정보 법규들도 그와 관련된 여러 요구 사항들을 명문화했다. 그러나 GDPR는 기관을 개인 정보 처리자와 수탁 처리자로 구분해 명확한 책임을 부여하는 한편, 개인 정보 처리의 6대 원칙을 제시하고, 그러한 원칙을 준수해야 한다는 입증 책임도 묻고 있다.
--- 「06 기업과 기관의 책임」 중에서

이전의 개인정보보호지침과 비교해 GDPR에서 가장 두드러진 변화 중 하나는 법 집행과 규제, 그리고 법적 책임(liability)과 관련된 내용이다. 무엇보다 유럽연합 개별 회원국의 개인 정보 감독 기관이 중요한 권한을 행사할 수 있게 되었다. 고소인은 자신이 속한 나라의 법원에 제소할 수 있고, 물적 피해를 증명하지 않고도 보상을 받을 수 있다.