De AVG bevat een aantal nieuwe verplichtingen.

De verwerking van persoonsgegevens moet voldoen aan een aantal beginselen. Bij het ontwerpen van producten en diensten dien je de bescherming van de gegevens te waarborgen (privacy by design). Je mag bijvoorbeeld niet meer gegevens verzamelen dan noodzakelijk voor het doel van de verwerking. Gegevens mogen niet langer bewaard worden dan nodig. Verder moet je technische en organisatorische maatregelen treffen om ervoor te zorgen dat je alleen gegevens verwerkt die noodzakelijk zijn voor het doel dat je wilt bereiken (privacy bij default). Op de website mag bijvoorbeeld het vakje ‘ja, ik wil aanbiedingen ontvangen’ niet standaard aangevinkt zijn.

Ook heb je de verplichting om met partijen, die voor jou deze gegevens verwerken, een verwerkingsovereenkomst af te sluiten. Deze partijen dienen zich ook te houden aan de AVG. Verantwoordelijk is degene die het doel en de middelen van de verwerking vaststelt. De verwerker voert de verwerking uit voor de verantwoordelijke. Grote partijen zullen vaak in algemene voorwaarden bepalingen opnemen waarin staat dat zij zich zullen houden aan de AVG. Verder is het van belang om een verwerkingsregister bij te houden. In dit register houd je onder andere bij welke persoonsgegevens je verwerkt. Ten slotte kan de verplichting bestaan een Data Protection Impact Assessment (DPIA) uit te voeren wanneer de gegevensverwerking mogelijk een hoog privacyrisico oplevert. Of dat zo is, moet je zelf (laten) inschatten.