Profilowanie (akapit 58)
Profilowanie prowadzące do działań wywołujących skutki prawne dotyczące podmiotów, których dotyczą dane oraz wpływających znacząco na ich prawa, wolności i interesy jest dozwolone jedynie jeśli przewidują to przepisy prawa, jeśli wynika to ze sposoby wykonania umowy lub w przypadku wyrażenia wyraźnej zgody przez podmiot, którego dane dotyczą, a ponadto zastosowane zostaną przy tym odpowiednie zabezpieczenia. Rozporządzenie zakłada, że profilowanie oparte wyłącznie na przetwarzaniu informacji napisanych pod pseudonimem nie będzie znacząco wpływać na prawa, wolności i interesy podmiotu, którego informacje dotyczą.

Odpowiedzialność solidarna podmiotów przetwarzających dane osobowe (artykuł 73)
Osoba będzie miała prawo do dochodzenia odszkodowania od administratora lub podmiotu przetwarzającego dane, jeśli dozna szkody w wyniku niezgodnego z prawem przetwarzania danych. Jeśli przetwarzaniem danych zajmować się będzie więcej niż jeden administrator lub podmiot przetwarzający, wówczas będą oni odpowiadać solidarnie za całą szkodę, chyba że będą dysponować pisemnym porozumieniem określającym zakres ich odpowiedzialności (zgodnie z artykułem 24). Przy zawieraniu umów delegujących zadania w zakresie przetwarzania danych będzie zatem istotne z punktu widzenia podmiotu przetwarzającego dane, by jasno określić zakres odpowiedzialności każdej ze stron.

Podwyższone sankcje w wysokości do 100 milionów euro lub do 5% rocznego globalnego obrotu (artykuł 79) – za uchybienie przepisom Rozporządzenia przewidziane zostało zastosowanie jednej z następujących sankcji:
•    pisemne ostrzeżenie (za pierwsze i niezamierzone uchybienie),
•    regularne kontrole,
•    kara w wysokości do 100 milionów Euro lub do 5% rocznego globalnego obrotu w przypadku przedsiębiorstwa – wybrana zostanie wyższa wartość. (Komisja proponowała karę do 2% rocznego globalnego obrotu).
Zastosowanie jednej z powyższych sankcji jest obligatoryjne, niemniej jednak przewidziano szereg okoliczności łagodzących, które należy wziąć pod uwagę przy ustalaniu, którą sankcję zastosować. Zaliczają się do nich natura, waga oraz długość trwania nieprawidłowości, powtarzalność uchybień, stopień współpracy z organem nadzorującym w celu usunięcia nieprawidłowości i zminimalizowania ich skutków oraz kategorie danych osobowych naruszonych w wyniku uchybień. Jeśli administrator lub podmiot przetwarzający dane znajduje się w posiadaniu ważnej Europejskiej Pieczęci Ochrony Danych, kara jest stosowana tylko w wypadkach zamierzonego naruszenia prawa lub niedbalstwa.
Kolejne kroki
Rada Unii Europejskiej odbyła w grudniu 2013 r. posiedzenie, na którym ministrowie wyrazili swoje obawy co do regulacji odnoszącej się do organu wiodącego. Dopiero po uzyskaniu akceptacji Rady Unii Europejskiej, Parlament Europejski i Komisja będą mogły rozpocząć negocjacje, które być może doprowadzą do zatwierdzenia ostatecznej wersji tekstu rozporządzenia przed wyborami do Parlamentu Europejskiego w maju 2014 r. i  przyjęcia nowej regulacji w 2015 r.
Mając na uwadze powyższe, firmy miałyby około 2 lat na przygotowanie się do wejścia w życie nowych przepisów. Co prawda tekst rozporządzenia nie jest ostateczny i prawdopodobnie ulegnie jeszcze zmianom, niemniej jednak pewne zawarte w projekcie podstawowe zasady pozostaną niezmienione lub zostaną zmienione w sposób nieznaczny do czasu uzyskania przez rozporządzenie mocy obowiązującej. Wskazane jest by firmy zaczęły przygotowywać się na wejście w życie zmian przewidzianych w projekcie rozporządzenia i skutki nowych regulacji.