В першу чергу нове законодавство вимагає від технологічних компаній (таких як Facebook чи Google), які зберігають та обробляють великі обсяги інформації користувачів з ЄС, більшої відкритості щодо того, які саме дані вони збирають та кому їх передають. Мешканці ЄС також отримають більше контролю над своєю особистою інформацією. Один з пунктів GDPR передбачає, що не можна публікувати знімки третіх осіб без їх прямої згоди.

Як пояснюється на сайті комісара з питань захисту інформації та даних, якщо фотограф робить знімок сторонньої людини в публічному місці й використовує його лише в особистих цілях, до нього не застосовуватимуться Положення про загальний захист даних. Водночас якщо він його опублікує в онлайні, цей випадок вже регулюватиметься GDPR. Однак, кожен окремий випадок має розглядатися окремо, з урахуванням таких критерії: чи був знімок зроблений в публічному місці, чи людина на фото є публічною особою, чи публікація була зроблена заради інтересів громадськості, чи знімок був зроблений під час публічного заходу.

Офіс комісара з питань захисту інформації та даних радить розмивати обличчя людей на знімках, якщо фотограф хоче їх використати в публікації або в комерціних цілях, однак не може отримати згоди від усіх людей, зображених на знімках.

Законодавство передбачає, що герой знімка може відкликати свою згоду на його публікацію, надавши обґрунтоване пояснення. Люди також можуть надіслати відповідний запит фотографу, якщо хочуть, аби після публікації фото з ними було видалене.

Раніше цю галузь регулював Закон про захист даних й у ньому передбачався виняток для фотожурналістики та мистецької фотографії. Винятки для журналістів та митців передбачені й в GDPR, але їх кожна країна-член ЄС визначатиме самостійно.

Окрім того, медіа мають отримати прямий дозвіл від своїх читачів на контакт з ними, наприклад, на відправку їм повідомлень або сповіщень. Так само потрібна згода на збір та обробку даних читачів. У них також має бути можливість переглянути усі надані ними дозволи та відредагувати їх - наприклад, за допомогою окремої сторінки чи центру з налаштувань.

Користувачі також можуть отримати від медіа всю інформацію, зібрану про них, та надіслати запит на її видалення. На надання даних у видань буде місяць й вони мають бути надіслані в зручному та зрозумілому форматі.

Видання також мають протягом 48 годин повідомляти своїм читачам про витоки даних - від хакерських атак до випадкового зливу інформації через недбалість.

Раніше Марк Цукерберг похвалив запровадження GDPR, але водночас соцмережа Facebook вирішила перенести дані 1,5 млрд користувачів аби ухилитися від дії цього законодавства.