Två vanliga rättsliga grunder företag använder vid behandling av personuppgifter är samtycke eller avtal, men samtycke är inte alltid giltigt.

Enligt GDPR gäller principen om lagringsminimering och företag ska radera personuppgifter utan onödigt dröjsmål vid begäran.

Det är inte tillåtet med muntliga personuppgiftsbiträdesavtal enligt GDPR. Ett personuppgiftsbiträde kan bli betalningsskyldig.

Enligt GDPR ska ett företag ge ut information till en registrerad som begär det om vilka personuppgifter som företaget behandlar om denne.

Varför kreditkortsnummer inte är en känslig personuppgift enligt GDPR är för att inga personuppgifter om ekonomi är känsliga personuppgifter.

Enligt GDPR, är det striktare regler om personuppgifter förs till tredje land vilket sker när de förs till ett land utanför EU/EES-länderna.

IMY (Integritetsskyddsmyndigheten) har befogenhet att tilldela företag sanktionsavgifter för att inte följa GDPR.

Företag behöver göra en konsekvensbedömning vid hantering av personuppgifter. I vissa fall, kan företaget behöva samråda med IMY.

Det kan vara tillåtet att hantera personuppgifter & kontrollera ålder på en användare på digitala plattformar såsom sociala medier.