Antes de processar os dados pessoais de qualquer cidadão, as empresas deverão receber um “claro e afirmativo” consentimento dos donos dessas informações. A permissão tem de ser pedida antes de o serviço ser usado e começar a coletar dados.
Os donos de dados pessoais passam a ter o direito de transferir suas informações de um serviço conectado para outro, sem sofrer qualquer restrição por parte da empresa atual. Isso deve ocorrer de forma similar à portabilidade de número de celular, em que é possível manter a mesma linha mesmo mudando de operadora de telefonia. As empresas têm de criar meios para clientes baixarem um pacote com todas os dados armazenados por ela. Facebook e Google já tinham canais para isso, mas o WhatsApp foi obrigado a criar o seu.
As empresas passam a ser obrigadas a avisar clientes de seus serviços todas as vezes que tiverem seus servidores comprometidos por hackers, e informações pessoais sejam expostas. Além disso, elas ganharam um prazo para isso: 72 horas desde quando tomaram ciência do vazamento. A regra vale inclusive se os sistemas hackeados forem os de empresas terceirizadas.
Companhias donas de serviços conectados têm de explicar em linguagem clara e compreensível quais são as políticas de privacidade de suas ferramentas.