Novou právnou úpravou sa rozšírili a spresnili jednotlivé práva dotknutých osôb, a to:

• právo na opravu;
• právo na výmaz;
• právo na obmedzenie spracúvania;
• právo na prenosnosť údajov;
• právo namietať;
• právo namietať automatizované individuálne rozhodovanie a profilovanie.

Zakotvila sa nová oznamovacia povinnosť prevádzkovateľa v súvislosti s opravou alebo vymazaním alebo obmedzením spracúvania osobných údajov dotknutých osôb, a to tak voči príjemcom, ktorým osobné údaje boli poskytnuté, ako aj voči samotnej dotknutej osobe. 

Nová právna úprava zakotvuje právny rámec poskytovania oznámení na žiadosti dotknutej osoby:

• v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho;
• písomne, elektronicky alebo inými prostriedkami alebo na požiadanie ústne (ak dotknutá osoba podala žiadosť elektronickými prostriedkami, informácie sa podľa možnosti poskytnú elektronickými prostriedkami, pokiaľ dotknutá osoba nepožiadala o iný spôsob);
• poskytnutie oznámení o prijatých opatreniach bez zbytočného odkladu, nie neskôr ako do jedného mesiaca od doručenia žiadosti (v obzvlášť zložitých prípadoch možnosť predĺžiť o ďalšie dva mesiace, kedy sa informácia poskytne ešte za plynutia pôvodnej lehoty);
• ak prevádzkovateľ neprijme opatrenia na základe žiadosti dotknutej osoby, bezodkladne a najneskôr do jedného mesiaca od doručenia žiadosti informuje dotknutú osobu o dôvodoch nekonania a o možnosti podať sťažnosť na úrad a uplatniť súdny prostriedok nápravy;
• bezplatné poskytovanie informácii a oznámení, v osobitných prípadoch možnosť účtovať primeraný poplatok;
• oprávnenie prevádzkovateľa žiadať o poskytnutie dodatočných informácií potrebných na potvrdenie totožnosti dotknutej osoby;
• prevádzkovateľ nemôže odmietnuť konať na základe žiadosti dotknutej osoby pri výkone jej práva, pokiaľ nepreukáže, že dotknutú osobu nie je schopný identifikovať;
• poskytnutie dotknutej osobe informácie o opatreniach bez zbytočného odkladu, nie neskôr ako do jedného mesiaca od doručenia žiadosti (v rámci lehoty je potrebné oznámiť prípadné predĺženie lehoty o ďalšie dva mesiace v prípade obzvlášť zložitých prípadoch); ak prevádzkovateľ neprijme opatrenia na základe žiadosti dotknutej osoby, bezodkladne a najneskôr do jedného mesiaca od doručenia žiadosti informuje dotknutú osobu o dôvodoch nekonania a o možnosti podať sťažnosť úradu a uplatniť súdny prostriedok nápravy;
• bezodplatné poskytnutie oznámení, s výnimkou neopodstatnených alebo neprimeraných, najmä opakujúcich žiadostí (právo požadovať náhradu administratívnych nákladov; prípadne nekonať);
• právo prevádzkovateľa požadovať o poskytnutie dodatočných informácií potrebných na potvrdenie totožnosti dotknutej osoby.

V zmysle novej právnej úpravy už nebude mať prevádzkovateľ oznamovaciu povinnosť voči úradu, ak obmedzí práva dotknutej osoby (nevyhovie žiadosti dotknutej osoby), ako tomu bolo podľa § 30 zákona vo vzťahu k § 28 ods. 2 zákona, s ohľadom na skutočnosť, že takémuto obmedzeniu práv nemá dôjsť, respektíve len v súlade s právnou úpravou; napríklad nemožnosť identifikovať dotknutú osobu.

Každá dotknutá osoba ma právo podať sťažnosť na jednom dozornom orgáne, a to predovšetkým v členskom štáte svojho obvyklého pobytu. Úrad informuje dotknutú osobu v primeranej lehote o stave vybavenia sťažnosti a o výsledku prešetrenia sťažnosti. Ak si vec vyžaduje ďalšie vyšetrovanie alebo koordináciu s iným dozorným orgánom, dotknutej osobe by sa mali poskytnúť priebežné informácie.