L'entreprise doit informer les personnes concernées de manière claire, concise et facilement accessible des finalités de la collecte et du traitement de leurs données personnelles.

L'entreprise doit obtenir le consentement explicite et éclairé de la personne concernée avant de collecter et de traiter ses données personnelles. Le consentement doit être libre, spécifique, éclairé et univoque.

Les personnes concernées ont le droit d'accéder à leurs données personnelles et de demander leur rectification, leur suppression ou leur transfert à une autre entreprise.

L'entreprise doit prendre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre toute perte, altération ou accès non autorisé. Elle doit également nommer un délégué à la protection des données (DPO) chargé de veiller à la conformité de l'entreprise avec les règles de protection des données.

En cas de non-respect des règles de protection des données, l'entreprise peut être soumise à des amendes administratives pouvant aller jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial annuel de l'entreprise.