Per tutte le imprese è prevista una valutazione dei rischi per la tutela dei dati personali derivanti dalla propria attività. Il nuovo GDPR distingue le aziende non solo in relazione alla loro attività ma anche per la dimensione, esentando le aziende più piccole da una serie di obblighi, salvo casi del tutto particolari, ad esempio il registro dei trattamenti, la valutazione di impatto, e la nomina di un DPO, cioè Data Protection Officer.