Al in de jaren zeventig van het vorige millennium werden de eerste benaderingen van gegevensbescherming in de toenmalige Europese Gemeenschap nagestreefd. In het midden van de jaren negentig werd toen voor het eerst gekozen voor een uniforme aanpak. De uitvoering was echter de verantwoordelijkheid van elke lidstaat en zij volgden een andere aanpak, zodat er geen uniforme regelgeving tot stand kwam. Bovendien was het wereldwijde gebruik van het internet in zijn huidige omvang nog niet te voorzien.

Elk land heeft zijn eigen contactpunt als het gaat om inbreuken op de privacyverklaring. Het maakt niet uit in welk EU-land de AVG is geschonden. Dit maakt het makkelijker voor bedrijven om te communiceren als er een overtreding is gemeld. Ze hoeven dan maar met één autoriteit te communiceren.

Bedrijven met meer dan 250 werknemers moeten een documentatie van alle gegevens bewaren in de vorm van een procedureoverzicht. Dit bevat alle verwerkte gegevens die over een persoon worden verzameld en de reden voor de verzameling. De overdracht van deze gegevens moet ook worden gedocumenteerd. Bovendien moeten alle bedrijven die regelmatig persoonsgegevens verzamelen ook een register van procedures bijhouden. Dit geldt voor alle onlinehandelaren en voor veel kleine bedrijven, praktijken en advocatenkantoren.