Les principals obligacions que estableix la normativa de protecció de dades recauen sobre el responsable del tractament, que haurà de facilitar-ne el compliment i participar-hi. Algunes d'aquestes obligacions disposen d'un vessant actiu en generar la seva corresponent acció de garantia i defensa, amb la qual cosa es converteixen en veritables drets dels ciutadans en relació amb el tractament de la seva informació de caràcter personal.
L'RGPD modifica el ventall dels drets coneguts i reconeguts -en matèria de protecció de dades - per la normativa nacional i europea fins que es promulgui. Als drets preexistents afegeix una nova denominació de la cancel·lació –supressió en què s'inclou una menció específica al dret a l'oblit–, i es reconeixen el dret a la limitació del tractament i el de portabilitat.
Pel que fa a les condicions generals per a l'exercici i atenció dels drets, es consolida l'obligació d'atendre els drets llevat que s'acrediti la impossibilitat d'identificar l'interessat; s'estableix el termini d'un mes prorrogable per dos més segons la complexitat i el nombre de sol·licituds per a l'atenció del seu exercici; es plasma de manera definitiva la possible resposta a l'exercici del dret per mitjans electrònics si es va exercir per aquests mitjans, llevat que l'interessat manifesti altrament; i, en definitiva, per al supòsit que el responsable decideixi no donar curs a la sol·licitud de l'afectat, es consolida l'obligació d'informar-lo en el termini d'un mes sobre les raons d'aquesta negativa i sobre la possibilitat d'acudir a l'autoritat de control o als òrgans judicials en cas de desacord.
Al seu torn, es reforça la gratuïtat en l'exercici dels drets, llevat del supòsit específic de sol·licituds manifestament infundades o excessives, especialment a causa del seu caràcter repetitiu, en què serà possible cobrar un cànon raonable en funció dels costos administratius generats per facilitar la informació o la comunicació, fer l'actuació sol·licitada, o, fins i tot, negar-se a actuar pel que fa a la sol·licitud. També es faculta el responsable del tractament a sol·licitar informació addicional que garanteixi suficientment la identificació de l'afectat.