GDPR은 해당 법률 위반에 대하여 상당한 과징금을 부과할 수 있도록 규정한 것이 특징이다. GDPR 제83조제4항은 개인정보처리자 또는 수탁처리자가 위 제32조의 기술적·관리적 조치의무를 위반한 경우 전 세계 연간 매출액 2% 또는 1천만 유로 중 더 큰 금액에 이르는 과징금 처분을 받도록 규정하고 있다. 다만, 이러한 의무 위반으로 인하여 개인정보가 유출되었다고 하더라도 과징금을 가중하는 규정을 두지 않고 있다.
한편, GDPR은 개인정보 안전성 확보 조치의무 위반을 비롯하여 해당 법률 위반에 대하여 형사벌칙을 직접 규정하고 있지 않으며, 제84조에서 각 회원국이 형사벌칙을 규정하여 EU집행위에 통보하도록 규정하고 있다.