A lei brasileira estabelece proteção especial aos dados sensíveis, cujo tratamento poderá ocorrer apenas nas hipóteses expressamente previstas na Lei. Sem equivalência na GDPR, dispõe ainda que os dados sensíveis poderão ser tratados, independente do consentimento do titular, nas hipóteses em que for indispensável para:
1. A execução, pela administração pública prevista em lei ou regulamento,
2. Garantia da prevenção à fraude e à segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos.

A lei europeia proíbe o tratamento de dados sensíveis, estabelecendo algumas exceções à proibição. Duas delas não foram incluídas na lei brasileira:
1. Dados tornados públicos pelo titular,
2. Dados relativos a atuais ou ex-membros de fundações, associações ou organizações sem fins lucrativos, tratados para fins legítimos e com medidas de segurança apropriadas.

A lei brasileira trata a implementação de programa de governança e privacidade como faculdade dos controladores de dados.

Já a lei europeia atribui aos controladores de dados a obrigação de adotar medidas técnicas e de organização que forem adequadas para assegurar que o tratamento de dados é realizado em conformidade com a legislação

A regulamentação brasileira prevê que a empresa estrangeira será notificada e intimada de todos os atos processuais na pessoa do agente, representante ou pessoa responsável por sua filial, agência, estabelecimento ou escritório instalado no Brasil.

Diferente da lei brasileira, na regulamentação europeia a figura do controlador ou processador deve constituir, por escrito, um representante seu em um dos seus Estados-Membros.

Existem três hipóteses em que o controlador/operador não é responsabilizado:

1. Quando a pessoa física ou jurídica não estiver envolvida com o tratamento dos dados;

2. Quando, a despeito do dano, o tratamento for realizado em conformidade com a legislação,

3. Quando os agentes comprovam que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiros.

A diferença para a lei brasileira é que na lei europeia constam apenas os itens 1 e 2 descritos ao lado, que são:
1. Quando a pessoa física ou jurídica não estiver envolvida com o tratamento dos dados;
2. Quando, a despeito do dano, o tratamento for realizado em conformidade com a legislação,

A lei brasileira aplica as regras gerais de consentimento, transparência e direito de objeção dos titulares dos dados pessoais.

A regulamentação europeia apresenta previsões específicas. O titular dos dados tem o direito de se opor a qualquer momento ao tratamento de seus dados pessoais, o que abrange a definição de perfis na medida em que esteja relacionada com a comercialização direta.

Embora a lei brasileira estabeleça que o operador deverá realizar o tratamento de dados conforme a instrução do controlador, não há exigência de formalização por meio de contrato.

Por sua vez, a lei europeia prevê que o tratamento de dados realizado por operador deve ser regido por contrato ou outro ato jurídico que vincule o controlador ao operador.

A lei brasileira não deixou claro em quais situações o controlador será obrigado a realizar um relatório de impacto à proteção de dados pessoais, delegando a uma regulamentação posterior o tratamento desta matéria.

Na lei europeia está previsto que o controlador deve prover um relatório de impacto à proteção de dados pessoais, quando o tratamento resultar em um elevado risco para o direito e a liberdade das pessoas. A GDPR traz ainda uma detalhada descrição do que deve ser abordado neste relatório.

A lei brasileira permite a transferência de dados pessoais para países ou órgãos internacionais que proporcionem grau de proteção de dados pessoais adequados ao previsto. A lei é breve quanto a este procedimento e elementos a serem considerados como adequados. A LGPD estabelece apenas diretrizes genéricas a serem observadas pelas autoridades nacionais.

O projeto de lei que originou a LGPD previa a criação da Autoridade Nacional de Proteção de Dados, seguido a mesma linha do regulamento europeu. Porém, os dispositivos que previam a sua criação e responsabilidades foram vetados, por incorrerem em inconstitucionalidade do processo legislativo.

Já a regulamentação europeia estabelece a criação do Comitê Europeu para Proteção de Dados, responsável por assegurar a aplicação coerente da GDPR.