これまで5,000件以上6ヶ月を越えて保持する業者にだけ適用された安全管理義務が、条件が無くなり個人情報を保有する全ての事業者に対して適用されることになりました。特定の個人の身体的データを変換したもの(顔認証情報等)は個人情報として明確化する。含まれる個人情報については、本人同意を得て取得することを原則義務化し、本人同意を得ない第三者提供の特例(オプトアウト)を禁止。特定の個人を識別することができないように個人情報を加工したものを匿名加工情報と定義し、その加工方法を定めるとともに、事業者による公表などその取扱いについての規律を設ける。