Organizacije mogu biti kažnjene s do 4% ukupnog globalnog godišnjeg prihoda, ili 20M€. To je maksimalna kazna koja može biti zapriječena za teška kršenja Uredbe, kao npr neimanje dostatnih privola za korištenje osobnih podataka ili kršenja koncepta “Privacy by design”. Zapriječena je i umanjena kazna od 2% ili 10M€ za vođenje neurednih zapisa osobnih podataka (članak 28), neobavještavanje nadležnih institucija za curenje podataka ili neprovođenje sigurnosne procjene. Bitno je naglasiti da pravila vrijede kako za organizacije koje prikupljaju podatke, tako i za one koje ih obrađuju, tj usluge u oblaku nisu izuzete od GDPR zahtjeva.