在對“畫像”進行界定的基礎上，草案對畫像活動予以了嚴格規(guī)范：
第一，畫像活動必須具有法定依據(jù)或者獲得用戶明確同意因為法定授權情形僅僅是少數(shù)情況，而取得用戶明確同意在產(chǎn)業(yè)界來看又難以操作，這意味著該規(guī)定將使得大數(shù)據(jù)分析活動變得非常困難。
這將很大程度上改變當前大數(shù)據(jù)產(chǎn)業(yè)狀況。因為即使在數(shù)據(jù)保護嚴格的歐盟，依據(jù)1995年指令，數(shù)據(jù)控制者對其掌握的用戶數(shù)據(jù)進行挖掘、分析，并不需要得到用戶的同意。而按照新規(guī)，不論所涉及數(shù)據(jù)是否敏感，都需要法定依據(jù)或者用戶的同意。
此外，如果對個人的經(jīng)濟狀況、位置、健康、個人偏好、可信賴度，信賴度或行為模式等進行分析畫像，則應當在畫像之前首先開展隱私影響評估。新規(guī)對隱私影響評估做出了一整套程序安排。
第二、對于畫像活動，用戶必須是在充分知情下做出同意授權大數(shù)據(jù)分析的大多數(shù)場景要想滿足合規(guī)性要求，則必須取得用戶的同意。而草案對于獲取用戶同意規(guī)定了詳細的要件。用戶應當?shù)玫匠浞滞暾南嚓P信息，包括對用戶進行畫像所使用的全部具體信息，畫像所服務的目的，基于數(shù)據(jù)分析所采取的評估措施，數(shù)據(jù)分析可能預見產(chǎn)生的后果，以及用戶如何選擇拒絕畫像。
除非該數(shù)據(jù)分析是服務于歷史、統(tǒng)計或者科學研究目的的情況下，數(shù)據(jù)必須予以保留。
第三、數(shù)據(jù)畫像，應當優(yōu)先對數(shù)據(jù)進行匿名化處理新規(guī)要求，開展數(shù)據(jù)畫像，應當首先對數(shù)據(jù)進行匿名化處理。匿名化的標準是，在符合比例原則的前提下，投入相同比例的時間、成本努力也無法恢復身份屬性。如果數(shù)據(jù)畫像在業(yè)務實踐中無法實現(xiàn)匿名化，那么則應當使用假名（化名）。關于假名和真實身份之間的對應關系的信息應當被隔離單獨保存，以提升安全保障。
第四、特定數(shù)據(jù)的分析活動完全被禁止即無論是否取得用戶同意，特定的數(shù)據(jù)分析活動完全被禁止，此類數(shù)據(jù)分析活動包括三類：
一是數(shù)據(jù)分析的結(jié)果可能導致對個人的歧視，這些歧視建立在對個人種族、民族、政治立場、宗教信仰、商業(yè)團體資格、性取向、性別等因素上，或者達到同此類歧視相同的效果。
二是數(shù)據(jù)分析的結(jié)果能夠識別兒童。
三是數(shù)據(jù)分析是自動化的，并且導致的評價結(jié)果將對數(shù)據(jù)主體產(chǎn)生法律上的效果或者對數(shù)據(jù)主體產(chǎn)生重大的影響。
四、新規(guī)能否重建數(shù)據(jù)保護新秩序？
盡管自上世紀70年代起，全球范圍內(nèi)掀起了個人數(shù)據(jù)保護的立法風潮，但在信息通信技術與業(yè)務的強大沖擊之下，個人數(shù)據(jù)保護已經(jīng)到了名存實亡的危險邊緣。個人數(shù)據(jù)保護法所確立的用戶“知情同意”原則被戲稱為互聯(lián)網(wǎng)最大謊言，利用業(yè)務協(xié)議，超出業(yè)務目的和范圍，一攬子取得用戶關于個人數(shù)據(jù)使用授權成為業(yè)界普遍做法。利用數(shù)據(jù)分析畫像，對個人進行精準化營銷，似乎成為產(chǎn)業(yè)不可阻擋的發(fā)展趨勢。
在這一時代背景下，是讓技術改變隱私、個人自由等基本價值觀念，任其一路狂奔，還是讓法律將技術鎖定在特定的發(fā)展軌道上，堅守基本權利保護？顯然，歐盟選擇了后者。
有觀點認為：歐盟之所以堅持數(shù)據(jù)保護的高標準，是因為歐盟互聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展落后。誠然，這是不可否認的現(xiàn)實，但并不是歐盟數(shù)據(jù)保護改革的全部背景。歐盟數(shù)據(jù)保護新規(guī)可以看作是歐盟對信息通信技術的深刻反思，在保護公民基本權利這一理念的指引之下，其對公民的數(shù)據(jù)權利、企業(yè)義務、保護機制進行了全方位的革新與完善。
推動高標準的法律制度，會增加產(chǎn)業(yè)的合規(guī)成本，也有可能對技術業(yè)務創(chuàng)新帶來抑制作用，但歐盟同時認為，嚴格的數(shù)據(jù)保護，更高的安全保障標準和用戶信任水平，也將有利于歐盟在數(shù)字經(jīng)濟中塑造競爭優(yōu)勢。
歐盟新規(guī)將直接適用于歐盟28個成員國，覆蓋全球第一經(jīng)濟總量地區(qū)。此外，歐盟新規(guī)對適用范圍的大大延展，也將對全球產(chǎn)生直接深遠影響，新規(guī)能否像1995年指令，對全球產(chǎn)生示范效應，重建大數(shù)據(jù)時代下數(shù)據(jù)保護新秩序，我們拭目以待。
五、對我國企業(yè)的相關影響及合規(guī)清單
對于我國企業(yè)來說，不論是航空、金融等傳統(tǒng)行業(yè)內(nèi)涉及歐盟居民數(shù)據(jù)收集與處理的企業(yè)，還是互聯(lián)網(wǎng)領域通過設立商業(yè)實體或跨境提供服務的企業(yè)，以及相關的IT廠商，都需要對如何滿足新規(guī)要求，提前做好準備。合規(guī)清單至少應包括以下內(nèi)容：