Fondamenti di liceità
Per tutte le attività di trattamento ha identificato la base giuridica (consenso, adempimento obblighi contrattuali, interessi vitali della persona interessata o di terzi, obblighi di legge cui è soggetto il titolare, interesse pubblico o esercizio di pubblici poteri, interesse legittimo prevalente del titolare o di terzi cui i dati vengono comunicati).

Documentazione informativa
Ha arricchito, migliorato e adeguato alle nuove regole le informazioni da dare agli interessati (art. 13 e 14 GDPR).

Diritti degli interessati (accesso, cancellazione-oblio, limitazione del trattamento, opposizione, portabilità)
Ha adottato misure tecniche e organizzative per favorire l'esercizio dei diritti e il riscontro alle richieste presentate dagli interessati.

Titolare, responsabile, incaricato del trattamento
Alla luce del nuovo principio di "responsabilizzazione" ha ridefinito la propria organizzazione per garantire proattivamente l'osservanza del regolamento nella sua interezza. Ha ridefinito i ruoli degli attori del trattamento e dei fornitori di servizi che implicano attività di trattamento su commissione.

Approccio basato sul rischio del trattamento e Misure di "accountability" di titolari e responsabili (valutazione di impatto, registro dei trattamenti, misure di sicurezza, violazioni dei dati personali)
Attraverso un “Documento di conformità” che incorpora il registro delle attività di trattamento pianifica attua e dimostra le misure di sicurezza, tecniche e organizzative “adeguate” alle caratteristiche del trattamento e predispone le procedure necessarie per effettuare, ove ne ricorrano i presupposti, la notifica dei data breach.

Trasferimento internazionali di dati
Fa propri e si impegna a rispettare i principi generali e le garanzie per il trasferimento verso Paesi terzi.