Dne 24. 4. 2019 byl ve Sbírce zákonů pod číslem 110/2019 uveřejněn zákon o zpracování osobních údajů. Ten kromě adaptace českého právního řádu a zajištění jeho souladu s obecným nařízením o ochraně osobních údajů (GDPR) dále upravuje případy, kdy GDPR umožňuje členským státům přizpůsobit si některé oblasti úpravy dle vlastního uvážení, transponuje trestněprávní směrnici Evropského parlamentu a Rady (EU) 2016/680 do českého právního řádu a upravuje postavení Úřadu pro ochranu osobních údajů jako dozorového orgánu v oblasti zpracování osobních údajů.

Mezi oblasti, které si český zákonodárce upravil odlišně od GDPR patří například věková hranice způsobilosti dítěte udělit souhlas se zpracováním osobních údajů. Ta je snížena z navrhovaných 16 let na 15 let věku. Zákon dále usnadňuje plnění informační povinnosti těm správcům, kteří provádějí zpracování osobních údajů z důvodu zákonné povinnosti či ve veřejném zájmu a dále ruší povinnost vypracovat posouzení vlivu zpracování na ochranu osobních údajů tam, kde zákon správci přikazuje takové zpracování provádět. Upravena je rovněž činnost novinářů, v jejichž prospěch zákon zmírňuje některé obecné povinnosti správce.

Avšak nejvýraznější a zřejmě také nejkontroverznější výjimkou z GDPR je vynětí orgánů veřejné moci z možnosti uložení správní pokuty za přestupky podle zákona o zpracování osobních údajů a GDPR. Přijetí zákona s touto změnou podpořilo mimo jiné Ministerstvo vnitra, dle kterého bude veřejná správa vedena k plnění svých povinností stále tím, že bude podléhat kontrolní činnosti Úřadu a současně i hrozbě případného vymáhání újmy vzniklé subjektům údajů soudní cestou.