Certaines définitions sont reprises de la directive 95/46/CE, tandis que d'autres sont modifiées ou complétées par des éléments supplémentaires, ou sont nouvelles (la «violation de données à caractère personnel» dont la définition est fondée sur l'article 2, point h), de la directive 2002/58/CE[29] («vie privée et communications électroniques») telle que modifiée par la directive 2009/136/CE[30], les «données génétiques», les «données biométriques», les «données concernant la santé», l’«établissement principal», le «représentant», l’«entreprise», le «groupe d'entreprises», les «règles d'entreprise contraignantes», l’«enfant» dont la définition est fondée sur la convention des Nations unies relative aux droits de l'enfant[31], et l’«autorité
...[+++] de contrôle»).
Hoewel sommige definities volledig zijn overgenomen uit Richtlijn 95/46/EG, zijn andere definities aangepast, aangevuld met extra elementen, of geheel nieuw (“inbreuk in verband met persoonsgegevens”, gebaseerd op artikel 2, lid h), van Richtlijn 2002/58/EG[29] als gewijzigd bij Richtlijn 2009/136/EG[30], “genetische gegevens”, “biometrische gegevens”, “gegevens over gezondheid”, “belangrijkste vestiging”, “vertegenwoordiger”, “onderneming”, “groep van ondernemingen”, “bindende bedrijfsvoorschriften” en “kind”, gebaseerd op het VN-Verdrag inzake de rechten van het kind[31], en “toezichthoudende autoriteit”).