El sistema de penalizaciones está organizado en niveles. Por ejemplo, una empresa puede ser penalizada con un 2 % por no tener al día sus registros (artículo 28), por no notificar sobre una brecha de seguridad a la autoridad supervisora y a los afectados, o no llevar a cabo un evaluación del impacto.